Το Cyber Resilience Act (CRA) αλλάζει τον τρόπο με τον οποίο αντιμετωπίζεται η κυβερνοασφάλεια προϊόντων στην Ευρωπαϊκή Ένωση. Αντί η ασφάλεια να θεωρείται κάτι που προστίθεται μετά την κυκλοφορία ενός προϊόντος, ο νέος Κανονισμός θέτει απαιτήσεις που καλύπτουν τον σχεδιασμό, την ανάπτυξη, την παραγωγή και την υποστήριξή του.
Για τις ελληνικές επιχειρήσεις, το σημαντικό πρώτο ερώτημα δεν είναι «πώς συμμορφωνόμαστε;», αλλά «εμπίπτουμε πράγματι στο πεδίο εφαρμογής και με ποιον ρόλο;».
Ο CRA δεν επιβάλλει τις ίδιες υποχρεώσεις σε κάθε ΜΜΕ που χρησιμοποιεί υπολογιστές ή λογισμικό. Αφορά προϊόντα με ψηφιακά στοιχεία που διατίθενται στην αγορά της Ευρωπαϊκής Ένωσης και δημιουργεί συγκεκριμένες υποχρεώσεις για manufacturers και άλλους οικονομικούς φορείς.
Τι είναι το Cyber Resilience Act;
Ο Cyber Resilience Act είναι ο Κανονισμός (ΕΕ) 2024/2847 και αποτελεί το οριζόντιο ευρωπαϊκό πλαίσιο κυβερνοασφάλειας για προϊόντα με ψηφιακά στοιχεία.
Στόχος του είναι τα προϊόντα που εμπίπτουν στο πεδίο εφαρμογής του να σχεδιάζονται, να αναπτύσσονται και να συντηρούνται με συγκεκριμένες απαιτήσεις κυβερνοασφάλειας σε όλο τον κύκλο ζωής τους.
Οι κύριες απαιτήσεις του CRA εφαρμόζονται από τις 11 Δεκεμβρίου 2027. Ωστόσο, οι υποχρεώσεις αναφοράς συγκεκριμένων ευπαθειών και περιστατικών αρχίζουν νωρίτερα, στις 11 Σεπτεμβρίου 2026.
Τι είναι ένα «προϊόν με ψηφιακά στοιχεία»;
Ο CRA χρησιμοποιεί τον όρο product with digital elements. Σε γενικές γραμμές, στο πεδίο εφαρμογής μπορούν να εμπίπτουν προϊόντα λογισμικού ή hardware των οποίων η προβλεπόμενη ή εύλογα αναμενόμενη χρήση περιλαμβάνει άμεση ή έμμεση λογική ή φυσική σύνδεση με συσκευή ή δίκτυο.
Αυτό σημαίνει ότι το CRA δεν αφορά μόνο παραδοσιακές συσκευές.
Ανάλογα με τα συγκεκριμένα χαρακτηριστικά και τις εξαιρέσεις του Κανονισμού, προϊόντα με ψηφιακά στοιχεία μπορούν να περιλαμβάνουν:
- εφαρμογές και άλλο software,
- δικτυακές και συνδεδεμένες συσκευές,
- IoT προϊόντα,
- security και networking products,
- άλλα hardware ή software προϊόντα που συνδέονται άμεσα ή έμμεσα με συσκευή ή δίκτυο.
Υπάρχουν όμως προϊόντα και κατηγορίες που εξαιρούνται ή καλύπτονται από ειδικότερη ευρωπαϊκή νομοθεσία. Επομένως, το scope πρέπει να αξιολογείται για το συγκεκριμένο προϊόν και όχι μόνο από μια γενική περιγραφή.
Αφορά όλες τις ελληνικές ΜΜΕ;
Όχι. Το γεγονός ότι μια επιχείρηση χρησιμοποιεί software, laptops, cloud υπηρεσίες ή άλλες ψηφιακές τεχνολογίες δεν την καθιστά αυτομάτως manufacturer υπό τον CRA.
Ο ρόλος της επιχείρησης στην αγορά είναι καθοριστικός.
Ιδιαίτερο ενδιαφέρον έχει ο CRA για επιχειρήσεις που:
- αναπτύσσουν και διαθέτουν software στην αγορά με το δικό τους όνομα ή εμπορικό σήμα,
- κατασκευάζουν ή διαθέτουν συνδεδεμένα ψηφιακά προϊόντα,
- εισάγουν στην ΕΕ προϊόντα με ψηφιακά στοιχεία από κατασκευαστές εκτός ΕΕ,
- διανέμουν προϊόντα που εμπίπτουν στον CRA,
- υποστηρίζουν συγκεκριμένα open-source projects υπό τις προϋποθέσεις που προβλέπει ο Κανονισμός.
Μια ελληνική software εταιρεία, για παράδειγμα, δεν πρέπει να υποθέσει ότι βρίσκεται εκτός CRA επειδή δεν κατασκευάζει φυσικές συσκευές. Software που διατίθεται στην αγορά μπορεί επίσης να αποτελεί προϊόν με ψηφιακά στοιχεία.
Manufacturer, Importer και Distributor: Γιατί έχει σημασία ο ρόλος;
Οι υποχρεώσεις δεν είναι ίδιες για όλους τους οικονομικούς φορείς.
Manufacturer
Manufacturer μπορεί να είναι φυσικό ή νομικό πρόσωπο που αναπτύσσει ή κατασκευάζει προϊόν με ψηφιακά στοιχεία, ή έχει το προϊόν σχεδιασμένο, αναπτυγμένο ή κατασκευασμένο, και το διαθέτει στην αγορά με το όνομα ή το εμπορικό του σήμα.
Οι σημαντικότερες υποχρεώσεις του CRA επικεντρώνονται στους manufacturers.
Importer
Importer είναι οικονομικός φορέας εγκατεστημένος στην ΕΕ που τοποθετεί στην ευρωπαϊκή αγορά προϊόν με ψηφιακά στοιχεία από κατασκευαστή εγκατεστημένο εκτός ΕΕ.
Ο importer έχει δικές του υποχρεώσεις ελέγχου πριν διαθέσει το προϊόν στην αγορά και πρέπει να αντιδρά όταν έχει λόγο να πιστεύει ότι ένα προϊόν δεν συμμορφώνεται με τον CRA.
Distributor
Ο distributor διαθέτει ένα προϊόν στην αγορά χωρίς να είναι ο manufacturer ή importer και χωρίς να επηρεάζει τις ιδιότητές του.
Μεταξύ άλλων, πρέπει να ελέγχει συγκεκριμένα στοιχεία συμμόρφωσης πριν διαθέσει το προϊόν.
Τι απαιτεί ο CRA από έναν Manufacturer;
Οι manufacturers προϊόντων που εμπίπτουν στον CRA πρέπει να ενσωματώνουν την κυβερνοασφάλεια στον κύκλο ζωής του προϊόντος.
Μεταξύ των βασικών απαιτήσεων είναι η πραγματοποίηση cybersecurity risk assessment, η οποία πρέπει να λαμβάνεται υπόψη κατά τον σχεδιασμό, την ανάπτυξη, την παραγωγή, την παράδοση και τη συντήρηση του προϊόντος.
Ο CRA περιλαμβάνει essential cybersecurity requirements που αφορούν τόσο τις ιδιότητες ασφάλειας του προϊόντος όσο και τη διαχείριση ευπαθειών.
Secure by Design και Secure by Default
Ένα σημαντικό στοιχείο του CRA είναι ότι η κυβερνοασφάλεια πρέπει να αντιμετωπίζεται από τον σχεδιασμό και όχι μόνο μετά την εμφάνιση ενός περιστατικού.
Ανάλογα με το προϊόν και το risk assessment, οι απαιτήσεις μπορεί να αφορούν ζητήματα όπως:
- προστασία από μη εξουσιοδοτημένη πρόσβαση,
- περιορισμό του attack surface,
- προστασία της εμπιστευτικότητας και ακεραιότητας δεδομένων,
- διαθεσιμότητα βασικών λειτουργιών,
- κατάλληλους μηχανισμούς ενημερώσεων ασφαλείας,
- καταγραφή ή παρακολούθηση σχετικών security events όπου απαιτείται.
Οι ακριβείς απαιτήσεις πρέπει να αξιολογούνται βάσει του CRA και του συγκεκριμένου προϊόντος και όχι ως ένα γενικό checklist που εφαρμόζεται με τον ίδιο τρόπο παντού.
Vulnerability Management σε όλο τον κύκλο ζωής
Η ευθύνη του manufacturer δεν τελειώνει όταν το προϊόν κυκλοφορήσει.
Ο CRA απαιτεί διαδικασίες για την αποτελεσματική διαχείριση vulnerabilities κατά τη διάρκεια του support period.
Αυτό δημιουργεί ανάγκη για οργανωμένες δυνατότητες όπως:
- εντοπισμό και καταγραφή vulnerabilities,
- αξιολόγηση του security impact,
- διορθώσεις και security updates,
- διαχείριση vulnerabilities σε components του προϊόντος,
- τεκμηριωμένη διαδικασία vulnerability handling.
Για τις επιχειρήσεις ανάπτυξης software, αυτό σημαίνει ότι vulnerability management και product maintenance πρέπει να αποτελούν μέρος της κανονικής λειτουργίας του προϊόντος.
Support Period: Για πόσο πρέπει να υποστηρίζεται το προϊόν;
Ο manufacturer πρέπει να καθορίζει support period για το προϊόν.
Κατά τη διάρκεια αυτής της περιόδου πρέπει να διαχειρίζεται αποτελεσματικά τις ευπάθειες σύμφωνα με τις απαιτήσεις του CRA.
Η ημερομηνία λήξης του support period πρέπει επίσης να γνωστοποιείται με σαφή τρόπο στον χρήστη κατά την αγορά.
Δεν πρέπει επομένως μια επιχείρηση να επιλέγει αυθαίρετα ένα ίδιο support period για κάθε προϊόν. Ο προσδιορισμός του αποτελεί μέρος των υποχρεώσεων του manufacturer και πρέπει να ακολουθεί τα κριτήρια του Κανονισμού και τη σχετική ευρωπαϊκή καθοδήγηση.
Τι αλλάζει στις 11 Σεπτεμβρίου 2026;
Οι υποχρεώσεις reporting του CRA αρχίζουν να εφαρμόζονται στις 11 Σεπτεμβρίου 2026, πριν από την πλήρη εφαρμογή των υπόλοιπων βασικών υποχρεώσεων.
Manufacturers που εμπίπτουν στο CRA πρέπει να αναφέρουν συγκεκριμένες actively exploited vulnerabilities και severe incidents που επηρεάζουν την ασφάλεια των προϊόντων τους.
Οι αναφορές πραγματοποιούνται μέσω της Single Reporting Platform (SRP) που λειτουργεί η ENISA.
Τι είναι Actively Exploited Vulnerability;
Δεν απαιτείται reporting κάθε vulnerability απλώς επειδή υπάρχει.
Για τις υποχρεωτικές αναφορές του CRA, ιδιαίτερη σημασία έχει η έννοια της actively exploited vulnerability: ευπάθεια για την οποία υπάρχει αξιόπιστη ένδειξη ότι κακόβουλος actor την έχει εκμεταλλευτεί σε σύστημα χωρίς την άδεια του ιδιοκτήτη.
Αυτό πρέπει να διακρίνεται από μια vulnerability που ανακαλύφθηκε μέσω εσωτερικού security testing αλλά για την οποία δεν υπάρχει ένδειξη ενεργής κακόβουλης εκμετάλλευσης.
Τι θεωρείται Severe Incident;
Ο CRA προβλέπει επίσης reporting για περιστατικά που έχουν σοβαρό αντίκτυπο στην ασφάλεια ενός προϊόντος με ψηφιακά στοιχεία.
Η αξιολόγηση δεν πρέπει να βασίζεται απλώς στο αν ένα περιστατικό «φαίνεται σοβαρό». Ο Κανονισμός προβλέπει συγκεκριμένα κριτήρια και η Ευρωπαϊκή Επιτροπή έχει δημοσιεύσει πρόσθετη guidance για την πρακτική ερμηνεία των σχετικών υποχρεώσεων.
Ποιες είναι οι προθεσμίες reporting;
Για τα γεγονότα που υπόκεινται σε υποχρεωτική αναφορά, η διαδικασία ξεκινά όταν ο manufacturer λάβει γνώση του σχετικού actively exploited vulnerability ή severe incident.
Σύμφωνα με την τρέχουσα επίσημη καθοδήγηση της ENISA, τα βασικά στάδια είναι:
- Early Warning: χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 24 ωρών από τη στιγμή που ο manufacturer έλαβε γνώση.
- Notification: χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 72 ωρών, με γενικές πληροφορίες και αρχική αξιολόγηση.
- Final Report για actively exploited vulnerability: το αργότερο 14 ημέρες μετά τη διαθεσιμότητα corrective ή mitigating measure.
- Final Report για severe incident: εντός ενός μήνα μετά την υποβολή της 72ωρης notification.
Οι προθεσμίες αυτές κάνουν απαραίτητη την ύπαρξη εσωτερικής διαδικασίας escalation. Αν η τεχνική ομάδα εντοπίσει ένα πιθανό περιστατικό αλλά δεν γνωρίζει ποιος αποφασίζει αν εμπίπτει στον CRA, μπορεί να χαθεί πολύτιμος χρόνος.
Single Reporting Platform της ENISA
Η ENISA έχει δημιουργήσει τη Single Reporting Platform για τις σχετικές αναφορές του CRA.
Ο σκοπός είναι ένας manufacturer ή, όπου εφαρμόζεται, open-source software steward να μπορεί να πραγματοποιεί την απαιτούμενη notification μέσω της πλατφόρμας, αντί να χρειάζεται να υποβάλλει χωριστές αναφορές σε πολλαπλές εθνικές αρχές.
Η ENISA δημοσιεύει ήδη operational guidance, glossary και οδηγίες για τη διαδικασία υποβολής. Επειδή αυτές οι οδηγίες ενημερώνονται καθώς η πλατφόρμα τίθεται σε λειτουργία, οι επιχειρήσεις που έχουν reporting obligations πρέπει να ελέγχουν την πιο πρόσφατη επίσημη έκδοση πριν βασίσουν πάνω της την εσωτερική τους διαδικασία.
Τι γίνεται με προϊόντα που κυκλοφόρησαν πριν το 2027;
Υπάρχει μια σημαντική διάκριση.
Για τις γενικές απαιτήσεις του CRA, προϊόντα που έχουν τοποθετηθεί στην αγορά πριν τις 11 Δεκεμβρίου 2027 υπόκεινται στον Κανονισμό από εκείνη την ημερομηνία εφόσον υποστούν substantial modification, σύμφωνα με τις σχετικές διατάξεις.
Οι υποχρεώσεις reporting όμως έχουν διαφορετική μεταβατική αντιμετώπιση. Από τις 11 Σεπτεμβρίου 2026 εφαρμόζονται σε προϊόντα με ψηφιακά στοιχεία που βρίσκονται εντός του scope του CRA, συμπεριλαμβανομένων προϊόντων που είχαν ήδη τοποθετηθεί στην αγορά.
Αυτό είναι ιδιαίτερα σημαντικό για επιχειρήσεις που διαθέτουν ήδη ενεργό portfolio software ή άλλων ψηφιακών προϊόντων.
Τι αλλάζει για Software Companies;
Μια εταιρεία ανάπτυξης λογισμικού που διαθέτει προϊόν στην αγορά με το δικό της όνομα πρέπει να εξετάσει σοβαρά αν λειτουργεί ως manufacturer υπό τον CRA.
Αν βρίσκεται εντός scope, χρειάζεται να οργανώσει όχι μόνο τον κώδικα αλλά και ολόκληρη τη διαδικασία product security.
Πρακτικά ζητήματα που πρέπει να εξεταστούν περιλαμβάνουν:
- cybersecurity risk assessment ανά προϊόν,
- secure development practices,
- διαχείριση third-party components και dependencies,
- vulnerability intake και triage,
- security updates και patch distribution,
- τεχνική τεκμηρίωση,
- support-period management,
- incident και vulnerability reporting.
Third-Party Components και Dependencies
Τα σύγχρονα software products βασίζονται συχνά σε open-source libraries και άλλα third-party components.
Αυτό δεν σημαίνει ότι ο manufacturer μπορεί να αγνοήσει vulnerabilities επειδή προέρχονται από dependency που δεν ανέπτυξε ο ίδιος.
Ο CRA περιλαμβάνει απαιτήσεις vulnerability handling που καλύπτουν και components των προϊόντων. Οι manufacturers χρειάζονται επομένως επαρκή εικόνα των dependencies και διαδικασία αξιολόγησης όταν εμφανίζεται vulnerability σε component που χρησιμοποιούν.
Η ανάγκη αυτή συνδέεται άμεσα με μια ώριμη διαδικασία vulnerability management.
Τι ισχύει για Open-Source Software;
Ο CRA δεν αντιμετωπίζει κάθε open-source project σαν εμπορικό manufacturer.
Η δωρεάν και open-source ανάπτυξη που δεν διατίθεται στην αγορά στο πλαίσιο εμπορικής δραστηριότητας αντιμετωπίζεται διαφορετικά από τα εμπορικά προϊόντα.
Παράλληλα, ο Κανονισμός εισάγει την έννοια του open-source software steward: νομικό πρόσωπο διαφορετικό από manufacturer που παρέχει συστηματικά και σε σταθερή βάση υποστήριξη στην ανάπτυξη συγκεκριμένων open-source προϊόντων που προορίζονται για εμπορικές δραστηριότητες και εξασφαλίζει τη βιωσιμότητά τους.
Οι υποχρεώσεις των open-source software stewards δεν είναι ταυτόσημες με εκείνες των manufacturers, αλλά περιλαμβάνουν και συγκεκριμένες υποχρεώσεις reporting.
Conformity Assessment και CE Marking
Η συμμόρφωση με τον CRA συνδέεται επίσης με conformity assessment.
Ο manufacturer πρέπει να τεκμηριώνει πώς το προϊόν συμμορφώνεται με τις εφαρμοζόμενες απαιτήσεις και να πραγματοποιεί την κατάλληλη διαδικασία conformity assessment.
Στο τέλος της σχετικής διαδικασίας, όπου πληρούνται οι απαιτήσεις, το προϊόν συνοδεύεται από EU declaration of conformity και φέρει CE marking.
Η ακριβής διαδικασία conformity assessment εξαρτάται από την κατηγορία του προϊόντος και τις εφαρμοζόμενες διατάξεις. Δεν πρέπει επομένως μια επιχείρηση να θεωρήσει ότι η ίδια διαδικασία ισχύει για κάθε software ή hardware product.
CRA και NIS2 δεν είναι το ίδιο πράγμα
Ο CRA και η NIS2 αποτελούν διαφορετικά νομοθετικά εργαλεία.
Σε απλοποιημένη μορφή:
- CRA: επικεντρώνεται στην κυβερνοασφάλεια προϊόντων με ψηφιακά στοιχεία και στις υποχρεώσεις των σχετικών οικονομικών φορέων.
- NIS2: επικεντρώνεται στην κυβερνοασφάλεια και τη διαχείριση κινδύνων συγκεκριμένων essential και important entities στους τομείς που καλύπτει.
Μια επιχείρηση μπορεί, ανάλογα με τη δραστηριότητά της, να επηρεάζεται από το ένα, το άλλο ή και από περισσότερα ευρωπαϊκά κανονιστικά πλαίσια.
Για περισσότερες πληροφορίες σχετικά με τη NIS2, δείτε τον σχετικό οδηγό της DataShield για τις απαιτήσεις που αφορούν τις επιχειρήσεις.
Τι πρέπει να κάνουν τώρα οι επιχειρήσεις που πιθανώς εμπίπτουν στον CRA;
Η πλήρης εφαρμογή το 2027 δεν σημαίνει ότι η προετοιμασία πρέπει να ξεκινήσει τότε.
Ειδικά οι reporting obligations του Σεπτεμβρίου 2026 απαιτούν ήδη λειτουργικές διαδικασίες.
- Καταγράψτε τα προϊόντα σας: ποιο software ή hardware διαθέτετε στην αγορά;
- Καθορίστε τον ρόλο σας: manufacturer, importer, distributor ή άλλος actor;
- Επιβεβαιώστε το scope: εξετάστε αν κάθε προϊόν αποτελεί product with digital elements και αν εφαρμόζεται κάποια εξαίρεση.
- Ορίστε vulnerability intake: πώς αναφέρονται και αξιολογούνται vulnerabilities του προϊόντος;
- Δημιουργήστε CRA reporting process: ποιος αποφασίζει αν υπάρχει actively exploited vulnerability ή severe incident και ποιος υποβάλλει την αναφορά;
- Ελέγξτε dependencies: γνωρίζετε ποια third-party components χρησιμοποιεί το προϊόν;
- Ενσωματώστε cybersecurity risk assessment: η ασφάλεια πρέπει να συνδέεται με τον κύκλο ζωής ανάπτυξης.
- Οργανώστε patch και update διαδικασίες: πώς δημιουργούνται, δοκιμάζονται και διανέμονται security fixes;
- Προετοιμάστε documentation: οι απαιτήσεις συμμόρφωσης δεν αποδεικνύονται μόνο με τεχνικά controls αλλά και με τεκμηρίωση.
- Παρακολουθείτε την επίσημη guidance: η εφαρμογή του CRA βρίσκεται ακόμη σε ενεργή φάση προετοιμασίας και εκδίδονται νέες οδηγίες και πρότυπα.
Μην περιμένετε μέχρι τον Δεκέμβριο του 2027
Για μια επιχείρηση που αναπτύσσει ψηφιακά προϊόντα, η συμμόρφωση με τον CRA δεν είναι εργασία που μπορεί να ολοκληρωθεί λίγο πριν την ημερομηνία εφαρμογής.
Αλλαγές σε secure development, vulnerability management, product architecture, documentation και support processes μπορεί να απαιτούν σημαντικό χρόνο.
Επιπλέον, οι reporting obligations ξεκινούν ήδη στις 11 Σεπτεμβρίου 2026.
Η σωστή στρατηγική είναι επομένως να γίνει έγκαιρα scope assessment και gap analysis, ώστε η επιχείρηση να γνωρίζει ποιες υποχρεώσεις εφαρμόζονται πραγματικά στα προϊόντα της.
Πώς μπορεί να βοηθήσει η DataShield
Η τεχνική προετοιμασία για τον CRA ξεκινά από την κατανόηση των προϊόντων, των dependencies, των vulnerabilities και των υφιστάμενων security processes.
Η DataShield μπορεί να βοηθήσει στην τεχνική αξιολόγηση της υπάρχουσας κατάστασης, στον εντοπισμό κενών σε vulnerability management, access controls, logging, secure configuration και incident-response διαδικασίες και στη δημιουργία ενός πρακτικού πλάνου βελτίωσης.
Η τελική αξιολόγηση των νομικών υποχρεώσεων και της κανονιστικής συμμόρφωσης πρέπει να γίνεται με βάση τον Κανονισμό, την ισχύουσα επίσημη καθοδήγηση και, όπου απαιτείται, κατάλληλη νομική συμβουλή.
Συμπέρασμα
Ο Cyber Resilience Act μεταφέρει την κυβερνοασφάλεια των ψηφιακών προϊόντων από την κατηγορία της καλής πρακτικής σε ένα ευρωπαϊκό πλαίσιο υποχρεωτικών απαιτήσεων.
Για τις ελληνικές ΜΜΕ που αναπτύσσουν, κατασκευάζουν, εισάγουν ή διανέμουν προϊόντα με ψηφιακά στοιχεία, το πρώτο βήμα είναι να κατανοήσουν τον πραγματικό τους ρόλο και το scope των προϊόντων τους.
Το επόμενο άμεσο ορόσημο είναι η 11η Σεπτεμβρίου 2026, όταν αρχίζουν οι reporting obligations για actively exploited vulnerabilities και severe incidents. Η πλήρης εφαρμογή του CRA ακολουθεί στις 11 Δεκεμβρίου 2027.
Επικοινωνήστε με τη DataShield.gr για μια αρχική τεχνική αξιολόγηση των security controls και των διαδικασιών vulnerability management που σχετίζονται με τα ψηφιακά προϊόντα της επιχείρησής σας.
