Szerző: DataTip · Közzétéve 2026. november 14.

A CRA jelentési kötelezettségeket ír elő a gyártók számára, de ezek a kötelezettségek nem mondják meg pontosan, mikor fog egy szoftverbeszállító értesíteni a szervezetét, vagy mit fog tartalmazni az üzenete. A CRA-beszállítói értesítések külön beszállítói feltételek kérdése: a vevőknek fel kell mérniük, hogy ki fogja felvenni a kapcsolatot, milyen gyorsan, és milyen információk segítik majd a csapataik reagálását.

A CRA előírja a gyártók számára, hogy jelentsék a minősülő, aktívan kihasznált sebezhetőségeket és a súlyos incidenseket, beleértve a 24 órás kezdeti riasztást és az érintett felhasználók közvetlen értesítését. Ez a kötelezettség nem hoz létre általános beszállító–ügyfél határidőt. A vevőknek a beszállítói feltételekben kell vizsgálniuk az egyértelmű kapcsolattartási útvonalat, a várható időzítést és a hasznos információkat.

A CRA jelentési követelményei 2026. szeptember 11-én léptek hatályba. A szélesebb termékmegfelelési rendszer 2027. december 11-től alkalmazandó. A CRA-t a digitális elemeket tartalmazó termékekre vonatkozó uniós kiberbiztonsági jogszabályként írják le. Ugyanez a jelentés kiemeli a gyártók 24 órás jelentési határidejét, de ez a szabályozási óra nem jelent általános határidőt minden beszállító–ügyfél értesítésre.

Vonatkozik a CRA az Ön által vásárolt termékre vagy szolgáltatásra?

A CRA a digitális elemeket tartalmazó termékekre terjed ki, beleértve a szoftver- és hardvertermékeket, azok távoli adatfeldolgozási megoldásait, valamint a külön forgalmazott szoftver- vagy hardverkomponenseket. Ilyen például az operációs rendszer, a mobilalkalmazások, a hálózati berendezések, a firmware, a csatlakoztatott fogyasztói eszközök és az ipari vezérlők.

Egyes termékkategóriák ki vannak zárva. Ide tartoznak az orvostechnikai eszközök és az in vitro diagnosztikai eszközök, a típusjóváhagyott gépjárművek, a tanúsított polgári légi közlekedési berendezések és a tengerészeti felszerelések. A kizárások kiterjednek a kizárólag nemzetbiztonsági vagy védelmi célokra kifejlesztett vagy módosított termékekre, a minősített információk feldolgozására tervezett termékekre, valamint a lecserélt alkatrészekkel azonos specifikációjú pótalkatrészekre is.

A önálló szoftver-szolgáltatás (SaaS) általában a CRA hatályán kívül esik. A megfogalmazott kivétel akkor alkalmazandó, ha a távoli adatfeldolgozási megoldást a gyártó tervezi és fejleszti, és a termék e megoldás nélkül nem tudja ellátni funkcióit. Tehát ne feltételezze, hogy minden SaaS-szolgáltatás vagy felhőszolgáltató a hatálya alá tartozik.

A vevő számára ez az első határvonal, amelyet meg kell állapítani: azonosítsa a szolgáltatáshoz kapcsolódó terméket vagy komponenst, és azt, hogy a CRA alkalmazható-e rá. A jogszabály nem általános incidensbejelentési szabály minden szoftverkapcsolatra.

Kit terhel a CRA szerinti bejelentési kötelezettség?

A bejelentési kötelezettség a gyártókat terheli. Gyártónak minősül az a fél, amely a terméket kifejleszti vagy előállítja, tervezteti vagy előállíttatja, és saját neve vagy védjegye alatt forgalmazza. Az a fél is gyártóvá válik a CRA szempontjából, amely a már forgalomban lévő terméket jelentős mértékben módosítja.

Az importőrök és a forgalmazók nem maguk teszik meg a gyártói bejelentéseket. Amikor tudomást szereznek egy sebezhetőségről, haladéktalanul tájékoztatniuk kell a gyártót. Ha a termék jelentős kiberbiztonsági kockázatot jelent, azonnal tájékoztatniuk kell azon tagállamok piacfelügyeleti hatóságait, ahol a terméket elérhetővé tették.

A nyílt forráskódú szoftverek gondozóira külön, enyhébb szabályozás vonatkozik. A rendelkezésre bocsátott jelentés az Európai Bizottság álláspontját úgy írja le, hogy bejelentési kötelezettségük 2027. december 11-én kezdődik.

Ezek a különbségek akkor fontosak, amikor a vevő importőrrel, forgalmazóval vagy saját márkája alatt terméket értékesítő vállalkozással tárgyal. A kereskedelmi beszállító és a jog szerinti gyártó nem feltétlenül ugyanaz a fél. A vevőknek meg kell állapítaniuk, ki fog velük kommunikálni; a gyártó jogi kötelezettsége és a beszállító ügyfélértesítési kötelezettségvállalása továbbra is különbözik egymástól.

Mely sebezhetőségek és incidensek váltanak ki bejelentési kötelezettséget?

Az itt leírt CRA-bejelentési kiváltó okok az aktívan kihasznált sebezhetőségek és a termékbiztonságot érintő súlyos incidensek. Ezek nem azt jelentik, hogy minden sebezhetőség, tesztelési eredmény vagy biztonsági esemény automatikusan bejelentést vált ki.

Egy aktívan kihasznált sebezhetőség megköveteli a megbízható bizonyítékot arra, hogy egy rosszindulatú szereplő a rendszer tulajdonosának engedélye nélkül kihasználta azt. A jóhiszemű biztonsági tesztelés és a rosszindulatú szándék nélküli, összehangolt közzététel nem váltja ki ezt a bejelentési kötelezettséget.

A súlyos incidens olyan esemény, amely negatívan befolyásolja vagy befolyásolhatja a termékadatok vagy -funkciók rendelkezésre állását, hitelességét, integritását vagy bizalmasságát. A meghatározás bizonyos rosszindulatú kódot érintő incidenseket is magában foglal. A rendelkezésre bocsátott jelentés a súlyos incidensek tárgyalása során csonka, ezért nem támasztja alá az incidensforgatókönyvek teljesebb listáját.

Ezek a kiváltó okok segítenek a vásárlóknak megérteni, mire vonatkozik a gyártó bejelentési kötelezettsége. Önmagukban azonban nem határozzák meg mindazokat az eseményeket, amelyeket a beszállítónak a feltételei szerint közvetlenül a vevőnek kell bejelentenie.

Mit jelentenek a CRA bejelentési határidői a vásárlók számára?

Egy minősített, aktívan kihasznált sebezhetőség vagy súlyos incidens esetén a rendelkezésre bocsátott jelentés 24 órás kezdeti riasztást és az érintett felhasználók közvetlen értesítését írja le. A bejelentési követelmények 2026. szeptember 11-én kezdődtek; a szélesebb termékmegfelelőségi rendszer várhatóan 2027. december 11-től alkalmazandó.

Ezek a dátumok és kötelezettségek a CRA szabályozási keretét írják le. Nem állapítanak meg egyetemes ügyfélértesítési határidőt, és nem határozzák meg minden vásárló kapcsolattartóját, az értesítés tartalmát vagy a szerződéses jogokat. Az érintett felhasználók közvetlen értesítése nem ad választ arra, hogy egy adott beszállító időben felveszi-e a kapcsolatot a csapatával, vagy olyan formában nyújt-e információt, amelyet szervezete használni tud.

Ez a hiányosság a vásárló döntési pontja. A gyártó illetékes hatóságoknak tett bejelentése és a beszállító vevőjének szóló értesítése összefügg, de nem felcserélhető kötelezettségek.

Mit érdemes ellenőrizni a CRA szállítói értesítéseiben?

Kiválasztáskor vagy megújításkor vizsgálja meg, hogy a beszállító feltételei és működési rendje választ ad-e három gyakorlati kérdésre: ki fogja felvenni a kapcsolatot a szervezetével, milyen gyorsan, és milyen információ segíti majd a válaszát? A CRA jelentési kötelezettségei kontextust adnak; nem írnak elő általános szállító–ügyfél határidőt. Ellenőrizze, hogy a beszállító kifejti-e:

• Ki küldi az értesítést, és hova kerül. Azonosítsa a kapcsolattartási útvonalat, és hogy az értesítés hogyan juthat el az értékelésért felelős személyekhez.
• Mikor várható, hogy a beszállító értesíti Önt. Keressen olyan ügyfél felé irányuló elvárást, amely különbözik a gyártó szabályozási jelentési kötelezettségétől. A rendelkezésre bocsátott anyag nem állapít meg egyetemes határidőt a szállító–vevő értesítésekre.
• Mit fog közölni az értesítés. Fontolja meg, hogy leírja-e az eseményt és az érintett terméket vagy szolgáltatást, valamint információt ad-e az elérhető enyhítő vagy korrekciós intézkedésekről, ahol ismertek.
• Hogyan osztják meg a nyomon követési információkat. Egy kezdeti értesítés nem biztos, hogy minden kérdésre válaszol. Vizsgálja meg, hogy a beszállító kifejti-e, hogyan nyújt további információkat, ahogy a megértése fejlődik. Ezeket a kérdéseket a szállítói feltételekben érdemes vizsgálni, nem pedig azt állítani, hogy a CRA egy adott szerződéses kikötést ír elő. A szerződés szövege önmagában nem biztosítja a szabályozási megfelelést. Gyakorlati értéke, hogy tisztázza a kommunikációs függőséget: ha a csapata számára szükséges a szállítói információ egy esemény értékeléséhez és a válaszadáshoz, a kapcsolattartási útvonalat, a várható időzítést és a hasznos információkat nem szabad hallgatólagosan hagyni.

GYIK: Előírja a CRA, hogy minden szoftverszállítónak 24 órán belül értesítenie kell az ügyfeleket?

A rendelkezésre bocsátott jelentés nem állapít meg általános szállító–ügyfél határidőt. A 24 órás kezdeti riasztás a gyártó CRA jelentési kötelezettségének része. A vevőknek külön kell értékelniük, hogy a szállítói feltételek milyen ügyfélértesítési időzítést biztosítanak.

GYIK: Vonatkozik a CRA a önálló SaaS-ra?

Az önálló SaaS általában a CRA hatályán kívül esik, a gyártó által tervezett és fejlesztett, a termék funkcióihoz szükséges távoli adatfeldolgozási megoldásra vonatkozó kivétel fenntartásával. A vásárlóknak nem szabad feltételezniük, hogy minden SaaS-szolgáltatás lefedett.

GYIK: Az importőrök és forgalmazók felelősek a CRA-jelentések benyújtásáért?

Nem. A jelentési kötelezettség a gyártókat terheli. Az importőröknek és forgalmazóknak külön kötelezettségük van arra, hogy tájékoztassák a gyártókat a sebezhetőségekről, és értesítsék az érintett tagállami piacfelügyeleti hatóságokat, ha egy termék jelentős kiberbiztonsági kockázatot jelent.

Főbb tanulságok

• A CRA jelentési kötelezettségei 2026. szeptember 11-én kezdődtek; a szélesebb termékmegfelelőségi rendszer 2027. december 11-re várható.
• A gyártók jelentik a minősített eseményeket. Az importőröknek és forgalmazóknak külön kötelezettségük van arra, hogy meghatározott esetekben értesítsék a gyártókat vagy az illetékes hatóságokat.
• Az önálló SaaS általában a CRA hatályán kívül esik, a megadott távoli adatfeldolgozási megoldás kivételének fenntartásával.
• Értékelje a beszállítói feltételeket abból a szempontból, hogy ki fogja felvenni a kapcsolatot a szervezetével, milyen gyorsan, és milyen információkkal támogatja majd a válaszát.

Gyakorlati tippek

• Kiválasztás vagy megújítás során azonosítsa a beszállító kapcsolattartási útvonalát, és azt, hogy az értesítések hogyan jutnak el az értékelésükért felelős személyekhez.
• Különböztesse meg a gyártó CRA-jelentési kötelezettségét a beszállító ügyfélértesítési kötelezettségvállalásától.
• Ellenőrizze, milyen információkat vár a beszállító biztosítani, és hogyan fogja megosztani a frissítéseket, ahogy a megértése fejlődik.