CRA-ის ფარგლებში მწარმოებლებისთვის შეტყობინების ვალდებულება ამოქმედდა

კიბერმდგრადობის აქტით (Cyber Resilience Act, CRA) გათვალისწინებული პირველი ვალდებულებების ამოქმედებისას, გერმანიის კომპანიების მხოლოდ 29%-მა იცის, რას ნიშნავს ევროკავშირის რეგულაცია მათთვის. კიდევ 38%-ს რეგულაციის შესახებ სმენია, თუმცა მის შედეგებს ვერ აფასებს. ეს დარგობრივი გაერთიანება Bitkom-ის წარმომადგენლობითმა გამოკითხვამ აჩვენა.

კიბერმდგრადობის აქტი ციფრული ელემენტების შემცველი პროდუქტების მწარმოებლებს კიბერუსაფრთხოების მინიმალური სტანდარტების დაცვას ავალდებულებს. რეგულაცია არა მხოლოდ ქსელთან დაკავშირებულ მოწყობილობებს, მათ შორის, როუტერებსა და სამრეწველო მართვის სისტემებს, არამედ პროგრამულ უზრუნველყოფასაც ეხება. მოთხოვნების უმრავლესობა ევროკავშირის ბაზარზე 2027 წლის 11 დეკემბრიდან ახლად განთავსებულ პროდუქტებზე გავრცელდება. თუმცა დღეიდან, 2026 წლის 11 სექტემბრიდან, მწარმოებლებმა აქტიურად გამოყენებული ხარვეზებისა და უსაფრთხოების მძიმე ინციდენტების შესახებ უკვე უნდა აცნობონ. რეგულაციის მოქმედების სფეროს მიმოხილვას გერმანიის ინფორმაციული უსაფრთხოების ფედერალური სამსახური (BSI) აქვეყნებს.

შეტყობინების ვალდებულება მკაცრ ვადებს ითვალისწინებს. ინფორმაციის მიღებიდან 24 საათში ადრეული გაფრთხილება უნდა გაიგზავნოს. მწარმოებლებმა 72 საათში დამატებითი ინფორმაცია და პირველადი შეფასება უნდა წარადგინონ. ხარვეზის შემთხვევაში საბოლოო ანგარიში პრობლემის მოგვარების საშუალების, მაგალითად, პროგრამული შესწორების ან დროებითი გამოსავლის ხელმისაწვდომობიდან არაუგვიანეს 14 დღისა უნდა მომზადდეს. უსაფრთხოების მძიმე ინციდენტისთვის საბოლოო ანგარიშის ვადა 72-საათიანი შეტყობინებიდან ერთი თვეა. ევროკავშირის კიბერუსაფრთხოების სააგენტო (ENISA) ამისთვის შეტყობინებების ერთიან ცენტრალურ პლატფორმას მართავს.

Bitkom-ის გამოკითხვის მონაცემებით, CRA-ის შესახებ კომპანიების სულ მცირე 67%-ს სმენია. კომპანიების 28%-ისთვის კი რეგულაცია სრულიად უცნობია. გაერთიანებამ ტელეფონით გამოკითხა 1003 კომპანია, რომლებსაც სულ მცირე ათი თანამშრომელი ჰყავთ და წლიური ბრუნვა არანაკლებ ერთი მილიონი ევროა. გამოკითხვა მიმდინარე წლის მე-16-დან 23-ე კალენდარულ კვირამდე ჩატარდა.

თუმცა გამოკითხვა ძირითადად CRA-ის ცნობადობას ზომავს. ის არ ადგენს, რამდენმა კომპანიამ დანერგა პრაქტიკაში შეტყობინების არხები, პასუხისმგებლობების განაწილება ან ხარვეზების მართვის პროცესები. ამასთან, დღეიდან მოქმედი ვალდებულება, პირველ რიგში, ციფრული ელემენტების შემცველი პროდუქტების მწარმოებლებს ეხება. ამიტომ საკუთარი საქმიანობის რეგულაციასთან შესაბამისობის დადგენა უფრო გადაუდებელია კომპანიებისთვის, რომლებიც ასეთ აპარატურას ან პროგრამულ უზრუნველყოფას ქმნიან ან საკუთარი ბრენდით ყიდიან, ვიდრე მხოლოდ მომხმარებელი კომპანიებისთვის.