Закон ЕС о киберустойчивости (CRA): обязательство по отчетности начинается 11 сентября

Закон о киберустойчивости вступил в силу 10 декабря 2024 года как Регламент (ЕС) 2024/2847. Однако вступление в силу и начало применения обязанностей — не одно и то же: регламент устанавливает поэтапный график, и производитель сначала сталкивается с отчётностью, а затем с требованиями к продукции.

Первой применяемой частью является обязанность по отчётности, действующая с 11 сентября 2026 года. Остальная часть регламента — базовые требования кибербезопасности, оценка соответствия, техническая документация и маркировка CE — применяется в полном объёме с 11 декабря 2027 года.

Пятнадцать месяцев между этими двумя датами — не период ожидания, а период подготовки. Поскольку обязанность по отчётности предполагает уже работающий процесс управления уязвимостями, инфраструктура, которую нужно создать в 2026 году, также становится основой документации, требуемой в 2027 году.

Сфера применения определяется характером продукта, а не его категорией: термин «продукт с цифровыми элементами» охватывает аппаратные и программные продукты, способные устанавливать соединение с устройством или сетью прямо или косвенно. Это не обязательно потребительский продукт; сюда также могут входить промышленное оборудование, компоненты и самостоятельное программное обеспечение.

Регламент классифицирует продукцию по уровню риска, и с повышением класса возрастает роль третьей стороны в оценке соответствия. Поэтому первая задача — определить, к какому классу относится продукт: класс определяет все последующие решения (самодекларирование или нотифицированный орган).

Предполагать, что продукт не подпадает под действие регламента, рискованно: устройство без облачного подключения, но сопряжённое с мобильным приложением, также имеет цифровой элемент. В пограничных случаях письменная фиксация решения вместе с его обоснованием оказывается наиболее полезным документом при последующей проверке.

С 11 сентября 2026 года производители обязаны сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах, затрагивающих безопасность продукта. Уведомление подаётся через единую платформу отчётности ENISA одновременно в соответствующий национальный CSIRT и в ENISA.

Уведомление не сводится к заполнению одной формы: оно проходит поэтапно — как раннее предупреждение, затем более подробное уведомление и, по завершении процесса, итоговый отчёт. Это требует заранее решить, кто и какую информацию будет собирать в первые часы инцидента.

Практическое следствие таково: отчётность — это не пункт соответствия, а операция. Если не готовы дежурный порядок, канал связи, лицо, принимающее решения, и шаблон записи, уведомление невозможно подать в срок.

Регламент предусматривает административные штрафы за нарушение базовых требований кибербезопасности и положений об отчётности; верхний предел установлен на уровне 15 млн евро или 2,5% годового мирового оборота — применяется большая из этих величин.

Ещё одно последствие, столь же важное, как и риск штрафов, — доступ на рынок: продукт, соответствие которого не может быть подтверждено, не может быть размещён на рынке ЕС, а орган по надзору за рынком вправе принимать меры вплоть до отзыва.

Составление реестра продукции и определение, какой продукт имеет цифровые элементы и к какому классу он относится, — единственный шаг, который делает весь график планируемым. Без реестра любая другая задача основана на догадках.

Второй шаг — объявление срока поддержки и письменное закрепление политики обновлений. Это часть требований 2027 года, но, поскольку они связаны с коммерческими решениями, эти задачи занимают больше всего времени.

Третье — создание канала оповещения об уязвимостях: адреса для приёма внешних сообщений и внутреннего процесса их оценки. Отчётность 2026 года не работает без этого процесса.