Cyber Resilience Act: τι αλλάζει για συσκευές και λογισμικό στην ΕΕ

Ο Κανονισμός για την Κυβερνοανθεκτικότητα — γνωστός ως Cyber Resilience Act (CRA) — μεταφέρει την κυβερνοασφάλεια από την κατηγορία της «καλής πρακτικής» σε υποχρέωση για μεγάλο μέρος του υλικού και λογισμικού που διατίθεται στην Ευρωπαϊκή Ένωση. Το κρίσιμο σημείο δεν είναι μόνο η ασφάλεια τη στιγμή της πώλησης. Είναι η διαχείριση του κινδύνου σε όλον τον κύκλο ζωής του προϊόντος. Η Ευρωπαϊκή Επιτροπή συνοψίζει το πλαίσιο ως ένα σύνολο υποχρεωτικών απαιτήσεων κυβερνοασφάλειας για προϊόντα με ψηφιακά στοιχεία. Σε αυτά περιλαμβάνονται συνδεδεμένες συσκευές και λογισμικό των οποίων η χρήση δημιουργεί άμεση ή έμμεση σύνδεση με δίκτυο ή άλλη συσκευή. Ο κανονισμός τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024, αλλά η εφαρμογή του γίνεται σταδιακά. ## Τι ισχύει ήδη το 2026 Από τις 11 Σεπτεμβρίου 2026 εφαρμόζονται οι υποχρεώσεις αναφοράς που αφορούν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά περιστατικά. Αυτό δεν σημαίνει ότι όλες οι υπόλοιπες απαιτήσεις του CRA έχουν ήδη ενεργοποιηθεί. Η βασική ημερομηνία για την πλήρη εφαρμογή των κύριων υποχρεώσεων είναι η 11η Δεκεμβρίου 2027. Η διάκριση είναι ουσιαστική για επιχειρήσεις και αγοραστές. Το 2026 είναι έτος προετοιμασίας, αλλά δεν είναι «νεκρός χρόνος»: οι μηχανισμοί εντοπισμού, αξιολόγησης και αναφοράς ευπαθειών πρέπει να είναι πραγματικοί και λειτουργικοί. ## Τι αλλάζει για τους κατασκευαστές Οι κατασκευαστές καλούνται να ενσωματώνουν την κυβερνοασφάλεια ήδη από τον σχεδιασμό. Αυτό πρακτικά σημαίνει αξιολόγηση κινδύνου, ασφαλείς προεπιλογές, περιορισμό γνωστών ευπαθειών πριν από τη διάθεση και διαδικασία για την παραλαβή και αντιμετώπιση αναφορών ασφαλείας μετά την πώληση. Η υποχρέωση δεν τελειώνει με την κυκλοφορία του προϊόντος. Οι εταιρείες πρέπει να διαχειρίζονται ευπάθειες και ενημερώσεις για την προβλεπόμενη περίοδο υποστήριξης. Η τεκμηρίωση, οι διορθώσεις ασφαλείας και η επικοινωνία προς τους χρήστες γίνονται μέρος της συμμόρφωσης, όχι προαιρετική υπηρεσία. Για ορισμένες κατηγορίες προϊόντων υψηλότερης κρισιμότητας προβλέπεται αυστηρότερη αξιολόγηση συμμόρφωσης, που μπορεί να απαιτεί συμμετοχή τρίτου φορέα. Η ακριβής διαδικασία εξαρτάται από την ταξινόμηση του προϊόντος και τα εφαρμοζόμενα πρότυπα. ## Τι σημαίνει η σήμανση CE Όταν οι κύριες διατάξεις εφαρμοστούν, η σήμανση CE θα δηλώνει και συμμόρφωση με τις απαιτήσεις του CRA για τα προϊόντα που εμπίπτουν στο πεδίο του. Δεν είναι εγγύηση ότι ένα προϊόν δεν θα παρουσιάσει ποτέ ευπάθεια. Είναι δήλωση ότι ακολουθήθηκε το απαιτούμενο πλαίσιο αξιολόγησης, τεκμηρίωσης και διαχείρισης κινδύνου. Για τον αγοραστή, πιο χρήσιμες ερωτήσεις είναι: Για πόσο χρόνο παρέχονται ενημερώσεις; Υπάρχει σαφής τρόπος αναφοράς ευπάθειας; Είναι εύκολη η εγκατάσταση ενημερώσεων; Τι συμβαίνει όταν λήξει η υποστήριξη; ## Ποιους αφορά Το CRA αφορά ευρύ φάσμα προϊόντων με ψηφιακά στοιχεία, από καταναλωτικές συσκευές έως επαγγελματικό λογισμικό. Δεν εφαρμόζεται όμως με τον ίδιο τρόπο σε κάθε ψηφιακή υπηρεσία ή σε προϊόντα που καλύπτονται από ειδικό τομεακό πλαίσιο. Για αυτό η ανάλυση του πεδίου εφαρμογής πρέπει να γίνεται ανά προϊόν και όχι μόνο ανά εταιρεία. Οι εισαγωγείς και οι διανομείς αποκτούν επίσης ευθύνες ελέγχου. Δεν αρκεί να υποθέσουν ότι ο κατασκευαστής έχει συμμορφωθεί. Χρειάζεται να επαληθεύουν τη σχετική τεκμηρίωση και να αντιδρούν όταν εντοπίζεται μη συμμόρφωση. ## Το πρακτικό χρονοδιάγραμμα Η Επιτροπή δημοσίευσε στις 27 Ιουλίου 2026 καθοδήγηση για την πρακτική εφαρμογή. Οι επιχειρήσεις έχουν πλέον λόγο να καταγράψουν το χαρτοφυλάκιό τους, να ταξινομήσουν προϊόντα, να ορίσουν περίοδο υποστήριξης, να οργανώσουν υπεύθυνη γνωστοποίηση ευπαθειών και να συνδέσουν την τεχνική ομάδα με τη νομική και την εφοδιαστική αλυσίδα. Ο CRA δεν κάνει κάθε συσκευή αυτόματα ασφαλή. Δημιουργεί όμως μια κοινή ελάχιστη βάση: ασφάλεια από τον σχεδιασμό, ευθύνη μετά την πώληση και πιο καθαρή πληροφόρηση για το πόσο διαρκεί η υποστήριξη. Η αποτελεσματικότητά του θα κριθεί από την εφαρμογή, την εποπτεία της αγοράς και την ποιότητα των ενημερώσεων που θα λαμβάνουν οι χρήστες. **Πηγή:** Ευρωπαϊκή Επιτροπή, επίσημη σελίδα για τον Cyber Resilience Act, ενημερωμένη στις 7 Σεπτεμβρίου 2026.