CRA: что уже действует и что подготовить к декабрю 2027 года

Для производителя цифровой продукции, поставляемой в ЕС, Cyber Resilience Act уже создаёт задачи. Основной режим начнёт применяться 11 декабря 2027 года, но уведомления по статье 14 — с 11 сентября 2026-го. Подготовку стоит разделить: сначала определить сферу акта и наладить реагирование, затем подготовить продукт, документы и поддержку к общему сроку.

Досье основано на Регламенте (ЕС) 2024/2847, прежде всего статьях 2, 13, 14, 69 и 71. Даты дополнительно сверены с Европейской комиссией. Проверено 7 октября 2026 года. Рекомендации редакции и сценарий до 2030 года отделены от принятых требований.

Сначала продукт, затем календарь

По статье 2 CRA применяется к продуктам с цифровыми элементами, предоставляемым на рынке, когда их предполагаемое или разумно предвидимое использование включает прямое либо косвенное логическое или физическое соединение с устройством или сетью. Это может быть оборудование или программный продукт. Само слово «цифровой» в презентации ещё не подтверждает применимость.

Нужно проверить исключения. Например, статья 2 отдельно выводит из сферы изделия, подпадающие под регламенты ЕС о медицинских изделиях 2017/745 и диагностике in vitro 2017/746, а также определённую автомобильную, авиационную и морскую продукцию. Есть исключения для отдельных запасных частей и продукции исключительно для национальной безопасности или обороны. Состав исключений проверяется по назначению конкретного продукта.

Для программного компонента важны способ предоставления и роль компании в цепочке. Наличие открытого кода не снимает с изготовителя коммерческого продукта обязанность внимательно выбирать сторонние компоненты: статья 13(5) прямо охватывает и такую интеграцию. В этом досье не разбирается полностью отдельный режим сопровождающих открытое ПО организаций.

Три даты с разным смыслом

Вступление акта в силу и начало применения отдельных обязанностей — разные события. Поэтому формула «CRA заработает в 2027 году» скрывает уже наступивший срок уведомлений.

Какие события запускают уведомление

Статья 14 различает активно эксплуатируемую уязвимость и серьёзный инцидент, влияющий на безопасность продукта. Это не требование отправлять одинаковый отчёт о любой найденной ошибке. Для серьёзности инцидента пункт 5 устанавливает признаки, связанные с защищённостью важных данных и функций либо внедрением или выполнением вредоносного кода.

Отсчёт 72 часов не начинается после завершения первых 24 часов. Итоговые сроки для двух событий тоже нельзя объединять. Уведомление направляется через единую платформу координатору CSIRT и ENISA; статья 14(7) устанавливает порядок выбора координатора, в том числе для изготовителя без основного подразделения в ЕС.

Отдельно статья 14(8) требует информировать затронутых пользователей, а при необходимости всех пользователей, о событии и необходимых мерах. Публичная новость на сайте и регуляторное уведомление решают разные задачи. Редакционная рекомендация — заранее согласовать ответственных, резервные контакты, сбор сведений о версиях и порядок общения с пользователями.

Что делать с продукцией, выпущенной раньше

Статья 69(2) устанавливает переход для продуктов, размещённых на рынке до 11.12.2027: основной набор требований применяется к ним при существенном изменении с этой даты. Но пункт 3 делает прямое исключение для статьи 14: уведомления распространяются и на ранее размещённые продукты в сфере CRA.

Следовательно, старую линейку нельзя просто исключить из списка наблюдения за уязвимостями. При этом правило не означает автоматической повторной оценки всех старых экземпляров. Нужны две отметки: когда продукт размещён и менялся ли он существенно. Значение «существенного изменения» проверяют по определению самого CRA, а не переносят из другого регламента.

Поддержка продукта и доступность обновлений — разные сроки

По статье 13(8) срок поддержки должен отражать ожидаемое время использования с учётом назначения, разумных ожиданий пользователей и других перечисленных факторов. Как правило, он составляет не менее пяти лет; если ожидаемое использование короче пяти лет, срок соответствует этому периоду. Пять лет — не автоматический предел для любого промышленного оборудования.

По статье 13(9) уже выпущенное в период поддержки обновление безопасности должно оставаться доступным не менее десяти лет после выпуска либо до конца оставшегося срока поддержки — выбирается более длинный период. Это правило доступности конкретного обновления; его нельзя пересказывать как универсальную обязанность разрабатывать новые версии десять лет.

Редакционный вывод: при выборе поставщика библиотеки или прошивки недостаточно сравнить стоимость лицензии. Важно согласовать получение сведений об уязвимостях, исправлений и допустимые способы их передачи вашим покупателям. Собственную ответственность изготовителя один договор с поставщиком не отменяет.

Рабочая таблица подготовки

Это порядок организации работ, а не полный чек-лист соответствия. Детальные существенные требования, техническую документацию и процедуру проверяют по продукту. Нельзя обещать один обязательный «сертификат CRA» для всех категорий. Если речь о машине с цифровыми функциями, дополнительно нужен разбор машинного регламента: у него свой календарь и свои условия.

Наш сценарий на 2027–2030 годы

Прогноз редакции: способность долго сопровождать компоненты станет заметнее в выборе поставщиков. Механизм понятен: изготовитель отвечает за обработку уязвимостей продукта, но исправления часто зависят от нескольких внешних разработчиков. Поэтому в закупке могут получить больший вес срок поддержки и доступ к исправлениям, а не только первоначальная цена.

Предпосылки — сохранение принятых обязанностей и реальная зависимость продукта от сторонних компонентов. Альтернатива — зрелые общие платформы поддержки сократят нагрузку на небольших производителей. Признаки ослабления сценария: официальные упрощения либо распространение решений, которые дают сопоставимую поддержку без отдельного управления цепочкой. Это аналитический вывод, не обещание будущего требования о конкретном договоре и не оценка роста рынка.

Чем могут помочь специалисты

Начать можно с аудита готовности к поставке в ЕС. На первом этапе наши специалисты собирают сведения о модели, назначении, цифровых функциях, компонентах, документации и предполагаемой поставке. Результат — карта применимых требований и вопросов, требующих отдельной технической оценки.

Следующий результат — план подготовки: документы, ответственные, последовательность работ и перечень внешних испытаний или оценок. Сопровождение перехода согласуется по этому плану. Специальные испытания кибербезопасности, разработка исправлений и участие уполномоченных органов требуют отдельного состава работ и профильных исполнителей; консультация их не заменяет.

Источники, ограничения и история

Юридические положения в тексте привязаны к статьям первоисточника 2024/2847; это принятый акт, а не проект. Календарь дополнительно сверён с Европейской комиссией. Обязательства открытых разработчиков, правила всех категорий продукции и все связанные акты ЕС здесь не исчерпаны. Клиентские данные и вымышленные кейсы не использованы. Автор — редакция «Реестр Гарант».

7 октября 2026: первая редакция. Следующие основания для обновления — официальные изменения, новые обязательные процедуры и уточнения применимости. Досье сохраняет адрес при пересмотре текста. Все досье · Календарь требований.