Cyber Resilience Act: отчётность об уязвимостях с сентября 2026
С 11 сентября 2026 года в Европейском союзе заработала обязательная отчётность по Cyber Resilience Act.
- Начинаем с идентификации — рассматриваем состав, назначение и характеристики продукции
- Уточняем применимые требования и форму оценки для конкретной продукции
- Проверяем доказательства и согласуем состав работ после анализа исходных данных
- Подготовка документов и испытания определяются выбранной формой и схемой
- Состав работ, цену и срок согласуем после рассмотрения продукции
Стоимость определяется объёмом: оценка соответствия по CE отдельно, выстраивание процесса отчётности об уязвимостях — отдельная организационная задача.
При замечаниях к документам сначала сопоставляем продукцию, применимые требования и доказательства. Возможность оформления зависит от результатов этой проверки.
Для нестандартной продукции обсуждаем характеристики, состав, назначение, особенности производства и применимые требования.
После идентификации определяем, требуется ли подтверждение соответствия и в какой форме. Отсутствие обязательного документа не означает, что любой товар требует отказное письмо.
Участие заявителя, лаборатории и органа по оценке соответствия определяется применимыми требованиями и выбранной схемой. Состав участников и работ уточняется для конкретной продукции.
С 11 сентября 2026 года в Европейском союзе заработала обязательная отчётность по Cyber Resilience Act. Изготовители товаров с цифровыми элементами обязаны сообщать об активно эксплуатируемых уязвимостях и серьёзных киберинцидентах в жёсткие сроки. Для российских экспортёров электроники это новый слой требований поверх CE.
| 8517 | Аппаратура связи |
| 8471 | Вычислительные машины |
| 8525 80 | Камеры телевизионные |
| 8537 | Пульты и панели управления |
01
Что заработало с 11 сентября 2026 года
- обязательная отчётность по Cyber Resilience Act в Европейском союзе;
- изготовители товаров с цифровыми элементами обязаны сообщать об активно эксплуатируемых уязвимостях;
- и о серьёзных инцидентах в области кибербезопасности;
- первичное уведомление — в течение двадцати четырёх часов;
- основное — в течение семидесяти двух часов;
- далее предусмотрен итоговый отчёт;
- отчёты подаются через платформу единой отчётности ENISA.
02
Кого это касается
- правила распространяются в том числе на продукцию, уже находящуюся на рынке;
- то есть на товары, выпущенные до вступления обязанности в силу;
- это отличает требование от обычных продуктовых норм;
- обычно они применяются к новым партиям;
- здесь обязанность возникает у изготовителя по всему обращающемуся парку;
- для производителей подключаемых устройств это новый постоянный процесс.
| Категория | Примеры |
| Устройства с сетевым подключением | Роутеры, камеры, умные приборы, датчики |
| Оборудование с программным обеспечением | Промышленные контроллеры, терминалы |
| Программное обеспечение | Приложения, встроенные прошивки |
| Компоненты с цифровой частью | Модули связи, платы с микропрограммой |
03
Как подготовиться экспортёру
- Определите, какие ваши изделия — товары с цифровыми элементами в смысле регламента.
- Назначьте ответственного за мониторинг уязвимостей и подачу уведомлений.
- Зарегистрируйтесь на единой платформе отчётности ENISA или согласуйте подачу через представителя в ЕС.
- Опишите процедуру: кто узнаёт об уязвимости, кто оценивает, кто готовит уведомление за 24 часа.
- Проверьте договоры с поставщиками компонентов и программного обеспечения на обмен сведениями об уязвимостях.
- Запланируйте подготовку к основным требованиям, которые применяются с 11 декабря 2027 года.
04
Три стадии отчёта
- сроки короткие и требуют заранее выстроенного процесса;
- реагировать за сутки без регламента невозможно;
- нужен ответственный, канал получения сведений об уязвимостях;
- и готовые формы для подачи;
- многие изготовители выстраивают это впервые;
- для них это организационная, а не техническая задача.
| Стадия | Срок | Содержание |
| Первичное уведомление | 24 часа | Факт уязвимости или инцидента, известные сведения |
| Основной отчёт | 72 часа | Описание, оценка, принятые и планируемые меры |
| Итоговый отчёт | По завершении | Полная картина, устранение, выводы |
05
Как это соотносится с CE
- Cyber Resilience Act встраивается в систему CE;
- требования к киберустойчивости становятся частью оценки соответствия;
- наряду с электробезопасностью и электромагнитной совместимостью;
- для части продукции предусмотрены усиленные процедуры;
- в зависимости от критичности изделия;
- отчётность об уязвимостях — отдельная постоянная обязанность;
- она не заканчивается с получением маркировки.
Для расчёта нужны характеристики продукции, применимые требования и объём испытаний. Стоимость и срок согласуем после рассмотрения этих данных.
06
Что это значит для российского экспортёра
- обязанность лежит на изготовителе;
- импортёр в ЕС имеет свои обязанности;
- распределение фиксируется договором;
- но не перекладывает ответственность полностью;
- для экспортёра это новый слой требований поверх CE;
- планировать его надо вместе с оценкой соответствия, а не после.
- Проверить, попадает ли продукция под определение товаров с цифровыми элементами.
- Оценить, требуется ли усиленная процедура оценки соответствия.
- Выстроить процесс получения сведений об уязвимостях.
- Назначить ответственного за отчётность.
- Подготовиться к подаче через платформу ENISA.
- Учесть обязанность по продукции, уже поставленной на рынок ЕС.
- Согласовать распределение обязанностей с импортёром в ЕС.
07
Общий тренд: compliance становится процессом
- та же логика видна и внутри союза;
- автоматическая сверка карточек товаров с реестром;
- контроль статуса документа в момент продажи;
- обязанность информировать о несоответствии;
- подтверждение соответствия перестаёт быть разовым событием;
- оно превращается в постоянную функцию у изготовителя и продавца.
| Раньше | Сейчас |
| Разовая оценка соответствия | Оценка плюс постоянные обязанности |
| Документ на момент выпуска | Отслеживание состояния в обращении |
| Проверка при ввозе | Проверка в момент размещения карточки |
| Реакция на жалобу | Проактивное уведомление об уязвимости |
08
Сроки отчётов по статье 14
- раннее предупреждение — в течение 24 часов с момента, когда изготовителю стало известно об активно эксплуатируемой уязвимости или серьёзном инциденте;
- полное уведомление — в течение 72 часов;
- итоговый отчёт по уязвимости — не позднее 14 дней после появления корректирующей меры;
- итоговый отчёт по серьёзному инциденту — в течение месяца после уведомления на 72 часа;
- уведомления подаются один раз через единую платформу отчётности ENISA, которая работает с 11 сентября 2026 года.
09
Ключевые даты Cyber Resilience Act
| Дата | Что применяется |
|---|---|
| 10 декабря 2024 года | Регламент (ЕС) 2024/2847 вступил в силу |
| 11 июня 2026 года | Применяются правила о нотификации органов по оценке соответствия |
| 11 сентября 2026 года | Обязательная отчётность изготовителей по статье 14 |
| 11 декабря 2027 года | Основные обязательства: требования кибербезопасности, оценка соответствия, маркировка CE, техническая документация |
Частые вопросы
Когда заработала отчётность?
С 11 сентября 2026 года.
О чём надо сообщать?
Об активно эксплуатируемых уязвимостях и серьёзных инцидентах.
Какой срок первичного уведомления?
Двадцать четыре часа.
А основного отчёта?
Семьдесят два часа.
Есть ли итоговый отчёт?
Да, по завершении.
Куда подаются отчёты?
Через платформу единой отчётности ENISA.
Кого это касается?
Изготовителей товаров с цифровыми элементами.
Только новой продукции?
Нет, и уже находящейся на рынке ЕС.
Связано ли это с CE?
Да, требования встраиваются в систему CE.
Заканчивается ли обязанность с маркировкой?
Нет, действует всё время обращения.
На ком лежит обязанность?
На изготовителе.
Можно ли переложить на импортёра?
Распределение фиксируется договором, но не снимает ответственность.
Что нужно выстроить заранее?
Процесс, ответственного и канал сведений об уязвимостях.
Почему заранее?
За двадцать четыре часа с нуля процесс не собрать.
С какой даты действует отчётность по Cyber Resilience Act?
С 11 сентября 2026 года; основные обязательства — с 11 декабря 2027 года.
Куда подаются уведомления?
Через единую платформу отчётности ENISA, работающую с 11 сентября 2026 года.
Касается ли отчётность продукции, выпущенной на рынок ЕС раньше?
Да, обязанность отчётности распространяется и на ранее выпущенную продукцию.
Какой срок у итогового отчёта по уязвимости?
Не позднее 14 дней после появления корректирующей меры.
Какой срок у итогового отчёта по серьёзному инциденту?
В течение месяца после уведомления, поданного в срок 72 часа.
Нужно ли отчитываться после окончания периода поддержки продукта?
Да, обязанность отчётности сохраняется и после окончания периода поддержки.
Консультация по продукции
Разберём ваш случай
Опишите товар и задачу — проверим применимые требования, обсудим форму оценки, доказательства, срок и стоимость работ.
- Проверим, попадает ли товар под технические регламенты
- Проверим схему и программу испытаний по характеристикам продукции
- Обсудим состав работ, срок и стоимость после рассмотрения данных
- Проверим доступные сведения о документах поставщика