Πράξη Κυβερνοανθεκτικότητας για εταιρείες λογισμικού στην Κύπρο: οδηγός 2026–27

Περιεχόμενα

Ελέγξτε αν η προσφορά είναι προϊόν με ψηφιακά στοιχεία
Αποδώστε ρόλο κατασκευαστή, εισαγωγέα ή διανομέα ανά προϊόν
Αντιμετωπίστε την αναφορά του 2026 χωριστά από τη συμμόρφωση του 2027
Εξασκήστε τη διαδικασία αναφοράς στην ENISA πριν από κρίση
Μετατρέψτε το παράρτημα I σε έργο ασφάλειας προϊόντος
Ορίστε τεκμηριωμένη περίοδο υποστήριξης και σαφείς οδηγίες
Προετοιμάστε την ορθή διαδικασία συμμόρφωσης για το 2027
Κάντε τρεις πρακτικές δοκιμές με αποδεικτικά στοιχεία
Πηγές

Μια κυπριακή εταιρεία που διαθέτει συνδεδεμένο προϊόν λογισμικού στην ΕΕ πρέπει να ξεχωρίσει δύο ημερομηνίες της Πράξης Κυβερνοανθεκτικότητας. Από τις 11 Σεπτεμβρίου 2026 οι κατασκευαστές αναφέρουν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά περιστατικά ασφάλειας μέσω της ενιαίας πλατφόρμας της ENISA. Οι βασικές απαιτήσεις ασφάλειας και συμμόρφωσης προϊόντος εφαρμόζονται κατά κανόνα από τις 11 Δεκεμβρίου 2027. Η αναμονή μέχρι τότε μπορεί να οδηγήσει σε παράλειψη ήδη ισχύουσας αναφοράς, ενώ η αυθαίρετη κατάταξη κάθε συνδρομής cloud ως προϊόντος CRA δημιουργεί άλλα σφάλματα. Ο οδηγός στηρίζεται στον κανονισμό (ΕΕ) 2024/2847 και στις επίσημες διευκρινίσεις Επιτροπής και ENISA.

Ελέγξτε αν η προσφορά είναι προϊόν με ψηφιακά στοιχεία

Η CRA αφορά προϊόντα με ψηφιακά στοιχεία που διατίθενται στην αγορά της Ένωσης και των οποίων ο προβλεπόμενος ή ευλόγως αναμενόμενος τρόπος χρήσης περιλαμβάνει άμεση ή έμμεση λογική ή φυσική σύνδεση δεδομένων με συσκευή ή δίκτυο. Το λογισμικό μπορεί να είναι αυτοτελές προϊόν, χωρίς φυσική συσκευή. Καταγράψτε τι ακριβώς προσφέρετε: εγκαταστάσιμη εφαρμογή, υλικολογισμικό, πρόσθετο, συνδεδεμένη συσκευή ή συνδυασμένο σύστημα. Σημειώστε την εμπορική επωνυμία, ποιος ελέγχει την ανάπτυξη και ποιος εκδίδει ενημερώσεις. Η κυπριακή έδρα δεν αποκλείει εφαρμογή όταν το προϊόν προσφέρεται στην ΕΕ. Η εκτίμηση γίνεται ανά προϊόν και τρόπο διάθεσης.

Η διάκριση προϊόντος και υπηρεσίας χρειάζεται τεχνική περιγραφή. Μια λύση απομακρυσμένης επεξεργασίας δεδομένων μπορεί να περιλαμβάνεται όταν αναπτύχθηκε από ή για τον κατασκευαστή και χωρίς αυτήν το προϊόν δεν εκτελεί κάποια λειτουργία του. Αν η βασική λειτουργία εφαρμογής απαιτεί το API του κατασκευαστή, εξετάστε και το σχετικό backend στην αξιολόγηση ασφάλειας. Αντίθετα, ανεξάρτητη υπηρεσία ιστού ή cloud εκτός της ευθύνης του δεν γίνεται αυτομάτως μέρος του προϊόντος. Ένα συνηθισμένο SaaS δεν υπάγεται στην CRA μόνο επειδή λειτουργεί μέσω διαδικτύου. Τεκμηριώστε την εξάρτηση, τον έλεγχο, τη σύμβαση και τον σκοπό της απομακρυσμένης λειτουργίας.

Καταγράψτε τις εξαιρέσεις και τις οριακές περιπτώσεις αντί να στηρίζεστε σε περιγραφή πωλήσεων. Ορισμένες κατηγορίες προϊόντων διέπονται από ειδικούς ενωσιακούς κανόνες και έχουν εξαιρέσεις ή διαφορετική αλληλεπίδραση με την CRA. Το ελεύθερο λογισμικό ανοικτού κώδικα εκτός εμπορικής δραστηριότητας διαφέρει από προϊόν που διατίθεται εμπορικά· ο φορέας διαχείρισης ανοικτού λογισμικού έχει επίσης διακριτές υποχρεώσεις. Φτιάξτε φάκελο για οικογένεια προϊόντος, έκδοση, κανάλι διάθεσης, επιχειρηματικό μοντέλο, χρήστες και εξαρτήσεις. Αν τα στοιχεία είναι αμφίβολα, ελέγξτε τους ορισμούς του κανονισμού και τις νεότερες οδηγίες της Επιτροπής πριν αποκλείσετε την εφαρμογή.

Σχετικός οδηγός: οδηγό DSA για αναφορές σε πλατφόρμες.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2024/2847, Πράξη Κυβερνοανθεκτικότητας, άρθρα 2, 3, 13, 14, 71 και παραρτήματα I–IV; Ευρωπαϊκή Επιτροπή: σύνοψη της Πράξης Κυβερνοανθεκτικότητας; Ευρωπαϊκή Επιτροπή: οδηγίες εφαρμογής CRA 2026

Αποδώστε ρόλο κατασκευαστή, εισαγωγέα ή διανομέα ανά προϊόν

Οι κύριες υποχρεώσεις σχεδιασμού, συμμόρφωσης και διαχείρισης ευπαθειών βαρύνουν τον κατασκευαστή: το πρόσωπο ή την επιχείρηση που αναπτύσσει ή αναθέτει την ανάπτυξη προϊόντος και το εμπορεύεται με το όνομα ή το σήμα της. Κυπριακή εταιρεία μπορεί να είναι κατασκευαστής παρότι οι προγραμματιστές εργάζονται στο εξωτερικό ή ο κώδικας έχει εξωτερικά στοιχεία. Μεταπωλητής προϊόντος εκτός ΕΕ μπορεί αντίθετα να είναι εισαγωγέας ή διανομέας, με άλλες υποχρεώσεις ελέγχου και συνεργασίας. Σε προϊόν ιδιωτικής ετικέτας ο ρόλος χρειάζεται νέα εξέταση. Στον φάκελο σημειώστε πραγματικό εμπορικό σήμα, αλυσίδα προμήθειας, συμβάσεις και έλεγχο εκδόσεων.

Για κάθε σειρά προϊόντων ορίστε ποιος εγκρίνει αρχιτεκτονική ασφάλειας, εξαρτήσεις και κυκλοφορίες, ποιος τηρεί τεχνική τεκμηρίωση, ποιος υπογράφει τη δήλωση συμμόρφωσης ΕΕ και ποιος δέχεται αναφορές ευπαθειών. Η ενσωμάτωση πακέτων ανοικτού κώδικα απαιτεί επιμέλεια και διαδικασία αντιμετώπισης κενών ασφαλείας. Μια ρήτρα που φορτώνει τα πάντα στον εξωτερικό προγραμματιστή δεν μεταφέρει αυτομάτως τις νόμιμες υποχρεώσεις από την εταιρεία που διαθέτει το τελικό προϊόν με το δικό της σήμα. Αντίστροφα, μια πλατφόρμα που απλώς διευκολύνει τις πωλήσεις άλλων δεν είναι αναγκαστικά κατασκευαστής. Οι υποχρεώσεις της ως πλατφόρμας εξετάζονται χωριστά.

Οι ρόλοι μεταβάλλονται με τον χρόνο. Ουσιώδης τροποποίηση μετά την έναρξη εφαρμογής των γενικών απαιτήσεων μπορεί να φέρει ένα προϋπάρχον προϊόν στο πλήρες πλαίσιο. Τηρήστε ιστορικό κυκλοφοριών, μεγάλων λειτουργικών αλλαγών, κρίσιμων ενσωματώσεων και του νομικού προσώπου που τις αποφάσισε. Επικαιροποιήστε τον χάρτη ρόλων σε εξαγορά, πώληση ή μεταφορά προϊόντος εντός ομίλου. Στο περιστατικό πρέπει να είναι ήδη γνωστό ποια οντότητα υποβάλλει την αναφορά και ποιος τεχνικός υπεύθυνος μπορεί να κρίνει έγκαιρα αν πληρούνται τα νομικά κριτήρια. Προσθέστε υπεύθυνο, αναπληρωτή και διαδικασία έγκρισης ανά προϊόν.

Σχετικός οδηγός: οδηγό DSA για ταυτοποίηση εμπόρων.

Αντιμετωπίστε την αναφορά του 2026 χωριστά από τη συμμόρφωση του 2027

Η CRA τέθηκε σε ισχύ τον Δεκέμβριο 2024. Το άρθρο 14 για αναφορές των κατασκευαστών εφαρμόζεται από τις 11 Σεπτεμβρίου 2026, ενώ οι κύριες απαιτήσεις προϊόντος ισχύουν κατά κανόνα από τις 11 Δεκεμβρίου 2027. Κατά την Επιτροπή, η υποχρέωση αναφοράς καλύπτει και προϊόντα με ψηφιακά στοιχεία που ήταν ήδη διαθέσιμα στην αγορά της ΕΕ πριν από το 2027. Μην περιμένετε την προετοιμασία σήμανσης CE για να ανοίξετε λογαριασμό και να ορίσετε ομάδα περιστατικών. Μην ισχυρίζεστε επίσης ότι παλιό προϊόν πέρασε την πλήρη διαδικασία συμμόρφωσης CRA απλώς επειδή η ομάδα του χειρίζεται ευπάθειες. Διατηρήστε χωριστές γραμμές εργασίας.

Ενεργά εκμεταλλευόμενη ευπάθεια δεν είναι κάθε θεωρητικό εύρημα σαρωτή, ούτε σοβαρό περιστατικό κάθε μικρό αίτημα υποστήριξης. Συνδέστε την αρχική αξιολόγηση με τους ορισμούς του κανονισμού και με τον πραγματικό αντίκτυπο στην ασφάλεια προϊόντος. Το άρθρο 14 απαιτεί αρχική προειδοποίηση μέσα σε 24 ώρες από τη γνώση και επόμενη κοινοποίηση μέσα σε 72 ώρες. Οι προθεσμίες τελικής αναφοράς διαφέρουν για ευπάθεια και περιστατικό. Γενική υπόσχεση απάντησης στους πελάτες ή μηνιαία συνεδρίαση ασφάλειας δεν σταματά το νόμιμο ρολόι. Ορίστε κριτήρια, εφημερία και τεκμηρίωση της στιγμής κατά την οποία αποκτήθηκε η σχετική γνώση.

Για τους φορείς διαχείρισης ανοικτού λογισμικού η αντίστοιχη υποχρέωση του άρθρου 24 παράγραφος 3 αρχίζει αργότερα, στις 11 Δεκεμβρίου 2027. Μην εφαρμόζετε μηχανικά την τρέχουσα προθεσμία κατασκευαστή σε όποιον αναρτά κώδικα σε δημόσιο αποθετήριο. Προηγείται ο έλεγχος του πραγματικού νομικού ρόλου και της εμπορικής διάθεσης. Κρατήστε χρονολογημένο πίνακα με προϊόν, ρόλο, παρουσία στην αγορά ΕΕ, ημερομηνία έναρξης κάθε υποχρέωσης και πρόσωπο επικοινωνίας για περιστατικά. Αναθεωρήστε τον μετά από νέα έκδοση, αλλαγή άδειας ή επιχειρηματικού μοντέλου. Ένα αρχικό σημείωμα ίδρυσης δεν επαρκεί για συνεχή αξιολόγηση.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2024/2847, Πράξη Κυβερνοανθεκτικότητας, άρθρα 2, 3, 13, 14, 71 και παραρτήματα I–IV; Ευρωπαϊκή Επιτροπή: υποχρεώσεις αναφοράς CRA; ENISA: ενιαία πλατφόρμα αναφοράς CRA; Ευρωπαϊκή Επιτροπή: σύνοψη της Πράξης Κυβερνοανθεκτικότητας

Εξασκήστε τη διαδικασία αναφοράς στην ENISA πριν από κρίση

Η ενιαία πλατφόρμα αναφοράς της ENISA λειτουργεί για την CRA από τις 11 Σεπτεμβρίου 2026. Ο κατασκευαστής υποβάλλει εκεί κοινοποίηση προς τον ορισμένο συντονιστή CSIRT, με πρόσβαση και της ENISA σύμφωνα με τον κανονισμό. Για κυπριακή επιχείρηση ελέγξτε τα τρέχοντα στοιχεία συντονιστή και τις οδηγίες της πλατφόρμας, αντί να χρησιμοποιήσετε παλιά διεύθυνση ηλεκτρονικού ταχυδρομείου για περιστατικά. Ορίστε εκπρόσωπο και αναπληρωτή με κατάλληλη εξουσιοδότηση. Δοκιμάστε σύνδεση, πολυπαραγοντική ταυτοποίηση και πρόσβαση εκτός ωραρίου. Περιστατικό Σαββατοκύριακου δεν πρέπει να μπλοκάρει επειδή απουσιάζει ο μοναδικός κάτοχος λογαριασμού.

Η αρχική κοινοποίηση μπορεί να βασίζεται σε όσα στοιχεία είναι τότε διαθέσιμα· δεν χρειάζεται να αναμένεται η πλήρης ανάλυση αιτίας. Καταγράψτε χρόνο γνώσης, προϊόν και εκδόσεις, ενδείξεις ενεργής εκμετάλλευσης ή σοβαρότητας, γνωστό αντίκτυπο, άμεσα μέτρα και εκκρεμότητες. Η Επιτροπή περιγράφει αρχική προειδοποίηση εντός 24 ωρών και πληρέστερη κοινοποίηση εντός 72 ωρών. Για ενεργά εκμεταλλευόμενη ευπάθεια η τελική αναφορά υποβάλλεται το αργότερο 14 ημέρες αφότου καταστεί διαθέσιμο διορθωτικό μέτρο· για σοβαρό περιστατικό εντός ενός μήνα από την κοινοποίηση των 72 ωρών. Κρατήστε χρονολόγιο, αντίγραφα υποβολών, επιβεβαιώσεις παραλαβής και εσωτερικές εγκρίσεις.

Οι παράλληλες υποχρεώσεις κρίνονται χωριστά. Η CRA μπορεί να απαιτεί ενημέρωση χρηστών που επηρεάζονται από ενεργά εκμεταλλευόμενη ευπάθεια ή σοβαρό περιστατικό. Αν εμπλέκονται προσωπικά δεδομένα, ελέγξτε ξεχωριστά τις υποχρεώσεις γνωστοποίησης του ΓΚΠΔ· ρυθμιζόμενοι πελάτες ή συμβάσεις ενδέχεται να προσθέτουν άλλες προθεσμίες. Χρησιμοποιήστε κοινό αρχείο γεγονότων αλλά διακριτούς παραλήπτες, νομικά ρολόγια και υπευθύνους κειμένου. Υποβολή στην ENISA δεν υποκαθιστά αυτομάτως γνωστοποίηση παραβίασης δεδομένων. Ελέγχετε τις τρέχουσες οδηγίες και συχνές ερωτήσεις της ENISA. Σε άσκηση συμπεριλάβετε ελαττωματικό στοιχείο cloud, Σαββατοκύριακο και αποτυχία σύνδεσης αναπληρωτή.

Σχετικός οδηγός: οδηγό ΓΚΠΔ για παραβιάσεις δεδομένων.

Νομική βάση και οδηγίες: Κανονισμός (ΕΕ) 2024/2847, Πράξη Κυβερνοανθεκτικότητας, άρθρα 2, 3, 13, 14, 71 και παραρτήματα I–IV; Ευρωπαϊκή Επιτροπή: υποχρεώσεις αναφοράς CRA; ENISA: ενιαία πλατφόρμα αναφοράς CRA; ENISA: οδηγίες ορισμού εκπροσώπου; Κανονισμός (ΕΕ) 2016/679, ΓΚΠΔ, άρθρα 33 και 34

Μετατρέψτε το παράρτημα I σε έργο ασφάλειας προϊόντος

Το παράρτημα I συνδυάζει ιδιότητες ασφάλειας του προϊόντος με χειρισμό ευπαθειών κατά την περίοδο υποστήριξης. Το άρθρο 13 απαιτεί αξιολόγηση κινδύνων κυβερνοασφάλειας που κατευθύνει σχεδιασμό, ανάπτυξη, παραγωγή και συντήρηση. Ξεκινήστε από προβλεπόμενη χρήση, ευλόγως αναμενόμενη κακή χρήση, επιφάνειες επίθεσης και συνέπειες παραβίασης. Μετατρέψτε την αξιολόγηση σε κριτήρια κυκλοφορίας: κατάλληλες ασφαλείς προεπιλογές, έλεγχο πρόσβασης, περιορισμό επιφάνειας επίθεσης, προστασία εμπιστευτικότητας και ακεραιότητας, διαθεσιμότητα και ενημερώσεις ασφάλειας. Ένα γενικό πιστοποιητικό δοκιμής διείσδυσης δεν αποδεικνύει πώς κάθε έκδοση και εξάρτηση πληροί τις εφαρμοστέες απαιτήσεις. Κρατήστε αποφάσεις και δοκιμές ανά πραγματική έκδοση.

Χτίστε αξιόπιστη καταγραφή εξαρτήσεων και ευπαθειών. Η ομάδα πρέπει να γνωρίζει ποια εξωτερικά ή ανοικτά στοιχεία υπάρχουν σε κάθε διανεμόμενη έκδοση, πώς αξιολογείται διόρθωση και ποιος εγκρίνει ενημέρωση ασφάλειας. Ορίστε σημείο λήψης αναφορών, ευθύνη αρχικής αξιολόγησης, συντονισμένη γνωστοποίηση και αποδεικτικά επίλυσης. Η CRA απαιτεί επιμέλεια στην ενσωμάτωση στοιχείων και αποτελεσματικό χειρισμό ευπαθειών· η τεχνική τεκμηρίωση πρέπει να επιτρέπει έλεγχο. Μηχανικώς αναγνώσιμος κατάλογος στοιχείων βοηθά πρακτικά, αλλά μια μορφή αρχείου μόνη της δεν αποδεικνύει όλες τις απαιτήσεις του παραρτήματος. Ελέγξτε επίσης κλειδιά υπογραφής και αλυσίδα παράδοσης, όχι μόνο τον πηγαίο κώδικα.

Εφαρμόστε μέτρα ανά κίνδυνο και όχι μία δήλωση για κάθε λειτουργία. Ένα τοπικό βοηθητικό πρόγραμμα και ένα εργαλείο απομακρυσμένης διαχείρισης ενδέχεται να χρειάζονται διαφορετική αυθεντικοποίηση, καταγραφή, απομόνωση και δοκιμές. Η αξιολόγηση πρέπει να εξηγεί τις διαφορές και να ενημερώνεται όταν αλλάζει απειλή ή αρχιτεκτονική. Συμπεριλάβετε απομακρυσμένη υπηρεσία που είναι απαραίτητη για λειτουργία προϊόντος. Δοκιμάστε διανομή και ανάκληση ενημερώσεων· μια διαδικασία επιδιόρθωσης μόνο στα χαρτιά μπορεί να προκαλέσει διακοπή. Διατηρήστε αποδεικτικά κυκλοφορίας ώστε ο φάκελος συμμόρφωσης να αντιστοιχεί στον κώδικα που πράγματι παραδόθηκε. Η προστασία προσωπικών δεδομένων, όταν υπάρχει, χρειάζεται δικό της έλεγχο.

Σχετικός οδηγός: οδηγό Data Act για συνδεδεμένα προϊόντα.

Ορίστε τεκμηριωμένη περίοδο υποστήριξης και σαφείς οδηγίες

Σύμφωνα με το άρθρο 13, ο κατασκευαστής καθορίζει περίοδο υποστήριξης με βάση τον αναμενόμενο χρόνο χρήσης του προϊόντος, τις εύλογες προσδοκίες χρηστών και άλλους παράγοντες του κανονισμού. Κατά κανόνα είναι τουλάχιστον πέντε έτη· μπορεί να αντιστοιχεί σε μικρότερη αναμενόμενη διάρκεια ζωής όπου πράγματι προβλέπεται χρήση κάτω των πέντε ετών. Μην κάνετε την εξαίρεση αυτόματο κανόνα για ετήσιες συνδρομές χωρίς εξέταση της πραγματικής διάρκειας χρήσης προϊόντος ή έκδοσης. Μια δικτυακή συσκευή ή εφαρμογή υπολογιστή μακράς ζωής ίσως απαιτεί ακόμη περισσότερο χρόνο. Καταγράψτε δεδομένα χρήσης, συγκρίσιμα προϊόντα και την απόφαση για κάθε οικογένεια.

Προγραμματίστε πόρους για όλη την υπόσχεση: παρακολούθηση ευπαθειών, ενημερώσεις εξαρτήσεων, κλειδιά υπογραφής, υποδομή διανομής, επικοινωνία χρηστών και συνέχεια ομάδας. Προϊόν που πωλείται φθηνά σήμερα μπορεί να δημιουργήσει μεγάλη μελλοντική δαπάνη συντήρησης. Η Επιτροπή εξηγεί ότι η ημερομηνία λήξης υποστήριξης, με μήνα και έτος, πρέπει να παρουσιάζεται καθαρά και κατανοητά κατά την αγορά. Μην την κρύβετε σε σελίδα βοήθειας που συγκρούεται με την εμπορική υπόσχεση. Πελάτης που χρησιμοποιεί προϊόν σε ρυθμιζόμενη υπηρεσία πρέπει να μπορεί να κρίνει έγκαιρα τον δικό του κίνδυνο και τις εναλλακτικές του.

Οι οδηγίες χρήστη του παραρτήματος II οφείλουν να καθιστούν δυνατή την ασφαλή εγκατάσταση, λειτουργία και χρήση. Περιγράψτε τρόπο ενημέρωσης, διεύθυνση αναφοράς ευπαθειών, υποστηριζόμενες εκδόσεις και σημαντικές εξαρτήσεις. Ζητήστε από πραγματικό χρήστη να εντοπίσει μια διόρθωση και να εξηγήσει πότε λήγει η υποστήριξη. Σε κρίσιμη ενημέρωση προσδιορίστε τις επηρεαζόμενες εκδόσεις χωρίς περιττή δημοσιοποίηση στοιχείων εκμετάλλευσης. Τεκμηρίωση και συμπεριφορά διανομής πρέπει να συμφωνούν. Ισχυρισμός περί αυτόματων ενημερώσεων είναι προβληματικός αν εγκατεστημένοι πελάτες μένουν σε ευάλωτη έκδοση χωρίς προειδοποίηση. Δημόσιο χρονοδιάγραμμα εκδόσεων έχει αξία μόνο αν τηρείται και επικαιροποιείται.

Προετοιμάστε την ορθή διαδικασία συμμόρφωσης για το 2027

Για προϊόν στο οποίο ισχύουν οι βασικές απαιτήσεις, ο κατασκευαστής αξιολογεί τη συμμόρφωση, καταρτίζει τεχνικό φάκελο, συντάσσει δήλωση συμμόρφωσης ΕΕ και τοποθετεί σήμανση CE πριν από τη διάθεση στην αγορά. Ο φάκελος πρέπει να συνδέει αξιολόγηση κινδύνων, απαιτήσεις ασφάλειας, επιλογές σχεδιασμού, δοκιμές, χειρισμό ευπαθειών και οδηγίες με συγκεκριμένη έκδοση. Μια διαφημιστική φράση «σύμφωνο με CRA» δεν ισοδυναμεί με αξιολόγηση. Αναθέστε στην ομάδα προϊόντος τη συλλογή αποδείξεων κατά την ανάπτυξη. Η ανασύσταση μηνών αποφάσεων λίγο πριν από τον Δεκέμβριο 2027 είναι δαπανηρή και αβέβαιη. Για κάθε έκδοση κρατήστε απόφαση κυκλοφορίας, κατάσταση εγγράφων και υπογράφοντα.

Η εφαρμοστέα διαδικασία εξαρτάται από κατηγορία προϊόντος και διαθέσιμα εναρμονισμένα πρότυπα ή συστήματα πιστοποίησης. Σύμφωνα με την Επιτροπή, τα συνήθη προϊόντα μπορούν γενικά να χρησιμοποιήσουν εσωτερικό έλεγχο, αλλά προϊόντα με βασικές λειτουργίες σημαντικών ή κρίσιμων κατηγοριών των παραρτημάτων III και IV ίσως χρειάζονται διαφορετική διαδικασία. Μην θεωρείτε οποιοδήποτε πιστοποιητικό κυβερνοασφάλειας, έκθεση SOC ή διαβεβαίωση προμηθευτή ως τη νόμιμη αξιολόγηση. Ελέγξτε ισχύουσες κατ’ εξουσιοδότηση πράξεις ταξινόμησης και πρότυπα που έχουν πράγματι αναφερθεί στο ενωσιακό πλαίσιο. Αιτιολογήστε την κατηγορία συγκεκριμένου προϊόντος και ποιος υπογράφει τη δήλωση.

Χειριστείτε με ακρίβεια παλαιότερα προϊόντα. Η Επιτροπή εξηγεί ότι προϊόντα που είχαν τεθεί σε κυκλοφορία πριν από τις 11 Δεκεμβρίου 2027 μπορούν να υπαχθούν στις βασικές απαιτήσεις αν υποστούν ουσιώδη τροποποίηση από τότε, ενώ οι υποχρεώσεις αναφοράς ισχύουν ήδη για διαθέσιμα προϊόντα. Νέα κύρια έκδοση ίσως απαιτεί εκ νέου έλεγχο πεδίου και συμμόρφωσης· συνηθισμένη διόρθωση ασφάλειας δεν είναι αυτομάτως ουσιώδης αλλαγή. Τηρήστε σημείωμα έκδοσης για αντίκτυπο ασφάλειας, ταυτότητα προϊόντος και αλλαγές λειτουργιών. Αποφασίστε πριν από την εμπορική κυκλοφορία, ώστε ούτε να επαναταξινομείτε άσκοπα ούτε να διανέμετε ουσιωδώς αλλαγμένο προϊόν με παλιό φάκελο.

Σχετικός οδηγός: οδηγό προσβασιμότητας ηλεκτρονικού εμπορίου.

Κάντε τρεις πρακτικές δοκιμές με αποδεικτικά στοιχεία

Πρώτα συγκρίνετε δύο πραγματικές προσφορές: εγκαταστάσιμη εφαρμογή που καλεί ιδιόκτητο API και χωριστή συνδρομή αποκλειστικά στο cloud. Γράψτε γιατί καθεμία πληροί ή δεν πληροί τους ορισμούς προϊόντος και απομακρυσμένης επεξεργασίας. Ορίστε κατασκευαστή και τυχόν εισαγωγέα ή διανομέα. Έπειτα προσομοιώστε ευπάθεια σε εξάρτηση έκδοσης που πουλήθηκε πέρσι. Μπορεί η ομάδα να βρει επηρεαζόμενα προϊόντα, να κρίνει ενεργή εκμετάλλευση, να ξεκινήσει το ρολόι του άρθρου 14 και να συνδεθεί στην πλατφόρμα ENISA; Η παλιά ημερομηνία πώλησης από μόνη της δεν καταργεί σημερινή υποχρέωση αναφοράς.

Δοκιμάστε την υπόσχεση συντήρησης με προϊόν αναμενόμενης ζωής τουλάχιστον πέντε ετών. Υπολογίστε ενημερώσεις, προσωπικό, κλειδιά και υποδομή για ολόκληρο το διάστημα. Μπορεί ο αγοραστής να δει πότε λήγει η υποστήριξη και να εγκαταστήσει διόρθωση; Μπορεί η ομάδα να συνδέσει εξάρτηση της παραδομένης έκδοσης με συγκεκριμένο διορθωτικό μέτρο; Αν η απάντηση εξαρτάται από τη μνήμη ενός προγραμματιστή ή προμηθευτή χωρίς υποχρέωση απόκρισης, βελτιώστε τη διαδικασία πριν επεκτείνετε τις πωλήσεις. Καταγράψτε ημερομηνία, υπεύθυνο, εύρημα και επόμενο βήμα. Μόνη μια πολιτική σε PDF δεν αποδεικνύει πραγματική δυνατότητα επιδιόρθωσης.

Τέλος, δοκιμάστε τον φάκελο συμμόρφωσης 2027 σε αληθινή υποψήφια έκδοση: απόφαση πεδίου, αξιολόγηση κινδύνου, αποδείξεις παραρτήματος I, έλεγχο στοιχείων, οδηγίες, περίοδο υποστήριξης, κατάλληλη διαδικασία αξιολόγησης και υπεύθυνο δήλωσης. Κλείστε τα κενά πριν από την κυκλοφορία και μην προσθέτετε ανυπόστατες υποσχέσεις στην ιστοσελίδα. Επανελέγξτε τις ισχύουσες πηγές Επιτροπής και ENISA σε κάθε ορόσημο· σταδιακές ημερομηνίες, κατ’ εξουσιοδότηση πράξεις και οδηγίες πλατφόρμας μπορούν να αλλάξουν μια στατική λίστα. Ένας αξιόπιστος φάκελος δείχνει τόσο το σκεπτικό της εταιρείας όσο και την πραγματική συμπεριφορά του προϊόντος.

Πρωτογενείς πηγές και πεδίο εφαρμογής

Έλεγχος πηγών: 7 Οκτωβρίου 2026. Ο οδηγός αφορά την Κυπριακή Δημοκρατία. Τα παραδείγματα είναι υποθετικά και δεν αποτελούν υποθέσεις πελατών. Ελέγξτε τις ισχύουσες επίσημες απαιτήσεις πριν από κάθε υποβολή.

Πρακτικοί οδηγοί για το θέμα

NIS2 στην Κύπρο: πότε μια επιχείρηση είναι βασική ή σημαντική οντότητα
Πρακτικός έλεγχος πεδίου εφαρμογής NIS2 στην Κύπρο: τομέας, μέγεθος, εξαιρέσεις, κατάταξη, ενημέρωση Αρχής Ψηφιακής Ασφάλειας και αναφορά 6 ωρών.

Συχνές ερωτήσεις

Ισχύει η Πράξη Κυβερνοανθεκτικότητας για εταιρεία λογισμικού στην Κύπρο;

Μπορεί να ισχύει όταν η εταιρεία διαθέτει καλυπτόμενο προϊόν με ψηφιακά στοιχεία στην αγορά της ΕΕ. Εξετάστε προϊόν, σύνδεση, εμπορική διάθεση και νομικό ρόλο· η κυπριακή έδρα δεν αρκεί από μόνη της.

Είναι κάθε συνδρομή SaaS προϊόν CRA;

Όχι. Η απομακρυσμένη επεξεργασία αφορά λύση που αναπτύχθηκε από ή για τον κατασκευαστή και απαιτείται για λειτουργία προϊόντος. Μια αυτοτελής υπηρεσία cloud αξιολογείται ξεχωριστά.

Πότε άρχισαν οι αναφορές ευπαθειών και περιστατικών;

Το άρθρο 14 ισχύει για κατασκευαστές από τις 11 Σεπτεμβρίου 2026. Οι βασικές απαιτήσεις ασφάλειας και συμμόρφωσης προϊόντος ισχύουν κατά κανόνα από τις 11 Δεκεμβρίου 2027.

Πού αναφέρεται ενεργά εκμεταλλευόμενη ευπάθεια;

Στην ενιαία πλατφόρμα αναφοράς CRA της ENISA, με διαβίβαση στον αρμόδιο συντονιστή CSIRT σύμφωνα με τον κανονισμό. Ορίστε εκπρόσωπο και αναπληρωτή πριν από περιστατικό.

Αναφέρεται κάθε ευπάθεια εντός 24 ωρών;

Όχι. Το άρθρο 14 αφορά ενεργά εκμεταλλευόμενη ευπάθεια και, χωριστά, σοβαρό περιστατικό που επηρεάζει την ασφάλεια προϊόντος. Η αρχική προειδοποίηση οφείλεται εντός 24 ωρών από τη γνώση.

Μπορεί η περίοδος υποστήριξης να είναι μόνο ένα έτος;

Κατά κανόνα είναι τουλάχιστον πέντε έτη, αλλά μπορεί να ακολουθεί τεκμηριωμένη μικρότερη αναμενόμενη διάρκεια χρήσης. Αιτιολογήστε την επιλογή και ενημερώστε καθαρά τον αγοραστή.

Εξαιρούνται πλήρως προϊόντα που πωλήθηκαν πριν από τον Δεκέμβριο 2027;

Όχι. Η αναφορά καλύπτει ήδη διαθέσιμα προϊόντα. Ο κύριος μηχανισμός συμμόρφωσης μπορεί να εφαρμοστεί σε παλαιότερο προϊόν που τροποποιείται ουσιωδώς από τις 11 Δεκεμβρίου 2027.

Συντάχθηκε με υποστήριξη τεχνητής νοημοσύνης βάσει των συνδεδεμένων πρωτογενών πηγών. Δεν δηλώνεται ατομικός έλεγχος από επαγγελματία. Γενικές πληροφορίες, όχι νομική ή φορολογική συμβουλή. Συντακτική πολιτική

Χρειάζεστε εξατομικευμένη καθοδήγηση;

Κλείστε δωρεάν συνάντηση 30 λεπτών. Η Zeno συντονίζει ανεξάρτητους δικηγόρους με άδεια στην Κύπρο και λογιστές με άδεια ΣΕΛΚ και αποστέλλει γραπτή περιγραφή εργασιών εντός 24 ωρών.

Κλείστε δωρεάν συνάντηση