Головна / Нотатки

Регулювання · Безпека · DevOps

Обов’язок повідомляти за CRA з 11 вересня 2026: 24 години, 72 години, 14 днів

З 11 вересня 2026 виробники продуктів із цифровими елементами мають повідомляти про активно експлуатовані вразливості — у три етапи й за жорстким таймером. Що це означає для команд розробки та DevOps.

Сергій Заболотний · 27.10.2026

• Cyber Resilience Act
• CRA
• Sicherheitslücken
• DevOps
• Compliance
• ENISA

Про що йдеться

Cyber Resilience Act (CRA, Регламент (ЄС) 2024/2847) встановлює вимоги безпеки до продуктів із цифровими елементами. Першим набуває чинності обов’язок повідомляти про активно експлуатовані вразливості та серйозні інциденти: він діє з 11 вересня 2026, помітно раніше за решту вимог. Таймер запускається, коли виробник дізнається про активну експлуатацію, а не коли все з’ясовано.

Три строки

Повідомлення подаються через єдину платформу ENISA, яка передає їх національним CSIRT. Окремо про це потрібно без невиправданої затримки інформувати постраждалих користувачів. Верхня межа штрафу за джерелом — до 10 млн € або 2% світового річного обороту. Деталі, наприклад строк для серйозних інцидентів, дивіться в тексті регламенту.

Кого це стосується

Зобов’язані виробники продуктів із цифровими елементами. Імпортери й дистриб’ютори самі не повідомляють до ENISA, але мають без затримки передавати відомості про вразливості виробнику. Наскільки я розумію, чистий вебсервіс (SaaS) без супровідного продукту сам по собі не є виробником за CRA; радше ним є той, хто постачає ПЗ або пристрої, які клієнти запускають в себе. Це моє прочитання, а не офіційне роз’яснення — у разі сумнівів звіряйтеся з текстом регламенту.

Що варто підготувати команді розробки

• Відповідальний і процедура: хто за години вирішує, що вразливість «активно експлуатується», і хто надсилає раннє попередження?
• Огляд власних залежностей: без списку використаних бібліотек (SBOM) питання «чи нас зачепило?» перетворюється на пошук наосліп.
• Швидка й повторювана доставка виправлень: акуратний CI/CD-пайплайн тут не розкіш, а умова, щоб за 14 днів повідомити про виправлене.
• Канал зв’язку з користувачами: як ви зв’яжетеся з клієнтами, коли оновлення термінове?

Це узгоджується з тим, що я описую в нотатках про Zero Trust для домашньої лабораторії і про NIS2 для невеликих ІТ-компаній: хто знає свої доступи й залежності, у виграші за обох регуляцій.

Джерела та обмеження

• CRA Compliance Hub: стаття 14 (вторинне джерело, станом на жовтень 2026)
• Регламент (ЄС) 2024/2847 в Офіційному віснику — обов’язковий текст

Читати далі