กฎหมายความยืดหยุ่นทางไซเบอร์ของ EU: หน้าที่รายงานมีผลตั้งแต่ 11 กันยายน 2026 ผู้ผลิตเครื่องชาร์จและอินเวอร์เตอร์ต้องทำอะไร
ตั้งแต่ 11 กันยายน 2026 ผู้ผลิตต้องรายงานช่องโหว่ที่ถูกใช้โจมตีจริงและเหตุการณ์ร้ายแรงภายใน 24 ชั่วโมงผ่านแพลตฟอร์มรายงานเดียวของ ENISA หน้าที่นี้ครอบคลุมผลิตภัณฑ์ที่ขายก่อนกฎหมายมีผลเต็มรูปแบบด้วย
- 01มาตรา 14 ของข้อบังคับ (EU) 2024/2847 มีผลตั้งแต่ 11 กันยายน 2026 ส่วนที่เหลือของ CRA มีผลตั้งแต่ 11 ธันวาคม 2027
- 02ช่องโหว่ที่ถูกใช้โจมตีจริงและเหตุการณ์ร้ายแรง: แจ้งเตือนล่วงหน้าภายใน 24 ชั่วโมง แจ้งรายละเอียดภายใน 72 ชั่วโมง
- 03รายงานฉบับสุดท้าย: 14 วันหลังมีวิธีแก้ไข (ช่องโหว่) หรือหนึ่งเดือนหลังการแจ้ง (เหตุการณ์)
- 04ยื่นรายงานครั้งเดียวผ่านแพลตฟอร์มรายงานเดียวของ ENISA ซึ่งเปิดใช้ตั้งแต่ 11 กันยายน 2026
- 05ผลิตภัณฑ์ที่วางตลาดก่อน 11 ธันวาคม 2027 ก็อยู่ภายใต้หน้าที่รายงาน (มาตรา 69(3))
ลำดับเวลา
| วันที่ | สิ่งที่มีผล |
|---|---|
| 10 ธันวาคม 2024 | ข้อบังคับ (EU) 2024/2847 มีผลใช้บังคับ |
| 11 มิถุนายน 2026 | หมวด IV: การแจ้งชื่อหน่วยงานตรวจสอบความสอดคล้อง |
| 11 กันยายน 2026 | หน้าที่รายงานตามมาตรา 14 และแพลตฟอร์มรายงานเดียวของ ENISA เปิดใช้ |
| 11 ธันวาคม 2027 | หน้าที่อื่นทั้งหมด รวมข้อกำหนดความปลอดภัยไซเบอร์ที่จำเป็นและการตรวจสอบความสอดคล้อง |
ต้องรายงานอะไร และเร็วแค่ไหน
| เหตุการณ์ | แจ้งเตือนล่วงหน้า | แจ้งรายละเอียด | รายงานฉบับสุดท้าย |
|---|---|---|---|
| ช่องโหว่ในผลิตภัณฑ์ที่ถูกใช้โจมตีจริง | 24 ชั่วโมง | 72 ชั่วโมง | ไม่เกิน 14 วันหลังมีมาตรการแก้ไขหรือบรรเทา |
| เหตุการณ์ร้ายแรงที่กระทบความปลอดภัยของผลิตภัณฑ์ | 24 ชั่วโมง | 72 ชั่วโมง | ภายในหนึ่งเดือนหลังการแจ้ง |
นับเวลาตั้งแต่ผู้ผลิตรับรู้ รายงานยื่นครั้งเดียวผ่านแพลตฟอร์ม ส่งถึง CSIRT ผู้ประสานงานของรัฐสมาชิกที่ผู้ผลิตมีสถานประกอบการหลัก และเว้นแต่มีกรณีพิเศษ จะส่งถึง ENISA พร้อมกัน
เหตุการณ์ถือว่าร้ายแรงหากกระทบหรืออาจกระทบความสามารถของผลิตภัณฑ์ในการปกป้องความพร้อมใช้งาน ความถูกต้องแท้จริง ความครบถ้วน หรือความลับของข้อมูลหรือฟังก์ชัน หรือทำให้หรืออาจทำให้โค้ดอันตรายทำงานบนผลิตภัณฑ์หรือระบบของผู้ใช้
ผู้ผลิตต้องแจ้งผู้ใช้ที่ได้รับผลกระทบ และเมื่อเหมาะสมก็แจ้งผู้ใช้ทั้งหมด เกี่ยวกับช่องโหว่หรือเหตุการณ์และมาตรการบรรเทา เมื่อเหมาะสมให้อยู่ในรูปแบบที่มีโครงสร้างและเครื่องอ่านได้
ผลิตภัณฑ์ที่ขายไปแล้วก็นับด้วย
ผลิตภัณฑ์ที่วางตลาดก่อน 11 ธันวาคม 2027 โดยทั่วไปจะอยู่ภายใต้ CRA ก็ต่อเมื่อมีการดัดแปลงสำคัญ (มาตรา 69(2)) หน้าที่รายงานเป็นข้อยกเว้น: มาตรา 14 ใช้กับผลิตภัณฑ์เหล่านั้นทั้งหมดที่อยู่ในขอบเขตโดยไม่ต้องมีการดัดแปลง (มาตรา 69(3)) อุปกรณ์ที่ติดตั้งแล้วใน EU จึงอยู่ในขอบเขตตั้งแต่ตอนนี้
เครื่องชาร์จ อินเวอร์เตอร์ และระบบกักเก็บพลังงานอยู่ในขอบเขตหรือไม่
CRA ครอบคลุมผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลซึ่งเชื่อมต่อกับอุปกรณ์หรือเครือข่าย เครื่องชาร์จที่ใช้ OCPP อินเวอร์เตอร์ที่ตรวจติดตามผ่าน Wi-Fi หรือ 4G ระบบกักเก็บที่เชื่อมแพลตฟอร์มคลาวด์ และหน่วยจัดการพลังงาน ล้วนเข้าข่าย
ไม่มีผลิตภัณฑ์เหล่านี้อยู่ในภาคผนวก III (ผลิตภัณฑ์สำคัญ) หรือภาคผนวก IV (ผลิตภัณฑ์วิกฤต) ภาคผนวก III มีตัวอย่างเช่น เราเตอร์และโมเด็ม ระบบปฏิบัติการ ผลิตภัณฑ์สมาร์ตโฮมที่มีฟังก์ชันความปลอดภัย ภาคผนวก IV มีเกตเวย์มิเตอร์อัจฉริยะ ผลิตภัณฑ์ที่ไม่อยู่ในรายการจัดอยู่ในหมวดเริ่มต้น ผู้ผลิตประเมินความสอดคล้องเองได้ตั้งแต่ธันวาคม 2027
ก่อนหน้านั้น อุปกรณ์วิทยุที่เชื่อมต่อเครือข่ายและขายใน EU ต้องเป็นไปตามข้อกำหนดความปลอดภัยไซเบอร์ของ Radio Equipment Directive แล้ว โดยประเมินด้วย EN 18031
ควรทำอะไรตอนนี้
- ตั้งสายงานรับมือ 24 ชั่วโมง ใครรับรายงานช่องโหว่ ใครตัดสินว่าช่องโหว่ถูกใช้โจมตีจริงหรือไม่ และใครยื่นแจ้งเตือน
- เตรียมการเข้าถึงแพลตฟอร์มรายงานเดียว และระบุ CSIRT ที่จะรับการแจ้ง
- ทำบัญชีอุปกรณ์ที่ขายไปแล้ว ทุกรุ่นที่เชื่อมต่อได้ซึ่งขายใน EU เวอร์ชันเฟิร์มแวร์ และวิธีส่งอัปเดตถึงอุปกรณ์ หน้าที่ครอบคลุมผลิตภัณฑ์รุ่นเก่า
- เตรียมประกาศถึงผู้ใช้ แบบฟอร์มและช่องทางเผยแพร่ ควรเป็นรูปแบบที่เครื่องอ่านได้
- วางแผนสำหรับธันวาคม 2027 การออกแบบที่ปลอดภัยโดยค่าเริ่มต้น การอัปเดตความปลอดภัยตลอดช่วงสนับสนุน และรายการองค์ประกอบซอฟต์แวร์ (SBOM) จะกลายเป็นข้อกำหนด
คำถามที่พบบ่อย
หน้าที่รายงานตาม CRA เริ่มเมื่อไร
11 กันยายน 2026 ตั้งแต่วันนั้นผู้ผลิตต้องรายงานช่องโหว่ที่ถูกใช้โจมตีจริงและเหตุการณ์ร้ายแรงผ่านแพลตฟอร์มรายงานเดียวของ ENISA
ผลิตภัณฑ์ที่ขายก่อนปี 2027 ต้องรายงานด้วยหรือไม่
ต้อง มาตรา 69(3) ใช้หน้าที่รายงานกับผลิตภัณฑ์ในขอบเขตทั้งหมดที่วางตลาดก่อน 11 ธันวาคม 2027 โดยไม่ต้องมีการดัดแปลง
เครื่องชาร์จ EV หรืออินเวอร์เตอร์เป็น “ผลิตภัณฑ์สำคัญ” หรือไม่
ไม่ได้ระบุในภาคผนวก III หรือ IV จึงอยู่ในหมวดเริ่มต้น ประเมินตนเองได้ตั้งแต่ธันวาคม 2027 เว้นแต่ฟังก์ชันหลักตรงกับหมวดที่ระบุไว้
แหล่งอ้างอิง
การรับรองEU CE และ TÜV 
