Κανονισμός · CELEX 32024R2847
Κανονισμός (ΕΕ) 2024/2847 — Πράξη για την κυβερνοανθεκτικότητα
Δείτε το επίσημο κείμενο στο EUR-Lex →2 υποχρεώσεις
CRA-013-1 · Κανονισμός (ΕΕ) 2024/2847 — Πράξη για την κυβερνοανθεκτικότητα, Άρθρο 13 παρ. 1-5 / Παράρτημα I Μέρος I
Βασικές απαιτήσεις κυβερνοασφάλειας — σχεδιασμός και ιδιότητες του προϊόντος
Κατά τη διάθεση στην αγορά προϊόντος με ψηφιακά στοιχεία, διασφαλίζεται ότι έχει σχεδιαστεί, αναπτυχθεί και παραχθεί κατά τρόπο ώστε να παρέχει κατάλληλο επίπεδο κυβερνοασφάλειας με βάση τους κινδύνους. Με βάση την εκτίμηση κινδύνων κυβερνοασφάλειας του άρθρου 13 παράγραφος 2 και κατά περίπτωση: το προϊόν διατίθεται χωρίς γνωστές ευπάθειες που επιδέχονται εκμετάλλευση· διατίθεται με ασφαλή εξ ορισμού διαμόρφωση (με δυνατότητα επαναφοράς)· διασφαλίζεται ότι οι ευπάθειες μπορούν να αντιμετωπίζονται μέσω επικαιροποιήσεων ασφάλειας (συμπεριλαμβανομένων αυτόματων επικαιροποιήσεων με δυνατότητα εξαίρεσης, ενεργοποιημένων εξ ορισμού κατά περίπτωση, με ειδοποιήσεις για τις επικαιροποιήσεις και δυνατότητα αναβολής τους)· παρέχεται προστασία από μη εξουσιοδοτημένη πρόσβαση (μηχανισμοί ελέγχου ταυτότητας, διαχείρισης ταυτοτήτων και διαχείρισης πρόσβασης, με αναφορά πιθανής μη εξουσιοδοτημένης πρόσβασης)· προστατεύεται η εμπιστευτικότητα των αποθηκευμένων, διαβιβαζόμενων ή υποβαλλόμενων σε επεξεργασία δεδομένων (π.χ. κρυπτογράφηση κατά την αποθήκευση και κατά τη διαβίβαση)· προστατεύεται η ακεραιότητα των δεδομένων, των εντολών, των προγραμμάτων και της διαμόρφωσης από μη εξουσιοδοτημένη παραποίηση (με αναφορά αλλοιώσεων)· τα δεδομένα που υποβάλλονται σε επεξεργασία περιορίζονται στα αναγκαία (ελαχιστοποίηση των δεδομένων)· προστατεύεται η διαθεσιμότητα των ουσιωδών και βασικών λειτουργιών, συμπεριλαμβανομένης της ανθεκτικότητας σε επιθέσεις άρνησης εξυπηρέτησης· ελαχιστοποιείται ο αρνητικός αντίκτυπος στη διαθεσιμότητα άλλων συσκευών ή δικτύων· περιορίζονται οι επιφάνειες επίθεσης, συμπεριλαμβανομένων των εξωτερικών διεπαφών· μειώνεται ο αντίκτυπος των περιστατικών μέσω τεχνικών μετριασμού της εκμετάλλευσης· παρέχονται πληροφορίες σχετικές με την ασφάλεια μέσω καταγραφής και παρακολούθησης της εσωτερικής δραστηριότητας (με δυνατότητα εξαίρεσης του χρήστη)· και οι χρήστες μπορούν να αφαιρούν οριστικά, με ασφάλεια και ευκολία, όλα τα δεδομένα και τις ρυθμίσεις, με δυνατότητα ασφαλούς μεταφοράς τους κατά περίπτωση.
Δεν ισχύει ακόμη
CRA-013-1 · Κανονισμός (ΕΕ) 2024/2847 — Πράξη για την κυβερνοανθεκτικότητα, Άρθρο 13 παρ. 1-5 / Παράρτημα I Μέρος I
Βασικές απαιτήσεις κυβερνοασφάλειας — σχεδιασμός και ιδιότητες του προϊόντος
Κατά τη διάθεση στην αγορά προϊόντος με ψηφιακά στοιχεία, διασφαλίζεται ότι έχει σχεδιαστεί, αναπτυχθεί και παραχθεί κατά τρόπο ώστε να παρέχει κατάλληλο επίπεδο κυβερνοασφάλειας με βάση τους κινδύνους. Με βάση την εκτίμηση κινδύνων κυβερνοασφάλειας του άρθρου 13 παράγραφος 2 και κατά περίπτωση: το προϊόν διατίθεται χωρίς γνωστές ευπάθειες που επιδέχονται εκμετάλλευση· διατίθεται με ασφαλή εξ ορισμού διαμόρφωση (με δυνατότητα επαναφοράς)· διασφαλίζεται ότι οι ευπάθειες μπορούν να αντιμετωπίζονται μέσω επικαιροποιήσεων ασφάλειας (συμπεριλαμβανομένων αυτόματων επικαιροποιήσεων με δυνατότητα εξαίρεσης, ενεργοποιημένων εξ ορισμού κατά περίπτωση, με ειδοποιήσεις για τις επικαιροποιήσεις και δυνατότητα αναβολής τους)· παρέχεται προστασία από μη εξουσιοδοτημένη πρόσβαση (μηχανισμοί ελέγχου ταυτότητας, διαχείρισης ταυτοτήτων και διαχείρισης πρόσβασης, με αναφορά πιθανής μη εξουσιοδοτημένης πρόσβασης)· προστατεύεται η εμπιστευτικότητα των αποθηκευμένων, διαβιβαζόμενων ή υποβαλλόμενων σε επεξεργασία δεδομένων (π.χ. κρυπτογράφηση κατά την αποθήκευση και κατά τη διαβίβαση)· προστατεύεται η ακεραιότητα των δεδομένων, των εντολών, των προγραμμάτων και της διαμόρφωσης από μη εξουσιοδοτημένη παραποίηση (με αναφορά αλλοιώσεων)· τα δεδομένα που υποβάλλονται σε επεξεργασία περιορίζονται στα αναγκαία (ελαχιστοποίηση των δεδομένων)· προστατεύεται η διαθεσιμότητα των ουσιωδών και βασικών λειτουργιών, συμπεριλαμβανομένης της ανθεκτικότητας σε επιθέσεις άρνησης εξυπηρέτησης· ελαχιστοποιείται ο αρνητικός αντίκτυπος στη διαθεσιμότητα άλλων συσκευών ή δικτύων· περιορίζονται οι επιφάνειες επίθεσης, συμπεριλαμβανομένων των εξωτερικών διεπαφών· μειώνεται ο αντίκτυπος των περιστατικών μέσω τεχνικών μετριασμού της εκμετάλλευσης· παρέχονται πληροφορίες σχετικές με την ασφάλεια μέσω καταγραφής και παρακολούθησης της εσωτερικής δραστηριότητας (με δυνατότητα εξαίρεσης του χρήστη)· και οι χρήστες μπορούν να αφαιρούν οριστικά, με ασφάλεια και ευκολία, όλα τα δεδομένα και τις ρυθμίσεις, με δυνατότητα ασφαλούς μεταφοράς τους κατά περίπτωση.
- Εφαρμόζεται σε
- Όλοι οι οργανισμοί εντός πεδίου εφαρμογής
- Σοβαρότητα σε περίπτωση μη συμμόρφωσης
- Κρίσιμη
- Ισχύει από
- 11 Δεκ 2027
- Πηγή
- CRA.txt:2379-2444
Πώς επαληθεύεται
Η τεκμηριωμένη εκτίμηση κινδύνων κυβερνοασφάλειας του προϊόντος (άρθρο 13 παράγραφος 2) καλύπτει κάθε εφαρμοστέα ιδιότητα του Παραρτήματος I, Μέρος I, σημείο 2 στοιχεία α) έως ιγ), με τεκμήρια υλοποίησης για κάθε απαίτηση που καλύπτεται και τεκμηριωμένη αιτιολόγηση για κάθε απαίτηση που κρίνεται μη εφαρμοστέα
Δεν εφαρμόζεται ακόμη — η κύρια ημερομηνία εφαρμογής της υποχρέωσης (11 Δεκεμβρίου 2027) απέχει πολύ περισσότερο από ένα έτος από την ημερομηνία τελευταίας επαλήθευσης της βιβλιοθήκης· η συλλογή τεκμηρίων δεν θα πρέπει να ξεκινήσει πριν πλησιάσει η ημερομηνία αυτή. Το ποια στοιχεία του σημείου 2 του Παραρτήματος I είναι «εφαρμοστέα» σε ένα συγκεκριμένο προϊόν είναι προσδιορισμός που εξαρτάται από την εκτίμηση κινδύνων και διαφέρει ανά προϊόν, εν αναμονή εξέτασης από ειδικό σε θέματα συμμόρφωσης.
Τελευταία επαλήθευση με βάση το πρωτογενές δίκαιο: 23 Ιουλ 2026
CRA-013-2 · Κανονισμός (ΕΕ) 2024/2847 — Πράξη για την κυβερνοανθεκτικότητα, Άρθρο 13 παρ. 6 και 8 / Παράρτημα I Μέρος II
Απαιτήσεις χειρισμού ευπαθειών για προϊόντα με ψηφιακά στοιχεία
Οι κατασκευαστές: εντοπίζουν και τεκμηριώνουν τις ευπάθειες και τα συστατικά στοιχεία, μεταξύ άλλων με κατάλογο υλικών λογισμικού (SBOM) σε μηχαναγνώσιμη μορφή που καλύπτει τουλάχιστον τις εξαρτήσεις ανώτατου επιπέδου· αντιμετωπίζουν και αποκαθιστούν τις ευπάθειες χωρίς καθυστέρηση, παρέχοντας επικαιροποιήσεις ασφάλειας (χωριστά από τις επικαιροποιήσεις λειτουργικότητας, όπου αυτό είναι τεχνικά εφικτό)· διενεργούν αποτελεσματικές και τακτικές δοκιμές και επανεξετάσεις ασφάλειας· μόλις διατεθεί διόρθωση, ανταλλάσσουν και γνωστοποιούν δημόσια πληροφορίες για τις ευπάθειες (περιγραφή, ταυτοποίηση του επηρεαζόμενου προϊόντος, αντίκτυπος, σοβαρότητα, οδηγίες αποκατάστασης) — με δυνατότητα δεόντως αιτιολογημένης καθυστέρησης όταν ο κίνδυνος από τη δημοσίευση υπερβαίνει το όφελος, έως ότου οι χρήστες μπορέσουν να εφαρμόσουν τη διόρθωση· θεσπίζουν και επιβάλλουν πολιτική συντονισμένης γνωστοποίησης ευπαθειών· διευκολύνουν την ανταλλαγή πληροφοριών για πιθανές ευπάθειες, μεταξύ άλλων σε συστατικά στοιχεία τρίτων, με διεύθυνση επικοινωνίας για την αναφορά τους· παρέχουν ασφαλείς μηχανισμούς διανομής επικαιροποιήσεων που εξασφαλίζουν έγκαιρες και, κατά περίπτωση, αυτόματες διορθώσεις· και διαδίδουν τις διαθέσιμες επικαιροποιήσεις ασφάλειας χωρίς καθυστέρηση και — εκτός εάν έχει συμφωνηθεί διαφορετικά για εξατομικευμένο προϊόν — δωρεάν, συνοδευόμενες από συμβουλευτικές οδηγίες για τους χρήστες.
Δεν ισχύει ακόμη
CRA-013-2 · Κανονισμός (ΕΕ) 2024/2847 — Πράξη για την κυβερνοανθεκτικότητα, Άρθρο 13 παρ. 6 και 8 / Παράρτημα I Μέρος II
Απαιτήσεις χειρισμού ευπαθειών για προϊόντα με ψηφιακά στοιχεία
Οι κατασκευαστές: εντοπίζουν και τεκμηριώνουν τις ευπάθειες και τα συστατικά στοιχεία, μεταξύ άλλων με κατάλογο υλικών λογισμικού (SBOM) σε μηχαναγνώσιμη μορφή που καλύπτει τουλάχιστον τις εξαρτήσεις ανώτατου επιπέδου· αντιμετωπίζουν και αποκαθιστούν τις ευπάθειες χωρίς καθυστέρηση, παρέχοντας επικαιροποιήσεις ασφάλειας (χωριστά από τις επικαιροποιήσεις λειτουργικότητας, όπου αυτό είναι τεχνικά εφικτό)· διενεργούν αποτελεσματικές και τακτικές δοκιμές και επανεξετάσεις ασφάλειας· μόλις διατεθεί διόρθωση, ανταλλάσσουν και γνωστοποιούν δημόσια πληροφορίες για τις ευπάθειες (περιγραφή, ταυτοποίηση του επηρεαζόμενου προϊόντος, αντίκτυπος, σοβαρότητα, οδηγίες αποκατάστασης) — με δυνατότητα δεόντως αιτιολογημένης καθυστέρησης όταν ο κίνδυνος από τη δημοσίευση υπερβαίνει το όφελος, έως ότου οι χρήστες μπορέσουν να εφαρμόσουν τη διόρθωση· θεσπίζουν και επιβάλλουν πολιτική συντονισμένης γνωστοποίησης ευπαθειών· διευκολύνουν την ανταλλαγή πληροφοριών για πιθανές ευπάθειες, μεταξύ άλλων σε συστατικά στοιχεία τρίτων, με διεύθυνση επικοινωνίας για την αναφορά τους· παρέχουν ασφαλείς μηχανισμούς διανομής επικαιροποιήσεων που εξασφαλίζουν έγκαιρες και, κατά περίπτωση, αυτόματες διορθώσεις· και διαδίδουν τις διαθέσιμες επικαιροποιήσεις ασφάλειας χωρίς καθυστέρηση και — εκτός εάν έχει συμφωνηθεί διαφορετικά για εξατομικευμένο προϊόν — δωρεάν, συνοδευόμενες από συμβουλευτικές οδηγίες για τους χρήστες.
- Εφαρμόζεται σε
- Όλοι οι οργανισμοί εντός πεδίου εφαρμογής
- Σοβαρότητα σε περίπτωση μη συμμόρφωσης
- Κρίσιμη
- Ισχύει από
- 11 Δεκ 2027
- Πηγή
- CRA.txt:2445-2480
Πώς επαληθεύεται
Υπάρχει SBOM σε μηχαναγνώσιμη μορφή που καλύπτει τις εξαρτήσεις ανώτατου επιπέδου, οι ευπάθειες αποκαθίστανται χωρίς καθυστέρηση με χωριστές επικαιροποιήσεις ασφάλειας, διενεργούνται τακτικές δοκιμές ασφάλειας, οι ευπάθειες που έχουν διορθωθεί γνωστοποιούνται με οδηγίες αποκατάστασης (ή η καθυστέρηση αιτιολογείται), εφαρμόζεται πολιτική συντονισμένης γνωστοποίησης ευπαθειών με σημείο επικοινωνίας για αναφορές και οι επικαιροποιήσεις ασφάλειας διανέμονται με ασφάλεια, χωρίς καθυστέρηση και, κατά περίπτωση, δωρεάν
Δεν εφαρμόζεται ακόμη — η κύρια ημερομηνία εφαρμογής της υποχρέωσης (11 Δεκεμβρίου 2027) απέχει πολύ περισσότερο από ένα έτος από την ημερομηνία τελευταίας επαλήθευσης της βιβλιοθήκης, αν και οι προθεσμίες υποβολής αναφορών του στενά συνδεδεμένου άρθρου 14 εφαρμόζονται πολύ νωρίτερα (11 Σεπτεμβρίου 2026).
Τελευταία επαλήθευση με βάση το πρωτογενές δίκαιο: 23 Ιουλ 2026