С 11 сентября 2026 года в Евросоюзе начали действовать требования Акта о киберустойчивости (Cyber Resilience Act, CRA) к отчетности производителей цифровых устройств. Компании обязаны сообщать регуляторам об активно эксплуатируемых уязвимостях и серьезных инцидентах безопасности, затрагивающих их продукцию.
Правила распространяются на все аппаратные и программные продукты с цифровыми элементами, поставляемые на рынок ЕС, включая уже продающиеся модели.
Уведомления проходят через единую платформу отчетности CRA, которую создало и обслуживает Агентство Евросоюза по кибербезопасности (ENISA). Европейская комиссия выпустила практическое руководство, разъясняющее производителям, разработчикам и компаниям порядок выполнения новых требований. Национальные органы рыночного надзора будут следить за соблюдением правил на местах.
Что это дает потребителям
Для владельцев подключенных устройств — от умных замков до фитнес-трекеров — новые правила означают более быстрое реагирование производителей на киберугрозы. Акт о киберустойчивости требует проектировать, обновлять и обслуживать цифровые продукты с учетом защиты пользователей от рисков безопасности на всем жизненном цикле.
Соответствие требованиям CRA производители будут подтверждать маркировкой CE — по ней потребители смогут отличать проверенные устройства.
Обязательства по отчетности об инцидентах действуют с 11 сентября 2026 года. Основной пакет требований CRA к проектированию и обслуживанию продуктов вступит в силу позже — 11 декабря 2027 года. Акт продолжает линию Стратегии кибербезопасности ЕС и Стратегии союза безопасности, принятых ранее.
Читайте также: