Από τις 11 Σεπτεμβρίου 2026, το χρονόμετρο των 24 ωρών έχει ήδη ξεκινήσει. Το ερώτημα, όμως, δεν είναι μόνο αν οι επιχειρήσεις μπορούν να αναφέρουν εγκαίρως ένα περιστατικό. Είναι αν διαθέτουν τη δομή που θα τους επιτρέψει να το εντοπίσουν, να το αξιολογήσουν και να αντιδράσουν τεκμηριωμένα.
Άννη Μαρμαροτούρη,
Marketing Manager AXIA CERT
www.axiacert.com
Από τις 11 Σεπτεμβρίου 2026, το χρονόμετρο των 24 ωρών έχει ήδη ξεκινήσει. Το ερώτημα, όμως, δεν είναι μόνο αν οι επιχειρήσεις μπορούν να αναφέρουν εγκαίρως ένα περιστατικό. Είναι αν διαθέτουν τη δομή που θα τους επιτρέψει να το εντοπίσουν, να το αξιολογήσουν και να αντιδράσουν τεκμηριωμένα.
Ο Cyber Resilience Act – Κανονισμός (ΕΕ) 2024/2847 – μεταφέρει την κυβερνοασφάλεια στον πυρήνα του σχεδιασμού, της διάθεσης και της υποστήριξης προϊόντων με ψηφιακά στοιχεία. Οι βασικές απαιτήσεις του εφαρμόζονται από τις 11 Δεκεμβρίου 2027. Ωστόσο, από τις 11 Σεπτεμβρίου 2026 εφαρμόζονται ήδη οι υποχρεώσεις αναφοράς ενεργά εκμεταλλευόμενων ευπαθειών και σοβαρών περιστατικών που επηρεάζουν την ασφάλεια προϊόντος.
Η αρχική προειδοποίηση υποβάλλεται μέσω της ενιαίας πλατφόρμας της ENISA εντός 24 ωρών από τη στιγμή που ο κατασκευαστής λαμβάνει γνώση. Ακολουθεί πληρέστερη γνωστοποίηση εντός 72 ωρών και, ανάλογα με την περίπτωση, τελική αναφορά. Πρόκειται για προθεσμίες που απαιτούν όχι μόνο τεχνικά εργαλεία, αλλά προκαθορισμένους ρόλους, διαδικασίες κλιμάκωσης και δυνατότητα γρήγορης λήψης αποφάσεων.
Δύο διαφορετικά πεδία
Ο CRA είναι νομοθεσία για προϊόντα. Αφορά υλικό και λογισμικό που διατίθενται στην ευρωπαϊκή αγορά και επιβάλλει υποχρεώσεις σε όλο τον κύκλο ζωής τους. Πριν από τη διάθεση ενός προϊόντος, ο κατασκευαστής οφείλει να πραγματοποιήσει αξιολόγηση κινδύνων κυβερνοασφάλειας, να καλύψει τις ουσιώδεις απαιτήσεις, να καταρτίσει τεχνική τεκμηρίωση και να ακολουθήσει την προβλεπόμενη διαδικασία αξιολόγησης συμμόρφωσης.
Όταν πληρούνται οι απαιτήσεις, συντάσσεται δήλωση συμμόρφωσης ΕΕ και τοποθετείται η σήμανση CE. Παράλληλα, ο κατασκευαστής πρέπει να δηλώνει την περίοδο υποστήριξης. Μετά τη διάθεση, συνεχίζονται η διαχείριση ευπαθειών, η παροχή ενημερώσεων ασφαλείας και, όπου απαιτείται, η λήψη διορθωτικών μέτρων.
Το ISO/IEC 27001:2022 καθορίζει απαιτήσεις για ένα Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών. Η πιστοποίηση επιβεβαιώνει ότι ένας οργανισμός έχει εγκαταστήσει και εφαρμόζει, μέσα στο δηλωμένο πεδίο εφαρμογής, ένα σύστημα βασισμένο στη διαχείριση κινδύνων, με πολιτικές, αρμοδιότητες, ελέγχους, αξιολόγηση επιδόσεων και συνεχή βελτίωση.
Δεν αποτελεί, από μόνη της, αξιολόγηση ενός συγκεκριμένου προϊόντος έναντι του CRA. Δεν πιστοποιεί ότι έχουν καλυφθεί όλες οι ουσιώδεις απαιτήσεις του Κανονισμού και δεν παρέχει αυτομάτως δικαίωμα τοποθέτησης σήμανσης CE.
Η αξιολόγηση συμμόρφωσης δεν είναι ίδια για όλα τα προϊόντα
Η διαδρομή αξιολόγησης εξαρτάται από την κατηγορία του προϊόντος και από τις εφαρμοστέες προϋποθέσεις του CRA. Για αρκετά προϊόντα προβλέπεται διαδικασία εσωτερικού ελέγχου από τον κατασκευαστή. Για ορισμένα «σημαντικά» ή «κρίσιμα» προϊόντα μπορεί να απαιτείται αυστηρότερη διαδικασία και συμμετοχή κοινοποιημένου οργανισμού αξιολόγησης συμμόρφωσης.
Τα εναρμονισμένα ευρωπαϊκά πρότυπα αναμένεται να βοηθήσουν τους κατασκευαστές να τεκμηριώνουν τη συμμόρφωσή τους με συγκεκριμένες απαιτήσεις του CRA. Αυτό, όμως, δεν μετατρέπει κάθε υφιστάμενο πρότυπο ή πιστοποίηση σε τεκμήριο πλήρους συμμόρφωσης. Κάθε οργανισμός θα πρέπει να εξετάζει το προϊόν, την ταξινόμησή του, την προβλεπόμενη χρήση και την κατάλληλη διαδικασία αξιολόγησης.
Πού συναντώνται τα δύο πλαίσια
Η διάκριση δεν σημαίνει ότι τα δύο πλαίσια είναι ασύνδετα. Ένα ώριμο ISMS μπορεί να προσφέρει σημαντικό οργανωτικό υπόβαθρο για την εφαρμογή του CRA: σαφείς ρόλους, μεθοδολογία αξιολόγησης κινδύνων, διαχείριση προμηθευτών, διαδικασίες ασφαλούς ανάπτυξης, χειρισμό τεχνικών ευπαθειών, απόκριση σε περιστατικά, έλεγχο αλλαγών, εσωτερικές επιθεωρήσεις και διορθωτικές ενέργειες.
Η κρίσιμη λέξη, όμως, είναι «υπόβαθρο». Ο CRA απαιτεί η οργανωσιακή διαχείριση κινδύνων να μεταφραστεί σε τεκμηριωμένες αποφάσεις για κάθε προϊόν: ποια είναι τα ψηφιακά εξαρτήματά του, ποιες απειλές συνδέονται με την προβλεπόμενη χρήση, ποια μέτρα εφαρμόστηκαν κατά τον σχεδιασμό και την ανάπτυξη, πώς θα διανέμονται οι ενημερώσεις και πώς θα αντιμετωπίζονται οι ευπάθειες μετά τη διάθεσή του.
Ένα γενικό μητρώο κινδύνων ή μια πολιτική ασφαλούς ανάπτυξης δεν αρκούν, εάν δεν συνδέονται με πραγματικά προϊόντα, εκδόσεις λογισμικού, εξαρτήσεις τρίτων και υπεύθυνους λήψης αποφάσεων. Αντίστοιχα, η ύπαρξη διαδικασίας διαχείρισης περιστατικών δεν εγγυάται ότι ο οργανισμός μπορεί να προσδιορίσει εγκαίρως εάν ένα συμβάν πληροί τα κριτήρια αναφοράς του CRA.
Από το ISMS στην ετοιμότητα CRA
Η αποτελεσματική προσέγγιση δεν είναι η δημιουργία δύο παράλληλων μηχανισμών συμμόρφωσης. Είναι η σύνδεση της ασφάλειας πληροφοριών με τη διακυβέρνηση προϊόντος. Αυτό προϋποθέτει καταγραφή των προϊόντων που εμπίπτουν στο πεδίο του CRA, καθορισμό υπευθύνων, ενσωμάτωση της ασφάλειας στον κύκλο ανάπτυξης και σύνδεση των μητρώων κινδύνων, περιστατικών και προμηθευτών με συγκεκριμένα προϊόντα και εξαρτήματα.
Χρειάζεται επίσης δοκιμή της πραγματικής ετοιμότητας. Μπορεί ο οργανισμός να αναγνωρίσει μέσα σε λίγες ώρες ποια προϊόντα επηρεάζονται από μια ευπάθεια τρίτου μέρους; Υπάρχει εξουσιοδοτημένο πρόσωπο για την υποβολή αναφοράς στην πλατφόρμα της ENISA; Μπορούν οι τεχνικές, νομικές και διοικητικές λειτουργίες να συγκεντρώσουν αξιόπιστες πληροφορίες μέσα στις προβλεπόμενες προθεσμίες; Έχουν συμφωνηθεί τα κριτήρια κλιμάκωσης προς τη διοίκηση;
Το ζήτημα, επομένως, δεν μπορεί να παραμείνει αποκλειστικά στην ομάδα ανάπτυξης ή στο τμήμα πληροφορικής. Η διοίκηση καλείται να εξασφαλίσει πόρους, σαφή κατανομή ευθυνών και συνεργασία μεταξύ Product, Development, Information Security, Compliance, Νομικής Υπηρεσίας και Προμηθειών. Οφείλει επίσης να γνωρίζει ποια προϊόντα διατίθενται στην αγορά, ποιος εγκρίνει την αποδοχή υπολειπόμενων κινδύνων και ποιος μπορεί να ενεργοποιήσει διορθωτικά μέτρα όταν οι προθεσμίες είναι ασφυκτικές. Χωρίς αυτή τη διακυβέρνηση, ακόμη και ώριμοι τεχνικοί έλεγχοι μπορεί να λειτουργούν αποσπασματικά.
Η πιστοποίηση ISO/IEC 27001 μπορεί να αποτελέσει ισχυρή αφετηρία, εφόσον το Σύστημα Διαχείρισης επεκτείνεται από την προστασία των πληροφοριών στη συστηματική διακυβέρνηση της ασφάλειας των προϊόντων. Η πραγματική πρόκληση δεν είναι η απόκτηση ακόμη ενός εγγράφου συμμόρφωσης, αλλά η δημιουργία ενός λειτουργικού μηχανισμού που συνδέει τον κώδικα, το προϊόν, την εφοδιαστική αλυσίδα και τη διοίκηση.
Οι βασικές πηγές τεκμηρίωσης είναι ο Κανονισμός (ΕΕ) 2024/2847, οι οδηγίες εφαρμογής της Ευρωπαϊκής Επιτροπής του Ιουλίου 2026, η ενημέρωση της Επιτροπής για τις υποχρεώσεις των κατασκευαστών, η Single Reporting Platform της ENISA και η επίσημη παρουσίαση της οικογένειας ISO/IEC 27000.
