Сфера дії CRA: що таке «продукт із цифровими елементами» і хто підпадає

Cyber Resilience Act або Закон ЄС про кіберстійкість (Регламент (ЄС) 2024/2847, далі  – CRA) набрав чинності 10 грудня 2024 року і почне застосовуватися в повному обсязі з 11 грудня 2027 року (окремі положення набирають чинності раніше, детальніше про дати застосування відповідних норм читайте нижче). Регламент визначає вимоги до кібербезпеки апаратних та програмних продуктів із цифровими елементами, які випускаються на ринок Європейського Союзу. Перш ніж говорити про самі вимоги до кібербезпеки, потрібно розібратися, які саме продукти підпадають під регулювання.

Нижче ми розглянемо сферу застосування CRA, які продукти підпадають під регулювання, та окреслимо трирівневу систему класифікації продукції, яка визначає, наскільки суворими будуть вимоги до дотримання нормативних зобов’язань.

Продукти які підпадають під дію регулювання CRA

Головний критерій застосування Регламенту визначений у статті 2(1): Регламент застосовується до продуктів із цифровими елементами, які надаються на ринку та призначення або розумно передбачуване використання яких передбачає пряме чи опосередковане логічне або фізичне з’єднання для передачі даних із пристроєм або мережею.

Що вважається продуктом із цифровими елементами?

Продуктом із цифровими елементами за статтею 3(1) є програмний або апаратний продукт та рішення для віддаленої обробки даних, включно з програмними або апаратними компонентами, які надаються на ринку окремо.

Простіше кажучи, у визначенні закріплені три основні елементи:

1. Сам продукт є програмним або апаратним. Це може бути програмне забезпечення (застосунок чи програма, що поширюється онлайн чи на фізичному носії) або апаратне забезпечення (пристрій, мікросхема, плата), або й комбінація обох, коли апаратна й програмна частини працюють разом.

Рекомендації Єврокомісії щодо застосування CRA (документ C(2026) 5252 від 27 липня 2026 року) роз’яснюють, що ПЗ вважається продуктом, коли воно надане користувачу, отримане ним і експлуатується на стороні користувача (завантажене, встановлене, використане на його пристрої). А от вебзастосунок, який працює виключно у браузері й нічого не встановлює на пристрій користувача, продуктом не є.

2. Компонент, проданий окремо. Зокрема, мікроконтролер, бібліотека, окремий модуль прошивки теж можуть вважатися продуктом із цифровими елементами, якщо його потім інтегрують у щось більше. Немає значення, що кінцевий користувач ніколи не побачить цей компонент окремо від готового виробу.

3. Рішення для віддаленої обробки даних. Якщо продукт для виконання своєї функції звертається до чогось віддаленого, наприклад, до хмарного API виробника, без якого пристрій не виконає одну зі своїх функцій, ця віддалена частина теж буде вважатися частиною продукту в розумінні CRA.

Коли продукт вважається виведеним на ринок?

CRA застосовується лише в контексті розміщення на ринку Європейського Союзу, тобто постачання продукту для розповсюдження чи використання в межах комерційної діяльності. 

У пункті 15 CRA визначені ознаки комерційної діяльності:

• пряме стягнення плати за сам продукт;
• плата за технічну підтримку, що перевищує компенсацію реальних витрат;
• монетизація інших продуктів чи послуг через безкоштовний продукт (наприклад, реклама чи комісія в застосунку, який сам по собі безкоштовний);
• вимога обробляти персональні дані користувача на умовах, що виходять за межі суто безпеки, сумісності чи покращення роботи ПЗ;
• прийняття пожертв, що перевищують реальні витрати на розробку й підтримку.

До прикладу, безоплатний застосунок, який заробляє на рекламі чи вимагає згоди на обробку даних для таргетингу, містить ознаку комерційної діяльності. 

Водночас безоплатне ПЗ з відкритим кодом, яке хтось розробляє без наміру монетизації, не потрапляє під дію CRA. Також сам факт того, що інша компанія інтегрує безкоштовний компонент у свій комерційний продукт, автоматично не робить сам продукт комерційним, адже вирішальним є те, чи монетизує його саме оригінальний виробник.

Коли продукт вважається підключеним?

CRA застосовується до продуктів із цифровими елементами, чиє призначення або обґрунтовано передбачуване використання включає пряме чи непряме, логічне чи фізичне з’єднання з пристроєм або мережею.

Регламент у статтях 3(8) – 3(10) дає такі визначення різних типів з’єднань: 

• логічне з’єднання – це віртуальне представлення з’єднання для передачі даних, реалізоване через програмний інтерфейс (застосунок, що обмінюється даними через API);
• фізичне з’єднання – це єднання, реалізоване фізичними засобами, зокрема через електричні, оптичні чи механічні інтерфейси, дроти або радіохвилі (роутер, під’єднаний до інтернету);
• непряме з’єднання – це з’єднання з пристроєм чи мережею, яке відбувається не напряму, а як частина більшої системи, що сама підключена до такого пристрою чи мережі (сенсор, підключений до локального хаба, який своєю чергою з’єднаний з мережею).

Хоча Регламент не надає визначення поняття самого з’єднання, у Рекомендації Єврокомісії (документ C(2026) 5252) тлумачить це так:

Щоб з’єднання вважалося з’єднанням для передачі даних, потрібна свідомо закодована інформація з одного боку і здатність її розкодувати з іншого. Наприклад, якщо електричний чи електронний сигнал лише вмикає або вимикає якусь функцію, не передаючи закодованої інформації, це буде вважатися з’єднанням для передачі даних у розумінні CRA, і відповідно, продукт не підпадатиме під дії статті 2(1) на цій підставі.

Які продукти не охоплює CRA?

Стаття 2 передбачає прямі винятки і містить перелік тих продуктів, що не підпадатимуть під дію Регламенту. Зокрема, це:

• медичні вироби та вироби для діагностики in vitro (Регламенти (ЄС) 2017/745 і 2017/746);
• автомобілі та компоненти, що підпадають під тип-схвалення за Регламентом (ЄС) 2019/2144;
• продукти, сертифіковані за авіаційним Регламентом (ЄС) 2018/1139;
• морське обладнання за Директивою 2014/90/ЄС;
• запасні частини, що замінюють ідентичні компоненти в уже наявних продуктах;
• продукти розроблені чи модифіковані виключно для потреб національної безпеки чи оборони, або призначені для обробки класифікованої інформації.

Логіка їх виключення полягає в тому, що для них уже існують власні, порівнянні за рівнем захисту вимоги і подвоювати регулювання для них немає сенсу.

Як продукти класифікуються?

CRA поділяє всі продукти на категорії за рівнем кіберризику. Це впливає на те, яку процедуру оцінки відповідності (conformity assessment) має пройти виробник. 

1) Звичайні продукти

Якщо продукт із цифровими елементами підпадає під сферу дії CRA, але не входить до жодного переліку в Додатку III чи Додатку IV, він вважається звичайним та до нього застосовується найлегша процедура оцінки відповідності: внутрішній контроль (Module A), за яким виробник сам оцінює й декларує відповідність. 

2) Важливі продукти (Додаток III)

Це продукти, які виконують функції з підвищеним ризиком для кібербезпеки: критичні функції безпеки (автентифікація, контроль доступу, захист мережі) або функції з високим ризиком негативного впливу. Ці  продукти поділені на два класи.

Клас I це нижчий рівень ризику, 19 категорій продуктів. Це переважно ПЗ з функціями автентифікації, контролю доступу чи мережевого захисту (менеджери паролів, VPN, антивіруси, браузери, операційні системи), мережеве обладнання й компоненти (роутери, модеми, комутатори, мікропроцесори й мікроконтролери з функціями безпеки, ASIC/FPGA з функціями безпеки), і споживчі smart-пристрої з функціями безпеки (розумні замки, камери спостереження, радіоняні, охоронні сигналізації, підключені іграшки з інтерактивними чи геолокаційними функціями, носимі пристрої для моніторингу здоров’я) та інші.

Клас II це вищий рівень ризику, лише 4 категорії: гіпервізори, файрволи та системи виявлення й запобігання вторгненням (IDS/IPS), а також мікропроцесори й мікроконтролери, стійкі до втручання (tamper-resistant).

Різниця між цими класами полягає у тому що, продукти класу I виробник за певних умов може оцінити самостійно (module A), а от продукти класу II завжди проходять оцінку відповідності за участю нотифікованого органу, навіть якщо вони повністю відповідають стандартам. 

3) Критичні продукти (Додаток IV)

Сюди відносяться продукти, які мають ключову залежність для суб’єктів критичної інфраструктури (essential entities за Директивою NIS2) або чиї вразливості можуть спричинити масштабні збої в критичних ланцюгах постачання:

• апаратні пристрої із захищеними модулями безпеки (security boxes);
• шлюзи інтелектуальних лічильників (smart meter gateways) у складі систем розумного обліку за Директивою (ЄС) 2019/944, а також інші пристрої для розширених цілей безпеки, включно з безпечною криптографічною обробкою;
• смарт-карти або подібні пристрої, включно із захищеними елементами (secure elements).

Для критичних продуктів Комісія делегованим актом може зобов’язати виробника отримати обов’язковий європейський сертифікат кібербезпеки щонайменше на рівні substantial за схемою сертифікації відповідно до Регламенту (ЄС) 2019/881. Доки такий делегований акт не прийнято, критичні продукти проходять ту саму сувору процедуру, що й важливі продукти класу II.

Коли CRA починає застосовуватися?

• з 11 червня 2026 року застосовуються положення про нотифікацію органів оцінки відповідності;
• з 11 вересня 2026 року застосовується обов’язок звітувати про активно експлуатовані вразливості та серйозні інциденти;
• з 11 грудня 2027 року Регламент застосовується повністю.

Висновки

Отже, продукт підпадає під дію CRA, якщо одночасно виконуються три умови: (1) він є продуктом із цифровими елементами; (2) він виводиться на ринок ЄС у межах комерційної діяльності; (3) він має пряме чи непряме, логічне чи фізичне з’єднання для передачі даних. Далі має значення, до якої з трьох категорій ризику потрапляє продукт та які вимоги оцінок відповідності мають бути дотримані. 

Відповідно, якщо ваш продукт містить ці ознаки, починати комплаєнс варто вже зараз, щоб вчасно відповідати всім необхідним вимогам, особливо якщо йдеться про важливий чи критичний продукт, де оцінка відповідності вимагає залучення нотифікованого органу, адже цей процес значно довший, ніж самостійна декларація відповідності.