Cyber Resilience Act: отчётность об уязвимостях с сентября 2026

Сроки итогового отчёта зависят от предмета сообщения. По уязвимости его подают не позднее 14 дней после появления корректирующей меры. По серьёзному инциденту — в течение месяца после основного уведомления, поданного в 72 часа. Поэтому процесс отчётности должен охватывать не только первые сутки, но и сбор данных об устранении проблемы.

Да, обязанность распространяется и на продукцию, ранее выпущенную на рынок ЕС. Это не требование к новым партиям, а постоянная обязанность изготовителя по всему парку устройств, находящихся в обращении. Для производителей подключаемой техники это означает необходимость следить за уязвимостями в старых моделях наравне с новыми.

К ним относят устройства с сетевым подключением, например роутеры, камеры, умные приборы и датчики. Также сюда входят оборудование со встроенным программным обеспечением, самостоятельное ПО и прошивки, а также компоненты с цифровой частью: модули связи и платы с микропрограммой. Принадлежность своих изделий к этой категории экспортёр определяет сам.

Нет, обязанность отчётности сохраняется и после завершения периода поддержки изделия. Окончание поддержки не снимает с изготовителя необходимости уведомлять об активно эксплуатируемых уязвимостях в уже проданных устройствах. Поэтому такие модели нужно оставлять в процессе мониторинга, а не исключать из него. Для таких моделей нужны тот же канал получения сведений об уязвимостях и закреплённый ответственный сотрудник.

Обязанность лежит на изготовителе. Импортёр в ЕС имеет собственные обязанности, и распределение ролей фиксируют в договоре. Однако такое соглашение не снимает ответственность с изготовителя полностью, поэтому российскому экспортёру всё равно нужны ответственный сотрудник и готовая процедура уведомления. Распределение ролей лучше согласовать при заключении договора, до появления первой уязвимости.

Зарегистрироваться на единой платформе отчётности ENISA можно самостоятельно либо согласовать подачу через представителя в ЕС. Заранее назначьте ответственного, опишите, кто узнаёт об уязвимости, кто её оценивает и кто готовит уведомление, и подготовьте формы. В момент инцидента налаживать этот порядок уже поздно.

Нет, маркировка CE не закрывает обязанности по Cyber Resilience Act. Она подтверждает состояние изделия на момент выпуска, а отчётность об уязвимостях действует всё время обращения продукции. Требования кибербезопасности, оценка соответствия по ним и маркировка CE по регламенту применяются с 11 декабря 2027 года. Отчётность по статье 14 обязательна уже с 11 сентября 2026 года. Планировать её нужно вместе с оценкой соответствия, а не после.

Основные требования к продукции применяются с 11 декабря 2027 года. Отчётность же заработала раньше, с 11 сентября 2026 года, поэтому экспортёру стоит готовиться к обоим этапам одновременно: выстраивать процесс уведомлений сейчас и планировать оценку соответствия изделий новым требованиям. Для части продукции предусмотрены усиленные процедуры оценки соответствия, зависящие от критичности изделия.

Раннее предупреждение подают в течение 24 часов с момента, когда изготовителю стало известно об активно эксплуатируемой уязвимости или серьёзном инциденте. Основное уведомление подают в течение 72 часов, затем — итоговый отчёт в сроки статьи 14. Срок считается с момента, когда изготовитель узнал об уязвимости, а не с её появления. Уведомления подаются один раз через единую платформу отчётности ENISA, которая работает с 11 сентября 2026 года.

Cyber Resilience Act — регламент (ЕС) 2024/2847 о киберустойчивости товаров с цифровыми элементами, вступивший в силу 10 декабря 2024 года. С 11 сентября 2026 года он обязывает изготовителей сообщать об активно эксплуатируемых уязвимостях и серьёзных киберинцидентах. С 11 декабря 2027 года применяются основные обязательства: требования кибербезопасности, оценка соответствия, маркировка CE и техническая документация. Для российских экспортёров электроники это новый слой требований поверх CE.