Cyber Resilience Act: отчётность об уязвимостях с сентября 2026

01

Что заработало с 11 сентября 2026 года

• обязательная отчётность по Cyber Resilience Act в Европейском союзе;
• изготовители товаров с цифровыми элементами обязаны сообщать об активно эксплуатируемых уязвимостях;
• и о серьёзных инцидентах в области кибербезопасности;
• первичное уведомление — в течение двадцати четырёх часов;
• основное — в течение семидесяти двух часов;
• далее предусмотрен итоговый отчёт;
• отчёты подаются через платформу единой отчётности ENISA.

02

Кого это касается

• правила распространяются в том числе на продукцию, уже находящуюся на рынке;
• то есть на товары, выпущенные до вступления обязанности в силу;
• это отличает требование от обычных продуктовых норм;
• обычно они применяются к новым партиям;
• здесь обязанность возникает у изготовителя по всему обращающемуся парку;
• для производителей подключаемых устройств это новый постоянный процесс.

03

Три стадии отчёта

• сроки короткие и требуют заранее выстроенного процесса;
• реагировать за сутки без регламента невозможно;
• нужен ответственный, канал получения сведений об уязвимостях;
• и готовые формы для подачи;
• многие изготовители выстраивают это впервые;
• для них это организационная, а не техническая задача.

04

Как это соотносится с CE

• Cyber Resilience Act встраивается в систему CE;
• требования к киберустойчивости становятся частью оценки соответствия;
• наряду с электробезопасностью и электромагнитной совместимостью;
• для части продукции предусмотрены усиленные процедуры;
• в зависимости от критичности изделия;
• отчётность об уязвимостях — отдельная постоянная обязанность;
• она не заканчивается с получением маркировки.

05

Что это значит для российского экспортёра

• обязанность лежит на изготовителе;
• импортёр в ЕС имеет свои обязанности;
• распределение фиксируется договором;
• но не перекладывает ответственность полностью;
• для экспортёра это новый слой требований поверх CE;
• планировать его надо вместе с оценкой соответствия, а не после.

1. Проверить, попадает ли продукция под определение товаров с цифровыми элементами.
2. Оценить, требуется ли усиленная процедура оценки соответствия.
3. Выстроить процесс получения сведений об уязвимостях.
4. Назначить ответственного за отчётность.
5. Подготовиться к подаче через платформу ENISA.
6. Учесть обязанность по продукции, уже поставленной на рынок ЕС.
7. Согласовать распределение обязанностей с импортёром в ЕС.

06

Общий тренд: compliance становится процессом

• та же логика видна и внутри союза;
• автоматическая сверка карточек товаров с реестром;
• контроль статуса документа в момент продажи;
• обязанность информировать о несоответствии;
• подтверждение соответствия перестаёт быть разовым событием;
• оно превращается в постоянную функцию у изготовителя и продавца.

07

Как проходит сертификация по шагам

• решение по заявке — документ, который фиксирует условия работы;
• до него стоимость и сроки называются ориентировочно;
• анализ производства проверяет способность стабильно выпускать продукцию;
• инспекционный контроль планируется заранее, а не по напоминанию органа;
• пропуск контроля ведёт к приостановке сертификата.

1. Подача заявки с описанием продукции и комплектом документов.
2. Идентификация продукции органом: соответствие описанию, отнесение к регламентам.
3. Решение по заявке с указанием схемы, программы испытаний и стоимости.
4. Отбор образцов с составлением акта, для импорта — ввоз образцов.
5. Испытания в аккредитованной лаборатории по программе.
6. Анализ состояния производства при серийной схеме с выездом на площадку.
7. Оценка результатов и решение о выдаче.
8. Оформление сертификата и внесение в единый реестр.
9. Инспекционный контроль в период действия сертификата.

08

Схема сертификации: серия или партия

• серийная схема требует договора с изготовителем;
• без него иностранный производитель не может быть представлен;
• партионная схема привязывает документ к реквизитам конкретной партии;
• на следующую поставку оформляется новый документ;
• выбор схемы — вопрос экономики, а не предпочтений.

09

Инспекционный контроль

• проводится не реже раза в год в течение действия сертификата;
• включает анализ производства или испытания образцов из торговли;
• дата контроля отсчитывается от даты выдачи;
• орган не обязан напоминать о приближении срока;
• пропуск ведёт к приостановке действия сертификата;
• восстановление после приостановки требует внеочередного контроля.

10

Электробезопасность: что проверяется

• нагрев проверяется во всех частях, включая шнур и вилку;
• аварийные режимы моделируются: блокировка двигателя, перекрытие вентиляции;
• защита должна сработать до опасного состояния;
• класс защиты от поражения током определяет требования;
• испытания частично разрушающие.

1. Электрическая прочность изоляции при испытательном напряжении.
2. Сопротивление изоляции.
3. Непрерывность цепи заземления для изделий первого класса.
4. Ток утечки в нормальном режиме и при неисправности.
5. Нагрев частей при работе и в аварийных режимах.
6. Защита от доступа к токоведущим частям.
7. Прочность шнура и места его ввода.
8. Стойкость к перегрузке и ненормальной работе.