Υπάγεται κάθε SaaS και σύστημα ΤΝ στον Cyber Resilience Act; Τι πρέπει να γνωρίζει ένας νομικός σύμβουλος για το νέο πλαίσιο για τις εταιρείες λογισμικού

• Με αφορμή την 11η Σεπτεμβρίου 2026, ημερομηνία-ορόσημο για την εφαρμογή της πρώτης σημαντικής υποχρέωσης του Cyber Resilience Act (CRA), το ενδιαφέρον στρέφεται πλέον στην πρακτική εφαρμογή του νέου ευρωπαϊκού πλαισίου. Ποιοι όμως ακριβώς υπάγονται στις απαιτήσεις του Κανονισμού και ποιες είναι οι υποχρεώσεις τους; Ειδικά για τις εταιρείες λογισμικού, το SaaS και τις λύσεις τεχνητής νοημοσύνης, η απάντηση δεν είναι πάντα αυτονόητη.
• Το παρόν άρθρο εξετάζει τα κρίσιμα αυτά ζητήματα από τη σκοπιά του νομικού συμβούλου, επιχειρώντας να δώσει σαφείς και τεκμηριωμένες απαντήσεις, με βάση το κείμενο του CRA, τον Εκτελεστικό Κανονισμό (ΕΕ) 2025/2392 για τα σημαντικά και κρίσιμα προϊόντα, καθώς και τις πρόσφατες κατευθυντήριες γραμμές της Ευρωπαϊκής Επιτροπής (C(2026) 5252, 27 Ιουλίου 2026).

Γράφει o Στέργιος Κωνσταντίνου
Δικηγόρος – Εξειδικευμένος σε θέματα GDPR, IP & Tech Law

Στέργιος Κωνσταντίνου & Συνεργάτες — SGKLegal

1.       Ένας Κανονισμός που Δεν Αφορά Μόνο το Υλισμικό

Από τις 11 Σεπτεμβρίου 2026, κάθε εταιρεία λογισμικού που ενεργεί ως κατασκευαστής προϊόντος με ψηφιακά στοιχεία το οποίο εμπίπτει στον Κανονισμό (ΕΕ) 2024/2847 [Κανονισμός για την Κυβερνοανθεκτικότητα (Cyber Resilience Act, εφεξής «CRA»)] και έχει διατεθεί στην αγορά της ΕΕ υπόκειται σε μια πρώτη εφαρμοστέα υποχρέωση: να γνωστοποιεί ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά περιστατικά κυβερνοασφάλειας εντός 24 ωρών στον ENISA και στην αρμόδια CSIRT. Η ημερομηνία αυτή δεν αντιστοιχεί στο σύνολο των υποχρεώσεων του CRA αλλά αποτελεί την πρώτη πρακτική δοκιμασία ετοιμότητας για χιλιάδες επιχειρήσεις σε ολόκληρη την Ένωση.

Ο Κανονισμός τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024, θεσπίζοντας υποχρεωτικές οριζόντιες απαιτήσεις κυβερνοασφάλειας για τον σχεδιασμό, ανάπτυξη, παραγωγή και διαχείριση κύκλου ζωής προϊόντων με ψηφιακά στοιχεία που διατίθενται στην εσωτερική αγορά της ΕΕ. Παρά τη στρατηγική του σημασία, ο CRA εξακολουθεί να γεννά σοβαρά ερωτήματα εφαρμογής που αφορούν άμεσα τους νομικούς συμβούλους επιχειρήσεων λογισμικού: Υπάγεται κάθε εφαρμογή SaaS; Τι ισχύει για τα συστήματα τεχνητής νοημοσύνης; Πότε ένας B2B software developer καθίσταται «κατασκευαστής» και τι συνεπάγεται αυτό;

Το παρόν άρθρο επιχειρεί να δώσει απαντήσεις σε αυτά τα ερωτήματα με νομική ακρίβεια, αξιοποιώντας το κείμενο του CRA, τον Εκτελεστικό Κανονισμό (ΕΕ) 2025/2392 για τα σημαντικά και κρίσιμα προϊόντα, και τις κατευθυντήριες γραμμές της Επιτροπής (C(2026) 5252, 27 Ιουλίου 2026).

2.       Το Κεντρικό Κριτήριο Υπαγωγής: «Προϊόν με Ψηφιακά Στοιχεία» που «Διατίθεται στην Αγορά»

Το πρώτο λάθος που κάνουν πολλές επιχειρήσεις είναι να αντιμετωπίζουν τον CRA ως Κανονισμό για το υλισμικό. Στην πραγματικότητα, ο Κανονισμός καλύπτει εξίσου το λογισμικό.

Το άρθρο 3 παράγραφος 1 του CRA ορίζει τα «προϊόντα με ψηφιακά στοιχεία» ως προϊόντα λογισμικού ή υλικού και τις λύσεις επεξεργασίας απομακρυσμένων δεδομένων τους, συμπεριλαμβανομένων των στοιχείων λογισμικού ή υλικού που διατίθενται στην αγορά χωριστά. Συνεπώς, mobile εφαρμογές, desktop λογισμικό, on-premise λύσεις, browser extensions, καθώς και βιβλιοθήκες ή SDKs που διατίθενται αυτοτελώς ως στοιχεία λογισμικού εμπίπτουν, κατ’ αρχήν, στο πεδίο εφαρμογής. Αντίθετα, ένα API ή backend σύστημα δεν εμπίπτει αυτομάτως στον CRA· μπορεί να καλύπτεται όταν διατίθεται ως αυτοτελές στοιχείο λογισμικού ή όταν αποτελεί αναγκαία λύση εξ αποστάσεως επεξεργασίας δεδομένων καλυπτόμενου προϊόντος.

Το δεύτερο κριτήριο, εξίσου κρίσιμο, είναι η δυνατότητα σύνδεσης: το άρθρο 2 παράγραφος 1 απαιτεί ο σκοπός ή η ευλόγως προβλεπόμενη χρήση του προϊόντος να συνεπάγεται άμεση ή έμμεση, λογική ή φυσική σύνδεση με συσκευή ή δίκτυο. Η σύνδεση δεν απαιτείται να είναι διαρκώς ενεργή.

Το τρίτο κριτήριο είναι η διάθεση στην αγορά. Το άρθρο 3 παράγραφος 22 ορίζει αυτή ως την παροχή προϊόντος για διανομή ή χρήση στην αγορά της Ένωσης στο πλαίσιο εμπορικής δραστηριότητας, είτε με αντάλλαγμα είτε δωρεάν. Η δωρεάν παροχή, λοιπόν, δεν αποκλείει την υπαγωγή, εφόσον υπάρχει εμπορική δραστηριότητα στο υπόβαθρο.

Η υπαγωγή πρέπει να εξετάζεται χωριστά για κάθε προϊόν, έκδοση και τρόπο διάθεσης. Δεν αρκεί μια γενική κρίση σε επίπεδο εταιρείας.

3.       Η Κρίσιμη Διάκριση: SaaS, Cloud και Εσωτερική Χρήση

Η πιο συχνά επαναλαμβανόμενη παρανόηση αφορά τις εφαρμογές SaaS. Μια αυτοτελής υπηρεσία SaaS που χρησιμοποιείται αποκλειστικά μέσω browser δεν αποτελεί, κατά κανόνα, αυτοτελές προϊόν με ψηφιακά στοιχεία και δεν υπάγεται αυτομάτως στον CRA.

Ωστόσο, η εξαίρεση είναι πιο στενή από ό,τι φαίνεται. Μια λειτουργία cloud ή SaaS καλύπτεται ως «λύση/λύσεις εξ αποστάσεως επεξεργασίας δεδομένων» όταν: (α) έχει σχεδιαστεί και αναπτυχθεί από τον κατασκευαστή του προϊόντος ή για λογαριασμό του, και (β) η απουσία της θα εμπόδιζε το συγκεκριμένο προϊόν να εκτελέσει μία από τις λειτουργίες του. Αντίστοιχα, downloadable εφαρμογές, desktop ή mobile clients, agents, plug-ins, libraries και APIs που διατίθενται ως αυτοτελή στοιχεία λογισμικού πρέπει να αξιολογούνται αυτοτελώς και ενδέχεται να εμπίπτουν στον CRA.

Εξίσου σημαντική είναι η εξαίρεση της αποκλειστικής εσωτερικής χρήσης: λογισμικό που αναπτύσσεται και χρησιμοποιείται αποκλειστικά από το ίδιο νομικό πρόσωπο, χωρίς να παρέχεται σε άλλο πρόσωπο, κατά κανόνα δεν «διατίθεται στην αγορά». Πρόκειται, όμως, για εφαρμογή του ορισμού και όχι για ρητή νομοθετική εξαίρεση. Η διάκριση έχει πρακτική σημασία: επιχείρηση που παρέχει λογισμικό σε νομικά αυτοτελή εταιρεία του ίδιου ομίλου, ή σε B2B πελάτη στο πλαίσιο ευρύτερης σύμβασης υπηρεσιών, ενδέχεται να πληροί το κριτήριο της διάθεσης στην αγορά, ανάλογα με τη δομή και το αντικείμενο της συναλλαγής.

Αυτό σημαίνει ότι η χαρτογράφηση της αλυσίδας διάθεσης κάθε ψηφιακού προϊόντος αποτελεί βήμα προηγούμενο κάθε ουσιαστικής ανάλυσης συμμόρφωσης.

4.       Τεχνητή Νοημοσύνη και CRA: Παράλληλα Πλαίσια, Κοινοί Άξονες

Η χρήση τεχνητής νοημοσύνης δεν αποτελεί αυτοτελές κριτήριο υπαγωγής ή εξαίρεσης. Ένα σύστημα ΤΝ υπάγεται στον CRA εφόσον πληροί τα γενικά κριτήρια: προϊόν με ψηφιακά στοιχεία, δυνατότητα σύνδεσης, διάθεση στην αγορά. Η εφαρμογή του CRA πρέπει, ωστόσο, να εξετάζεται παράλληλα με τις υποχρεώσεις που απορρέουν από τον Κανονισμό (ΕΕ) 2024/1689 (εφεξής «Πράξη για την ΤΝ»).

Το σημείο σύγκλισης των δύο Κανονισμών ορίζεται στο άρθρο 12 CRA: προϊόντα με ψηφιακά στοιχεία που ταξινομούνται ως συστήματα ΤΝ υψηλού κινδύνου βάσει του άρθρου 6 της Πράξης για την ΤΝ θεωρούνται ότι συμμορφώνονται με τις απαιτήσεις κυβερνοασφάλειας του άρθρου 15 της Πράξης για την ΤΝ εφόσον πληρούν τις ουσιώδεις απαιτήσεις κυβερνοασφάλειας του Μέρους Ι του Παραρτήματος Ι του CRA. Η ρύθμιση αυτή δημιουργεί τεκμήριο συμμόρφωσης, αλλά δεν αίρει τις λοιπές απαιτήσεις της Πράξης για την ΤΝ, ούτε καταργεί τη διαδικασία αξιολόγησης συμμόρφωσης του άρθρου 43 αυτής.

Επιπλέον, για λογισμικό ΤΝ που ενσωματώνει στοιχεία τρίτων, όπως λ.χ. βιβλιοθήκες ML (TensorFlow, PyTorch), μοντέλα ανοικτού κώδικα (π.χ. Hugging Face), APIs τρίτων, το άρθρο 13 παράγραφος 5 του CRA απαιτεί από τον κατασκευαστή να ασκεί δέουσα επιμέλεια κατά την ενσωμάτωση, ώστε να διασφαλίζεται ότι τα στοιχεία αυτά δεν θέτουν σε κίνδυνο την κυβερνοασφάλεια του τελικού προϊόντος, συμπεριλαμβανομένης της ενσωμάτωσης στοιχείων ελεύθερου και ανοικτού κώδικα που δεν έχουν διατεθεί στην αγορά στο πλαίσιο εμπορικής δραστηριότητας. Η ευθύνη για τη συμμόρφωση και την κυβερνοασφάλεια του τελικού προϊόντος παραμένει στον κατασκευαστή, ανεξαρτήτως της προέλευσης των επιμέρους στοιχείων, χωρίς αυτό να αποκλείει τις αυτοτελείς υποχρεώσεις ή την ευθύνη άλλων οικονομικών φορέων.

5.       Ο Ρόλος του Κατασκευαστή: Το Βαρύτερο Σύνολο Υποχρεώσεων

Για εταιρείες λογισμικού που αναπτύσσουν και διαθέτουν καλυπτόμενα προϊόντα υπό την επωνυμία ή το εμπορικό τους σήμα, ο ρόλος του κατασκευαστή συνεπάγεται το πλέον εκτεταμένο σύνολο υποχρεώσεων. Οι κύριες είναι οι εξής.

5.1. Αξιολόγηση Κινδύνων Κυβερνοασφάλειας (Άρθρο 13 παρ. 2–3)

Το άρθρο 13 παράγραφος 2 του CRA απαιτεί από τους κατασκευαστές να διενεργούν αξιολόγηση των κινδύνων κυβερνοασφάλειας που σχετίζονται με το προϊόν και να λαμβάνουν υπόψη τα αποτελέσματα κατά τη φάση σχεδιασμού, ανάπτυξης, παραγωγής, παράδοσης και συντήρησης. Η αξιολόγηση πρέπει να τεκμηριώνεται και να επικαιροποιείται κατά τη διάρκεια της περιόδου υποστήριξης, περιλαμβάνοντας ανάλυση κινδύνων βάσει του σκοπού χρήσης, της ευλόγως προβλεπόμενης χρήσης και των συνθηκών χρήσης.

Πρόκειται για νόμιμη απαίτηση και όχι για βέλτιστη πρακτική: η αξιολόγηση πρέπει να προσδιορίζει ποιες απαιτήσεις του Παραρτήματος Ι είναι εφαρμοστέες και με ποιον τρόπο υλοποιούνται. Για λογισμικό ΤΝ, η αξιολόγηση πρέπει, εφόσον οι σχετικοί κίνδυνοι είναι συναφείς με το προϊόν και προκύπτουν από την αξιολόγηση κινδύνων, να καλύπτει και απειλές όπως data poisoning, adversarial attacks και model inversion.

5.2. Κατάλογος Υλικών Λογισμικού — SBOM

Το άρθρο 3 παράγραφος 39 του CRA ορίζει τον «κατάλογο υλικών λογισμικού» ως επίσημο αρχείο που περιέχει λεπτομέρειες και σχέσεις αλυσίδας εφοδιασμού των στοιχείων που περιλαμβάνονται στα στοιχεία λογισμικού ενός προϊόντος. Ο κατασκευαστής πρέπει να καταρτίζει SBOM σε κοινώς χρησιμοποιούμενη μηχαναγνώσιμη μορφή (π.χ. SPDX ή CycloneDX), καλύπτοντας τουλάχιστον τις εξαρτήσεις ανώτατου επιπέδου. Ο CRA δεν επιβάλλει γενική υποχρέωση παράδοσης του SBOM σε κάθε πελάτη. Το Παράρτημα ΙΙ προβλέπει ενημέρωση για το σημείο πρόσβασης μόνον εφόσον ο κατασκευαστής αποφασίσει να το διαθέσει στους χρήστες. Το SBOM μπορεί, βέβαια, να ζητείται συμβατικά από B2B αγοραστές, χωρίς αυτό να συνεπάγεται αντίστοιχη κανονιστική υποχρέωση.

5.3. Περίοδος Υποστήριξης — Τουλάχιστον Πέντε Χρόνια

Το άρθρο 13 παράγραφος 8 του CRA απαιτεί από τους κατασκευαστές να διασφαλίζουν, για όλη την περίοδο υποστήριξης, την αποτελεσματική αντιμετώπιση των ευπαθειών του προϊόντος και των στοιχείων του. Η περίοδος δεν μπορεί να είναι μικρότερη των πέντε ετών, εκτός αν αναμένεται ότι το προϊόν θα χρησιμοποιείται για μικρότερο χρονικό διάστημα. Για B2B λογισμικό με μακρύ κύκλο ζωής, αυτό συνεπάγεται σαφείς δεσμεύσεις υποστήριξης που πρέπει να αποτυπώνονται στα συμβατικά κείμενα και στα έγγραφα πληροφόρησης αγοράς, όπου η ημερομηνία λήξης της περιόδου υποστήριξης, με αναφορά τουλάχιστον σε μήνα και έτος, πρέπει να γνωστοποιείται με σαφή και εύκολα προσβάσιμο τρόπο κατά τον χρόνο αγοράς.

5.4. Υποχρεωτική Αναφορά Ευπαθειών — Η Κρισιμότερη Άμεση Υποχρέωση (Άρθρο 14)

Το άρθρο 14 παράγραφος 1 του CRA απαιτεί από τον κατασκευαστή να γνωστοποιεί κάθε ενεργά εκμεταλλευόμενη ευπάθεια ταυτόχρονα στην CSIRT που έχει οριστεί ως συντονιστής και στον ENISA. Δυνάμει της παραγράφου 2, υποβάλλεται: α) πρώιμη ειδοποίηση εντός 24 ωρών από τη στιγμή γνώσης, β) γνωστοποίηση εντός 72 ωρών, και γ) τελική έκθεση εντός 14 ημερών μετά τη διαθεσιμότητα διορθωτικού ή μετριαστικού μέτρου. Αντίστοιχη τριμερής υποχρέωση ισχύει και για σοβαρά περιστατικά που επηρεάζουν την ασφάλεια του προϊόντος: πρώιμη ειδοποίηση εντός 24 ωρών, κοινοποίηση εντός 72 ωρών και τελική έκθεση εντός ενός μηνός από την 72ωρη κοινοποίηση του περιστατικού.

Η γνωστοποίηση υποβάλλεται μέσω της Ενιαίας Πλατφόρμας Αναφοράς (SRP) του ENISA, επιλέγοντας την CSIRT-συντονιστή βάσει του κράτους μέλους κύριας εγκατάστασης, ήτοι εκεί όπου λαμβάνονται κυρίως οι αποφάσεις για την κυβερνοασφάλεια των προϊόντων. Ιδιαίτερη προσοχή απαιτείται στο εσωτερικό καθορισμό του χρονικού σημείου «γνώσης», από το οποίο αρχίζουν να υπολογίζονται οι προθεσμίες. Αυτή η υποχρέωση ισχύει από τις 11 Σεπτεμβρίου 2026 και καταλαμβάνει και προϊόντα που είχαν διατεθεί στην αγορά πριν από την πλήρη εφαρμογή του Κανονισμού.

5.5. Τεχνική Τεκμηρίωση — Δέκα Χρόνια Τήρησης

Το άρθρο 13 παράγραφος 13 απαιτεί τήρηση της τεχνικής τεκμηρίωσης και της δήλωσης συμμόρφωσης ΕΕ για τουλάχιστον 10 χρόνια μετά τη διάθεση του προϊόντος στην αγορά ή για όσο διαρκεί η περίοδος υποστήριξης, αν αυτή είναι μεγαλύτερη. Η δεκαετής περίοδος και η περίοδος υποστήριξης δεν προστίθενται σωρευτικά: εφαρμόζεται η μεγαλύτερη από τις δύο. Ενδεικτικά, για προϊόν που θα διατεθεί στις 11 Δεκεμβρίου 2027 με πενταετή περίοδο υποστήριξης, η τεχνική τεκμηρίωση θα πρέπει να τηρείται τουλάχιστον έως τις 11 Δεκεμβρίου 2037. Μεγαλύτερη διάρκεια απαιτείται όταν η περίοδος υποστήριξης υπερβαίνει τα δέκα έτη.

6.       Εισαγωγέας, Διανομέας και η Κρίσιμη Έννοια της «Ουσιώδους Τροποποίησης»

Για εταιρείες που προμηθεύονται και επαναδιαθέτουν λογισμικό τρίτων, ο CRA θεσπίζει έναν κανόνα με σημαντική πρακτική επίπτωση: το άρθρο 21 ορίζει ότι εισαγωγέας ή διανομέας θεωρείται κατασκευαστής για τους σκοπούς του Κανονισμού, όταν διαθέτει στην αγορά προϊόν με ψηφιακά στοιχεία με το όνομά του ή το εμπορικό του σήμα ή προβαίνει σε ουσιώδη τροποποίηση.

Η επανατιτλοφόρηση υπό την επωνυμία της εταιρείας ενεργοποιεί ευθέως το άρθρο 21 και τις πλήρεις υποχρεώσεις κατασκευαστή. Αντιθέτως, η διαμόρφωση, ενσωμάτωση ή fine-tuning μοντέλου ΤΝ δεν αποτελεί αυτομάτως ουσιώδη τροποποίηση: απαιτείται να εξεταστεί αν η μεταβολή επηρεάζει τη συμμόρφωση με τις ουσιώδεις απαιτήσεις ή μεταβάλλει τον σκοπό για τον οποίο αξιολογήθηκε το προϊόν.

Ο εισαγωγέας (εταιρεία που αποκτά λογισμικό από προμηθευτές εκτός ΕΕ και το διαθέτει στην αγορά) φέρει τη δική του δέσμη υποχρεώσεων: οι παράγραφοι 1 και 2 του άρθρου 19 απαιτούν από τον εισαγωγέα να επαληθεύει πριν από τη διάθεση ότι ο κατασκευαστής διενήργησε την κατάλληλη αξιολόγηση συμμόρφωσης, ότι το προϊόν φέρει τη σήμανση CE και συνοδεύεται από δήλωση συμμόρφωσης ΕΕ και οδηγίες χρήσης. Ο εισαγωγέας υποχρεούται επίσης να τηρεί τη δήλωση συμμόρφωσης για τουλάχιστον 10 χρόνια και να ενημερώνει αμέσως τον κατασκευαστή επί ευπαθειών.

Ο διανομέας, από την άλλη, οφείλει να επαληθεύει πριν τη διάθεση ότι το προϊόν φέρει τη σήμανση CE και ότι ο κατασκευαστής και ο εισαγωγέας έχουν εκπληρώσει τις υποχρεώσεις τεκμηρίωσης και ταυτοποίησής τους.

VΙ. Αξιολόγηση Συμμόρφωσης και Σήμανση CE: Ποια Διαδικασία για Ποιο Προϊόν

Το άρθρο 32 παράγραφος 1 του CRA ορίζει ότι ο κατασκευαστής διενεργεί αξιολόγηση συμμόρφωσης του προϊόντος και των εφαρμοζόμενων διαδικασιών, προκειμένου να εξακριβώσει αν πληρούνται οι ουσιώδεις απαιτήσεις κυβερνοασφάλειας του Παραρτήματος Ι.

Η επιλογή της διαδικασίας εξαρτάται από την ταξινόμηση του προϊόντος:

Ο Εκτελεστικός Κανονισμός (ΕΕ) 2025/2392 της 28ης Νοεμβρίου 2025 ορίζει τις τεχνικές περιγραφές των κατηγοριών σημαντικών και κρίσιμων προϊόντων. Νομικοί σύμβουλοι εταιρειών που αναπτύσσουν λογισμικό διαχείρισης ταυτότητας, firewalls ή VPNs πρέπει να εξετάσουν τον Εκτελεστικό Κανονισμό προτού υποθέσουν ότι αρκεί η αυτοαξιολόγηση. Η αυστηρότερη κατηγορία εφαρμόζεται όταν το προϊόν ως σύνολο έχει τη βασική λειτουργικότητα κατηγορίας των Παραρτημάτων ΙΙΙ ή IV, η απλή ενσωμάτωση επιμέρους λειτουργίας δεν αρκεί από μόνη της.

7.       Αλυσίδα Εφοδιασμού, Συμβάσεις και η Αλληλεπίδραση με τον ν. 5160/2024 (NIS2)

7.1. Δέουσα Επιμέλεια στην εφοδιαστική αλυσίδα

Η ευθύνη του κατασκευαστή για τα στοιχεία τρίτων δεν εξαντλείται στην ενσωμάτωσή τους: όταν εντοπίζεται ευπάθεια σε ενσωματωμένο στοιχείο, το άρθρο 13 παράγραφος 6 απαιτεί ενημέρωση του κατασκευαστή ή συντηρητή του στοιχείου και αντιμετώπιση της ευπάθειας. Όπου ο κατασκευαστής του τελικού προϊόντος έχει αναπτύξει σχετική διόρθωση, πρέπει, κατά περίπτωση, να κοινοποιεί τον σχετικό κώδικα ή την τεκμηρίωση στον κατασκευαστή ή συντηρητή του στοιχείου.

Στο επίπεδο των συμβατικών ρυθμίσεων, είναι σκόπιμο οι νομικοί σύμβουλοι να εξετάζουν, ανάλογα με τον ρόλο των μερών, την κρισιμότητα του στοιχείου και τη δομή της συναλλαγής, την ενσωμάτωση σε συμβάσεις με παρόχους λογισμικού τρίτων: δηλώσεις και εγγυήσεις CRA συμμόρφωσης, υποχρέωση παροχής SBOM ανά έκδοση, υποχρέωση γνωστοποίησης ευπαθειών εντός ειδικά συμφωνημένης σύντομης προθεσμίας ώστε να μπορεί η εταιρεία να τηρεί τις προθεσμίες του άρθρου 14, δέσμευση για ενημερώσεις ασφαλείας για ολόκληρη την περίοδο υποστήριξης, δικαίωμα ελέγχου CRA συμμόρφωσης και δικαίωμα καταγγελίας για ουσιώδη μη συμμόρφωση.

7.2. Αλληλεπίδραση με τον ν. 5160/2024 (NIS2) — Κίνδυνος Διπλής Αναφοράς

Σημαντική είναι η επισήμανση ότι η Οδηγία (ΕΕ) 2022/2555 (Οδηγία NIS2), η οποία μεταφέρθηκε στο ελληνικό δίκαιο με τον ν. 5160/2024, θεσπίζει ξεχωριστό πλαίσιο υποχρεώσεων αναφοράς. Μια εταιρεία ανάπτυξης λογισμικού δεν υπάγεται στον ν. 5160/2024 μόνο επειδή πελάτες της δραστηριοποιούνται σε κρίσιμους τομείς. Απαιτείται η ίδια να εμπίπτει σε κατηγορία του νόμου, όπως υπηρεσίες υπολογιστικού νέφους, διαχειριζόμενες υπηρεσίες ή διαχειριζόμενες υπηρεσίες ασφάλειας, να πληροί το εφαρμοστέο κριτήριο μεγέθους ή να έχει χαρακτηριστεί ειδικά από την αρμόδια αρχή.

Εάν η εταιρεία εμπίπτει ταυτόχρονα και στον CRA και στον ν. 5160/2024, το ίδιο περιστατικό μπορεί να ενεργοποιεί παράλληλες υποχρεώσεις αναφοράς, με διαφορετικές νομικές προϋποθέσεις, κατώφλια σημαντικότητας, απαιτούμενο περιεχόμενο και, ενδεχομένως, διαύλους ή αποδέκτες, μολονότι και τα δύο πλαίσια προβλέπουν αρχικό στάδιο αναφοράς εντός 24 ωρών. Ο νομικός σύμβουλος πρέπει να αξιολογήσει εκ των προτέρων αν και κατά πόσο η εταιρεία υπάγεται στον ν. 5160/2024 και να εναρμονίσει τις διαδικασίες απόκρισης ώστε να καλύπτουν και τις δύο υποχρεώσεις ταυτόχρονα.

8.       Κυρώσεις: Το Οικονομικό Στοίχημα

Το καθεστώς διοικητικών κυρώσεων του CRA διαρθρώνεται ως εξής:

Αξίζει να σημειωθεί ότι για πολύ μικρές και μικρές επιχειρήσεις δεν επιβάλλεται διοικητικό πρόστιμο ειδικά για μη τήρηση της 24ωρης προθεσμίας πρώιμης ειδοποίησης. Η εξαίρεση δεν αίρει, ωστόσο, την υποχρέωση αναφοράς ούτε αποκλείει άλλα διορθωτικά μέτρα. Πέραν των προστίμων, οι αρχές εποπτείας μπορούν να απαιτήσουν συμμόρφωση, απόσυρση ή ανάκληση προϊόντος. Το άρθρο 52 του CRA ορίζει ότι οι αρχές εποπτείας της αγοράς συνεργάζονται με τις CSIRT και τον ENISA για την εποπτεία της εφαρμογής των υποχρεώσεων αναφοράς βάσει του άρθρου 14.

9.       Πρακτικές Επισημάνσεις

Ο CRA αποτελεί ριζική αλλαγή παραδείγματος για τον κλάδο του λογισμικού: η κυβερνοασφάλεια μετατρέπεται από τεχνική επιλογή σε νομική υποχρέωση με ορατές κυρωτικές συνέπειες. Από τη σκοπιά του νομικού συμβούλου, τα κρίσιμα σημεία εστίασης είναι τα εξής.

Πρώτον, η χαρτογράφηση προηγείται της ανάλυσης. Πριν από οποιαδήποτε ουσιαστική συμβουλή, ο νομικός σύμβουλος οφείλει να βοηθήσει τον εντολέα να χαρτογραφήσει ανά προϊόν, έκδοση και αρχιτεκτονική: (α) αν το προϊόν υπάγεται στον CRA, (β) ποιος ρόλος αναλαμβάνεται (κατασκευαστής, εισαγωγέας, διανομέας ή de facto κατασκευαστής), και (γ) αν συντρέχουν υποχρεώσεις και από την Πράξη για την ΤΝ.

Δεύτερον, η υποχρέωση του άρθρου 14 δεν αναμένει το 2027. Η 24ωρη γνωστοποίηση εφαρμόζεται από τις 11 Σεπτεμβρίου 2026 και δεν αναμένει την πλήρη εφαρμογή του CRA το 2027. Κατά την ημερομηνία του παρόντος άρθρου, οι κατασκευαστές καλυπτόμενων προϊόντων έχουν περιορισμένο χρόνο για να θέσουν σε λειτουργία την απαιτούμενη διαδικασία αναφοράς.

Τρίτον, οι συμβάσεις πρέπει να επικαιροποιηθούν. Τόσο οι συμβάσεις με προμηθευτές λογισμικού τρίτων όσο και οι άδειες χρήσης προς B2B πελάτες πρέπει να επανεξεταστούν υπό το πρίσμα του CRA. Ανάλογα με το προϊόν και τη συμβατική σχέση, μπορεί να απαιτούνται ειδικές ρυθμίσεις για την περίοδο υποστήριξης, τις ενημερώσεις ασφαλείας, τη συνεργασία σε περιστατικά και, εφόσον συμφωνηθεί, την πρόσβαση σε SBOM έως υποχρεώσεις γνωστοποίησης ευπαθειών εντός σύντομης εσωτερικής προθεσμίας.

Τέταρτον, η έννοια της «ουσιώδους τροποποίησης» είναι πεδίο αβεβαιότητας. Παρότι οι κατευθυντήριες γραμμές της Επιτροπής C(2026) 5252 παρέχουν ήδη διευκρινίσεις και πρακτικά παραδείγματα, η αξιολόγηση του αν το fine-tuning, η διαμόρφωση ή η ενσωμάτωση συστήματος ΤΝ συνιστά ουσιώδη τροποποίηση παραμένει εξατομικευμένη και πρέπει να βασίζεται στα κριτήρια του άρθρου 3 σημείο 30.

Πέμπτον, τα εναρμονισμένα πρότυπα αναμένονται. Σύμφωνα με τις κατευθυντήριες γραμμές της Επιτροπής (C(2026) 5252, 27 Ιουλίου 2026), μόλις ένα εναρμονισμένο πρότυπο αναφερθεί στην Επίσημη Εφημερίδα, η τήρησή του παρέχει τεκμήριο συμμόρφωσης με τις ουσιώδεις απαιτήσεις του Παραρτήματος Ι. Πρώτες παραδοτέες εργασίες αναμένονται εντός του τρίτου τριμήνου του 2026 και πρόσθετα πρότυπα έως τις 30 Οκτωβρίου 2027. Η παρακολούθηση αυτής της διαδικασίας είναι απαραίτητη για τον ορθό σχεδιασμό της συμμόρφωσης.

Ο CRA δεν μπορεί να αντιμετωπιστεί αποκλειστικά ως τεχνικό ζήτημα. Είναι, πρωτίστως, ζήτημα νομικής αρχιτεκτονικής: της αλυσίδας ευθυνών, της συμβατικής κατανομής κινδύνων και της τεκμηρίωσης που θα κριθεί μπροστά σε εποπτικές αρχές. Σε αυτό το πεδίο, ο ρόλος του νομικού συμβούλου είναι κεντρικός.