UCCSAL
Центр адаптації та локалізації стандартів кібербезпеки
Чинний; основні вимоги застосовуються з 11.12.2027

Cyber Resilience Act

Регламент (ЄС) 2024/2847

CRA встановлює вимоги кібербезпеки до апаратних і програмних продуктів на ринку ЄС: від проєктування та оцінювання відповідності до усунення вразливостей у період підтримки.

Огляд Cyber Resilience Act

Cyber Resilience Act — Регламент (ЄС) 2024/2847 про кібербезпеку продуктів із цифровими елементами. Він пов’язує вихід продукту на ринок ЄС із безпечним проєктуванням, документацією, оцінюванням відповідності та подальшою підтримкою.

Об’єкт вимог — конкретний продукт і робота з його вразливостями. CRA доповнює вимоги до безпеки організацій та захисту персональних даних; маркування CE не гарантує відсутності всіх вразливостей.

Тип документаРегламент ЄС про кібербезпеку продуктів
НомерРегламент (ЄС) 2024/2847
Набрання чинності10.12.2024
Основні вимогиЗ 11.12.2027; повідомлення з 11.09.2026
Структура8 глав, 71 стаття, 8 додатків
Офіційний сайтCRA: офіційний текст

Для кого встановлено вимоги

Виробник відповідає за продукт під власним ім’ям або торговельною маркою. Імпортер і дистриб’ютор мають окремі обов’язки перевірки та реагування. Розробникам, керівникам продукту й закупівельникам потрібне спільне розуміння цих ролей.

Український виробник має врахувати CRA, коли його продукт надається на ринку ЄС у межах комерційної діяльності. Саме місце розробки в Україні не звільняє від вимог; для продукту лише на українському ринку застосовність автоматично не виникає.

Яких галузей і продуктів стосується

Практичні приклади — мережеве обладнання, мобільні застосунки, підключена побутова техніка, промислові контролери та компоненти, які продають окремо. Вирішальною є функція й спосіб постачання продукту, а не лише галузь виробника.

Для окремих медичних, автомобільних, авіаційних та інших виробів діють винятки, пов’язані зі спеціальним законодавством ЄС. Продукти, розроблені або модифіковані виключно для національної безпеки чи оборони, також виключені. Виняток перевіряють для конкретного виробу.

Межі продукту та відкритий код

У сфері дії — продукти, передбачене або обґрунтовано очікуване використання яких включає пряме чи опосередковане з’єднання з пристроєм або мережею. Віддалена обробка даних входить до продукту, якщо її створив виробник або вона створена під його відповідальністю й без неї продукт втрачає одну зі своїх функцій.

Вільне програмне забезпечення з відкритим кодом, що постачається поза комерційною діяльністю, не підпадає під звичайні обов’язки виробника. Комерційне постачання відкритого продукту та роль організації, що постійно підтримує його розвиток (open-source software steward), оцінюють окремо. Наявність відкритої ліцензії сама по собі не є загальним звільненням.

Безпека під час розробки

Виробник оцінює ризики продукту та реалізує застосовні суттєві вимоги з додатка I: безпечні початкові налаштування, захист доступу й даних, обмеження поверхні атаки та можливість безпечного оновлення. Рішення й результати перевірок входять до технічної документації.

Компоненти сторонніх розробників перевіряють належним чином. Перелік програмних компонентів SBOM допомагає встановити залежності та вразливі версії; він має бути машинозчитуваним і охоплювати щонайменше залежності верхнього рівня.

Підтримка та усунення вразливостей

Період підтримки визначають з урахуванням очікуваного використання продукту: щонайменше 5 років, а якщо очікуваний строк використання коротший — протягом цього строку. Для довговічного обладнання обґрунтований період може бути довшим. Дату завершення підтримки повідомляють покупцеві.

Потрібні канал повідомлення про вразливості, їх перевірка, своєчасне виправлення та безпечне доставлення оновлень. Наприклад, вразливість бібліотеки зі складу прошивки має привести до перевірки всіх зачеплених версій продукту, а не лише останнього випуску.

Оцінювання відповідності та CE

Для більшості продуктів дозволений внутрішній контроль виробника. Для важливих і критичних категорій діють суворіші процедури; потребу в нотифікованому органі визначають за категорією продукту, застосованими стандартами та умовами статті 32.

Перед введенням продукту в обіг виробник підтверджує відповідність, оформлює декларацію ЄС та наносить CE. Гармонізовані стандарти можуть створювати презумпцію відповідності охопленим вимогам лише за встановлених умов; довільний сертифікат безпеки цього не замінює.

Коли повідомляти про вразливість або інцидент

Стаття 14 стосується вразливостей, які активно експлуатуються, та серйозних інцидентів, що впливають на безпеку продукту. Після того як виробник дізнався про таку подію, раннє попередження подають без невиправданої затримки, не пізніше 24 годин, а повідомлення — не пізніше 72 годин.

Остаточний звіт щодо вразливості подають не пізніше 14 днів після появи виправлення або заходу пом’якшення; щодо інциденту — протягом 1 місяця після основного повідомлення. Єдина платформа SRP передає повідомлення відповідному CSIRT та ENISA за правилами регламенту. Не кожна знайдена вразливість автоматично потребує такого звіту.

Коли починають діяти вимоги

Станом на 08.09.2026 CRA вже чинний. Положення про нотифікацію органів оцінювання відповідності застосовуються з 11.06.2026; обов’язки повідомлення за статтею 14 починаються 11.09.2026, а основні вимоги — 11.12.2027.

Для продуктів, введених в обіг до 11.12.2027, загальні вимоги переважно пов’язані з істотною модифікацією після цієї дати. Обов’язки повідомлення охоплюють і раніше введені в обіг продукти. Під час планування слід окремо перевірити перехідні правила статті 69 та роз’яснення Комісії.