Закон ЕС о киберустойчивости: обязанность сообщать действует с 11 сентября 2026 года. Что делать производителям зарядных станций и инверторов
С 11 сентября 2026 года производители обязаны в течение 24 часов сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах через единую платформу ENISA. Обязанность распространяется и на изделия, проданные до полного вступления закона в силу.
- 01Статья 14 Регламента (ЕС) 2024/2847 применяется с 11 сентября 2026 года, остальной CRA — с 11 декабря 2027 года.
- 02Активно эксплуатируемые уязвимости и серьёзные инциденты: раннее предупреждение за 24 часа, уведомление за 72 часа.
- 03Итоговый отчёт: через 14 дней после появления исправления (уязвимости) или через месяц после уведомления (инциденты).
- 04Сообщения подаются один раз через единую платформу ENISA, работающую с 11 сентября 2026 года.
- 05Изделия, выпущенные на рынок до 11 декабря 2027 года, тоже подпадают под обязанность сообщать (ст. 69(3)).
Сроки
| Дата | Что применяется |
|---|---|
| 10 декабря 2024 | Вступление в силу Регламента (ЕС) 2024/2847 |
| 11 июня 2026 | Глава IV: нотификация органов по оценке соответствия |
| 11 сентября 2026 | Обязанность сообщать по ст. 14; запуск единой платформы ENISA |
| 11 декабря 2027 | Все остальные обязанности, включая основные требования кибербезопасности и оценку соответствия |
Что сообщать и в какие сроки
| Событие | Раннее предупреждение | Уведомление | Итоговый отчёт |
|---|---|---|---|
| Активно эксплуатируемая уязвимость изделия | 24 часа | 72 часа | Не позднее 14 дней после появления корректирующей или смягчающей меры |
| Серьёзный инцидент, влияющий на безопасность изделия | 24 часа | 72 часа | В течение месяца после уведомления |
Отсчёт начинается с момента, когда производитель узнал о событии. Сообщение подаётся один раз через единую платформу и поступает в CSIRT-координатор государства основного места деятельности производителя и, кроме исключительных случаев, одновременно в ENISA.
Инцидент считается серьёзным, если он влияет или может повлиять на способность изделия защищать доступность, подлинность, целостность или конфиденциальность данных или функций, либо ведёт или может вести к выполнению вредоносного кода в изделии или системах пользователя.
Производитель также обязан информировать затронутых пользователей, а при необходимости всех пользователей, об уязвимости или инциденте и доступных мерах, при необходимости в структурированном машиночитаемом формате.
Уже проданные изделия тоже учитываются
Изделия, выпущенные на рынок до 11 декабря 2027 года, обычно подпадают под CRA только после существенной модификации (ст. 69(2)). Обязанность сообщать — исключение: ст. 14 применяется ко всем таким изделиям без условия модификации (ст. 69(3)). Ваш парк оборудования в ЕС уже в сфере действия.
Охвачены ли зарядные станции, инверторы и накопители?
CRA распространяется на изделия с цифровыми элементами, подключаемые к устройству или сети. Зарядная станция с OCPP, инвертор с мониторингом по Wi-Fi или 4G, накопитель с облачной платформой, блок управления энергией — всё это подходит под описание.
Ни одно из этих изделий не названо в приложении III (важные изделия) или IV (критические). В приложении III, например, маршрутизаторы и модемы, операционные системы, изделия «умного дома» с функциями безопасности; в приложении IV — шлюзы интеллектуальных счётчиков. Неуказанные изделия относятся к категории по умолчанию: с декабря 2027 года производитель может оценивать соответствие самостоятельно.
До этого подключаемое радиооборудование в ЕС уже должно соответствовать требованиям кибербезопасности Директивы о радиооборудовании, оцениваемым по EN 18031.
Что делать сейчас
- Организуйте цепочку на 24 часа. Кто принимает сообщения об уязвимостях, кто решает, эксплуатируется ли уязвимость, кто подаёт предупреждение.
- Подготовьте доступ к единой платформе и определите CSIRT, который будет получать уведомления.
- Составьте перечень проданного оборудования. Все подключаемые модели, проданные в ЕС, версии прошивок и способ доставки обновлений. Обязанность распространяется и на старые изделия.
- Подготовьте уведомления пользователей. Шаблоны и канал публикации, желательно машиночитаемые.
- Планируйте декабрь 2027 года. Безопасность по умолчанию, обновления безопасности в период поддержки и спецификация программных компонентов (SBOM) станут требованиями.
Вопросы и ответы
Когда началась обязанность сообщать по CRA?
11 сентября 2026 года. С этой даты производители сообщают об активно эксплуатируемых уязвимостях и серьёзных инцидентах через единую платформу ENISA.
Касается ли это изделий, проданных до 2027 года?
Да. Ст. 69(3) распространяет обязанность сообщать на все изделия в сфере действия, выпущенные на рынок до 11 декабря 2027 года, без условия модификации.
Является ли зарядная станция или инвертор «важным изделием»?
Они не названы в приложениях III и IV, поэтому относятся к категории по умолчанию с самооценкой с декабря 2027 года, если основная функция изделия не совпадает с указанной категорией.
Источники
СертификацияЕС: CE и знаки TÜV 
