Από τις 11 Σεπτεμβρίου 2026, κάθε εταιρεία λογισμικού που ενεργεί ως κατασκευαστής καλυπτόμενου προϊόντος με ψηφιακά στοιχεία υπόκειται στις υποχρεώσεις αναφοράς του Κανονισμού (ΕΕ) 2024/2847, γνωστού ως Cyber Resilience Act (CRA).
Στέργιος Κωνσταντίνου
Εξειδικευμένος Δικηγόρος σε θέματα GDPR, IP & Tech Law
Στέργιος Κωνσταντίνου & Συνεργάτες — SGKLegal
Η πρώιμη ειδοποίηση για ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά περιστατικά που επηρεάζουν την ασφάλεια του προϊόντος υποβάλλεται εντός 24 ωρών από τη γνώση τους. Οι κύριες υποχρεώσεις συμμόρφωσης εφαρμόζονται από τις 11 Δεκεμβρίου 2027.
Για τον νομικό σύμβουλο, τα κρίσιμα ερωτήματα αφορούν την υπαγωγή κάθε προϊόντος, τον ρόλο της εταιρείας και τη συμβατική οργάνωση της συμμόρφωσης. Η ανάλυση αξιοποιεί τον CRA και τις μη δεσμευτικές κατευθυντήριες γραμμές της Επιτροπής C(2026) 5252.
Τα κριτήρια υπαγωγής
Το άρθρο 3 σημείο 1 καλύπτει προϊόντα λογισμικού ή υλισμικού, τις λύσεις εξ αποστάσεως επεξεργασίας δεδομένων τους και τα δομοστοιχεία λογισμικού που διατίθενται χωριστά. Συνεπώς, εφαρμογές, on-premise λύσεις, επεκτάσεις browser και αυτοτελώς διατιθέμενες βιβλιοθήκες ή SDKs μπορούν να εμπίπτουν στον CRA.
Το άρθρο 2 παράγραφος 1 απαιτεί ο σκοπός ή η ευλόγως προβλεπόμενη χρήση του προϊόντος να περιλαμβάνει άμεση ή έμμεση, λογική ή φυσική σύνδεση με συσκευή ή δίκτυο. Η σύνδεση δεν απαιτείται να είναι διαρκώς ενεργή.
Το τρίτο κριτήριο είναι η διάθεση στην αγορά της Ένωσης στο πλαίσιο εμπορικής δραστηριότητας, είτε με αντάλλαγμα είτε δωρεάν, κατά το άρθρο 3 σημείο 22. Ελέγχονται επίσης οι ειδικές εξαιρέσεις του άρθρου 2. Η υπαγωγή πρέπει να εξετάζεται χωριστά για κάθε προϊόν και τρόπο διάθεσης. Δεν αρκεί μια γενική κρίση σε επίπεδο εταιρείας. Η τεχνική αρχιτεκτονική και η αλυσίδα διάθεσης πρέπει να αποτυπώνονται μαζί με το νομικό συμπέρασμα, ώστε η εταιρεία να μπορεί να αιτιολογήσει την επιλογή της.
SaaS cloud και εσωτερική χρήση
Μια αυτοτελής υπηρεσία SaaS που χρησιμοποιείται αποκλειστικά μέσω φυλλομετρητή δεν υπάγεται αυτομάτως στον CRA. Μια λειτουργία cloud ή SaaS καλύπτεται ως λύση εξ αποστάσεως επεξεργασίας δεδομένων όταν έχει σχεδιαστεί και αναπτυχθεί από τον κατασκευαστή ή για λογαριασμό του και η απουσία της θα εμπόδιζε το συγκεκριμένο προϊόν να εκτελέσει μία από τις λειτουργίες του. Εφαρμογές, clients και agents που παρέχονται στον χρήστη αξιολογούνται αυτοτελώς.
Λογισμικό που αναπτύσσεται και χρησιμοποιείται αποκλειστικά από το ίδιο νομικό πρόσωπο, χωρίς να παρέχεται σε άλλο πρόσωπο, κατά κανόνα δεν διατίθεται στην αγορά. Πρόκειται για εφαρμογή του ορισμού και όχι για ρητή εξαίρεση. Αντιθέτως, παροχή σε αυτοτελή εταιρεία του ομίλου ή σε B2B πελάτη χρειάζεται ξεχωριστή αξιολόγηση.
Τεχνητή νοημοσύνη και παράλληλες απαιτήσεις
Η χρήση τεχνητής νοημοσύνης δεν αποτελεί αυτοτελές κριτήριο υπαγωγής ή εξαίρεσης. Η εφαρμογή του CRA εξετάζεται παράλληλα με τον Κανονισμό (ΕΕ) 2024/1689 για την ΤΝ (εφεξής «Πράξη για την ΤΝ»), όπως ισχύει. Για συστήματα ΤΝ υψηλού κινδύνου που εμπίπτουν στον CRA, το άρθρο 12 CRA συνδέει τη συμμόρφωση με τις απαιτήσεις κυβερνοασφάλειας του άρθρου 15 της Πράξης για την ΤΝ με τρεις προϋποθέσεις: συμμόρφωση του προϊόντος με το Μέρος Ι του Παραρτήματος Ι, των διαδικασιών του κατασκευαστή με το Μέρος ΙΙ και απόδειξη του απαιτούμενου επιπέδου προστασίας στη δήλωση συμμόρφωσης ΕΕ. Οι λοιπές απαιτήσεις της Πράξης για την ΤΝ παραμένουν εφαρμοστέες. Η αξιολόγηση συμμόρφωσης συντονίζεται σύμφωνα με τις παραγράφους 2 και 3 του άρθρου 12.
Υποστήριξη και τεκμηρίωση
Για εταιρείες που αναπτύσσουν και διαθέτουν προϊόντα υπό την επωνυμία ή το εμπορικό τους σήμα, ο ρόλος του κατασκευαστή συνεπάγεται το εκτενέστερο σύνολο υποχρεώσεων. Η αξιολόγηση κινδύνων κυβερνοασφάλειας πρέπει να τεκμηριώνεται και να επικαιροποιείται κατά την περίοδο υποστήριξης.
Ο κατασκευαστής καταρτίζει κατάλογο υλικών λογισμικού (SBOM) σε μηχαναγνώσιμη μορφή, καλύπτοντας τουλάχιστον τις εξαρτήσεις ανώτατου επιπέδου. Ο CRA δεν επιβάλλει γενική υποχρέωση παράδοσής του SBOM, σε κάθε πελάτη η πρόσβαση μπορεί να συμφωνείται συμβατικά. Η σχετική ρήτρα χρειάζεται να προσδιορίζει τις καλυπτόμενες εκδόσεις, τον τρόπο επικαιροποίησης και τους όρους εμπιστευτικότητας, ώστε η πληροφορία να παραμένει χρήσιμη κατά τη διάρκεια της συνεργασίας.
Η περίοδος υποστήριξης αντανακλά την αναμενόμενη διάρκεια χρήσης και δεν συνηθίζεται να υπολείπεται της πενταετίας. Αν αναμένεται μικρότερη διάρκεια χρήσης, μπορεί να αντιστοιχεί σε αυτήν. Η λήξη της γνωστοποιείται κατά την αγορά. Η τεχνική τεκμηρίωση και η δήλωση συμμόρφωσης τηρούνται για τουλάχιστον δέκα έτη από τη θέση σε κυκλοφορία στην αγορά ή για την περίοδο υποστήριξης, αν είναι μεγαλύτερη.
Η οργάνωση των αναφορών
Το άρθρο 14 προβλέπει, για ενεργά εκμεταλλευόμενες ευπάθειες, πρώιμη ειδοποίηση εντός 24 ωρών και γνωστοποίηση εντός 72 ωρών από τη γνώση, καθώς και τελική έκθεση εντός 14 ημερών μετά από τη διαθεσιμότητα διορθωτικού ή μετριαστικού μέτρου. Για σοβαρά περιστατικά ισχύουν οι ίδιες αρχικές προθεσμίες, αλλά η τελική έκθεση υποβάλλεται εντός μηνός από τη γνωστοποίηση των 72 ωρών.
Η αναφορά υποβάλλεται μέσω της Ενιαίας Πλατφόρμας Αναφοράς του ENISA, προς την αρμόδια CSIRT-συντονιστή και τον ENISA. Οι υποχρεώσεις καταλαμβάνουν και καλυπτόμενα προϊόντα που τέθηκαν σε κυκλοφορία πριν από την πλήρη εφαρμογή του CRA.
Ο νομικός σύμβουλος πρέπει να οργανώσει με τις τεχνικές ομάδες την καταγραφή της γνώσης, την εσωτερική κλιμάκωση και την έγκαιρη υποβολή. Οι διαδικασίες πρέπει να προβλέπουν και την ενημέρωση των επηρεαζόμενων χρηστών κατά το άρθρο 14 παράγραφος 8.
Αλλαγές ρόλου και αξιολόγηση συμμόρφωσης
Το άρθρο 21 αντιμετωπίζει ως κατασκευαστή εισαγωγέα ή διανομέα που διαθέτει προϊόν υπό τη δική του επωνυμία ή το τροποποιεί ουσιωδώς. Το άρθρο 22 καλύπτει και άλλους φορείς που τροποποιούν ουσιωδώς προϊόν και το διαθέτουν στην αγορά. Εισαγωγέας είναι φορέας εγκατεστημένος στην ΕΕ που θέτει προϊόν τρίτης χώρας σε κυκλοφορία στην ενωσιακή αγορά. Εισαγωγείς και διανομείς υπέχουν αυτοτελείς υποχρεώσεις επαλήθευσης συμμόρφωσης πριν από τη διάθεση.
Η διαμόρφωση, ενσωμάτωση ή fine-tuning δεν αποτελεί αυτομάτως ουσιώδη τροποποίηση. Εξετάζεται αν επηρεάζεται η συμμόρφωση ή μεταβάλλεται ο σκοπός για τον οποίο αξιολογήθηκε το προϊόν. Οι συμβατικοί χαρακτηρισμοί πρέπει να συμφωνούν με την πραγματική δραστηριότητα. Για τους φορείς του άρθρου 22, οι υποχρεώσεις αφορούν το τροποποιημένο μέρος ή ολόκληρο το προϊόν, όταν επηρεάζεται συνολικά η κυβερνοασφάλεια του προϊόντος.
Η διαδικασία αξιολόγησης εξαρτάται από την ταξινόμηση του προϊόντος. Η δυνατότητα εσωτερικού ελέγχου περιορίζεται για σημαντικά και κρίσιμα προϊόντα. Χρειάζεται έλεγχος των Παραρτημάτων ΙΙΙ και IV, του Εκτελεστικού Κανονισμού (ΕΕ) 2025/2392 και των ειδικών διαδρομών του άρθρου 32, συμπεριλαμβανομένης της ρύθμισης για ανοικτό κώδικα. Για τα λοιπά προϊόντα εκτός των δύο Παραρτημάτων επιτρέπεται εσωτερικός έλεγχος. Στην κλάση Ι η δυνατότητα αυτή εξαρτάται από την πλήρη εφαρμογή των προβλεπόμενων προτύπων, προδιαγραφών ή καθεστώτων πιστοποίησης. Στην κλάση ΙΙ προβλέπονται αυστηρότερες διαδρομές, με τις ειδικές προϋποθέσεις και εξαιρέσεις του άρθρου 32. Η προβλεπόμενη αξιολόγηση προηγείται της δήλωσης συμμόρφωσης και της σήμανσης CE.
Συμβάσεις και συντονισμός με τη NIS2
Η ενσωμάτωση στοιχείων τρίτων απαιτεί δέουσα επιμέλεια κατά το άρθρο 13 παράγραφος 5. Όταν εντοπίζεται ευπάθεια ενσωματωμένου στοιχείου, απαιτείται ενημέρωση του κατασκευαστή ή συντηρητή και αντιμετώπισή της.
Στις συμβάσεις με προμηθευτές εξετάζονται εγγυήσεις συμμόρφωσης, ενημερώσεις ασφαλείας, πρόσβαση σε SBOM, σύντομες προθεσμίες ενημέρωσης για ευπάθειες και δικαιώματα ελέγχου ή καταγγελίας. Στις συμβάσεις με πελάτες αποσαφηνίζονται η περίοδος υποστήριξης, η εγκατάσταση ενημερώσεων και η συνεργασία σε περιστατικά. Η κατανομή κινδύνων χρειάζεται συνέπεια με τις δεσμεύσεις προς προμηθευτές και πελάτες.
Ιδιαίτερη προσοχή απαιτείται στις ρήτρες περιορισμού ευθύνης και αποζημίωσης. Εξετάζεται αν καλύπτουν δαπάνες αποκατάστασης, απαιτήσεις πελατών και ζημίες από καθυστερημένη ενημέρωση, σύμφωνα με το εφαρμοστέο δίκαιο. Η ανάληψη συμβατικής υποχρέωσης από προμηθευτή πρέπει να συνοδεύεται από διαδικασία που εξασφαλίζει έγκαιρη πρόσβαση στις πληροφορίες και διορθώσεις.
Οι συμβατικές ρυθμίσεις οργανώνουν τη συνεργασία και την αναγωγή μεταξύ των μερών, χωρίς να καταργούν τις υποχρεώσεις που ο CRA επιβάλλει στον αντίστοιχο οικονομικό φορέα. Μια εταιρεία λογισμικού δεν υπάγεται στον ν. 5160/2024 μόνο επειδή εξυπηρετεί πελάτες κρίσιμων τομέων. Ελέγχεται η δική της δραστηριότητα, το μέγεθος και τυχόν ειδικός χαρακτηρισμός. Ενδεικτικά, μπορεί να υπάγεται ως πάροχος υπηρεσιών υπολογιστικού νέφους ή διαχειριζόμενων υπηρεσιών. Αν υπάγεται παράλληλα και στο CRA και στο ν.5160/2024, το ίδιο περιστατικό μπορεί να ενεργοποιήσει παράλληλες υποχρεώσεις αναφοράς, με διαφορετικές προϋποθέσεις και περιεχόμενο.
Κυρώσεις και νομική προετοιμασία
Το άρθρο 64 προβλέπει πρόστιμα έως €15 εκατ. ή 2,5% του παγκόσμιου ετήσιου κύκλου εργασιών για μη συμμόρφωση με τις απαιτήσεις του Παραρτήματος Ι ή τις υποχρεώσεις των άρθρων 13 και 14. Οι ειδικά απαριθμούμενες λοιπές παραβάσεις υπάγονται σε όριο €10 εκατ. ή 2%, ενώ ανακριβείς, ελλιπείς ή παραπλανητικές πληροφορίες προς κοινοποιημένους φορείς ή αρχές εποπτείας, κατόπιν αιτήματος, σε όριο €5 εκατ. ή 1%. Τα ποσοστά υπολογίζονται στον κύκλο εργασιών του προηγούμενου οικονομικού έτους και επιλέγεται το υψηλότερο ποσό. Το κυρωτικό καθεστώς εφαρμόζεται από τις 11 Δεκεμβρίου 2027. Για κατασκευαστές που είναι πολύ μικρές ή μικρές επιχειρήσεις προβλέπεται ειδική εξαίρεση από τα πρόστιμα για υπέρβαση της 24ωρης προθεσμίας πρώιμης ειδοποίησης, η οποία δεν καταργεί την υποχρέωση αναφοράς.
Η νομική προετοιμασία απαιτεί τεκμηριωμένη χαρτογράφηση προϊόντων και ρόλων, συμβάσεις που υποστηρίζουν την εκπλήρωση των υποχρεώσεων και λειτουργικές διαδικασίες αναφοράς. Η συνεργασία νομικού συμβούλου και τεχνικών ομάδων είναι αναγκαία ήδη σήμερα.
