Главная / Заметки

Регулирование · Безопасность · DevOps

Обязанность уведомлять по CRA с 11 сентября 2026: 24 часа, 72 часа, 14 дней

С 11 сентября 2026 производители продуктов с цифровыми элементами обязаны сообщать об активно эксплуатируемых уязвимостях — в три этапа и по жёсткому таймеру. Что это значит для команд разработки и DevOps.

Сергей Заболотный · 27.10.2026

• Cyber Resilience Act
• CRA
• Sicherheitslücken
• DevOps
• Compliance
• ENISA

О чём речь

Cyber Resilience Act (CRA, Регламент (ЕС) 2024/2847) задаёт требования безопасности для продуктов с цифровыми элементами. Первой вступает в силу обязанность сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах: она действует с 11 сентября 2026, заметно раньше остальных требований. Таймер запускается, когда производитель узнаёт об активной эксплуатации, а не когда всё выяснено.

Три срока

Сообщения подаются через единую платформу ENISA, которая передаёт их национальным CSIRT. Независимо от этого пострадавших пользователей нужно информировать без неоправданной задержки. Верхняя граница штрафа по источнику — до 10 млн € или 2% мирового годового оборота. Детали, например срок для серьёзных инцидентов, смотрите в тексте регламента.

Кого это касается

Обязаны производители продуктов с цифровыми элементами. Импортёры и дистрибьюторы сами не сообщают в ENISA, но обязаны без задержки передавать сведения об уязвимостях производителю. Насколько я понимаю, чистый веб-сервис (SaaS) без сопутствующего продукта сам по себе не является производителем по CRA; скорее им является тот, кто поставляет ПО или устройства, которые клиенты запускают у себя. Это моё прочтение, а не официальное разъяснение — при сомнениях сверяйтесь с текстом регламента.

Что стоит подготовить команде разработки

• Ответственный и процедура: кто за часы решает, что уязвимость «активно эксплуатируется», и кто отправляет раннее предупреждение?
• Обзор собственных зависимостей: без списка используемых библиотек (SBOM) вопрос «затронуты ли мы?» превращается в поиск вслепую.
• Быстрая и повторяемая выкатка исправлений: аккуратный CI/CD-пайплайн здесь не роскошь, а условие, чтобы через 14 дней сообщить об исправленном.
• Канал связи с пользователями: как вы свяжетесь с клиентами, когда обновление срочное?

Это созвучно тому, что я описываю в заметках про Zero Trust для домашней лаборатории и про NIS2 для небольших ИТ-компаний: кто знает свои доступы и зависимости, в выигрыше при обоих регуляциях.

Источники и ограничения

• CRA Compliance Hub: статья 14 (вторичный источник, на октябрь 2026)
• Регламент (ЕС) 2024/2847 в Официальном журнале — обязывающий текст

Читать дальше