Cyber Resilience Act leggur netöryggiskröfur á allar vörur með stafrænum þáttum (vélbúnaði og hugbúnaði) sem settar eru á markað innan Evrópusambandsins. SYAGA aðstoðar þig við að skilja skyldur þínar og byggja upp samræmismöppu þína, án spuna.
Cyber Resilience Act (CRA) er lárétt evrópsk löggjöf um netöryggi stafrænna vara
CRA nær yfir vörur með stafrænum þáttum (nettengdan vélbúnað, hugbúnað, fastbúnað) sem ætlaðar eru á markað ESB, með netöryggiskröfum allan líftíma vörunnar.
Framleiðandi, innflytjandi eða dreifingaraðili: reglugerðin skiptir skyldum eftir stöðu þinni í markaðssetningarkeðjunni, eftir sama fyrirkomulagi og notað er í öðru evrópsku vörulöggjöf.
Textinn tók gildi 10. desember 2024 og gerir ráð fyrir stigvaxandi gildistöku yfir tíma. Nákvæmar tímasetningar sem varða þig þarf að staðfesta í opinbera textanum fyrir þínar aðstæður.
Líkt og með aðra nýlega evrópska netöryggislöggjöf krefst CRA-samræmi aðferðar (kortlagningar á vörum, frávikagreiningar, tæknilegrar skjölunar) sem flestir hugbúnaðarframleiðendur og framleiðendur hafa ekki enn hafið vegna skorts á innri úrræðum.
CRA beinist að rekstraraðilum sem setja stafrænar vörur á markað ESB
Fyrirtæki sem hanna eða láta hanna vörur með stafrænum þáttum (vélbúnaði, hugbúnaði, fastbúnaði) sem markaðssettar eru undir þeirra nafni eða vörumerki.
Fyrirtæki sem setja á markað ESB stafræna vöru sem hönnuð er utan sambandsins.
Fyrirtæki sem gera vöru aðgengilega á markaði ESB án þess að vera framleiðandi eða innflytjandi hennar.
Skipulagt ferli til að kortleggja vörur þínar, mæla frávik og byggja upp samræmisáætlun þína
Viðtal við stjórnendur eða rannsóknar- og þróunarteymi til að greina vörur sem gætu fallið undir CRA (nettengdan vélbúnað, innbyggðan hugbúnað, fastbúnað) og hlutverk þitt sem rekstraraðila (framleiðandi, innflytjandi, dreifingaraðili).
Kortlagning stafrænna vara þinna og núverandi netöryggisþátta þeirra (varnarleysisstjórnun, öryggisuppfærslur, fyrirliggjandi skjölun), borin saman við kröfur reglugerðarinnar.
Forgangsraðuð samræmisáætlun: hvað þarf að taka á fyrst, hvað getur beðið næstu tímamarka reglugerðarinnar, og hvaða innri úrræði þarf að virkja.
Aðstoð við að skipuleggja þá tæknilegu skjölun sem reglugerðin krefst (lýsingu vörunnar, áhættustjórnun netöryggis, verklagsreglur um úrvinnslu veikleika).
Kynning á greiningunni og aðgerðaáætluninni fyrir stjórnendum, með afhendingu breytanlegra afurða svo starfsfólk þitt geti gert þær að sínum.
Greining og vegvísir til að stýra CRA-samræmi þínu
Skráning á vörum þínum með stafrænum þáttum og mat á því hversu mikið þær falla undir reglugerðina.
Samantekt á frávikum milli núverandi starfshátta þinna og krafna reglugerðarinnar.
Forgangsraðaður vegvísir til að loka greindum frávikum.
Aðstoð við að skipuleggja þá skjölun sem reglugerðin krefst.
Eftirfylgni með framkvæmdartextum og opinberum skýringum sem birtar eru um CRA.
Öll skjöl á sniðum sem þú getur breytt og haldið við innanhúss.
CRA kemur ekki í stað annarra samræmisverkefna þinna, heldur bætir þau
NIS2 stýrir áhættustjórnun netöryggis lykil- og mikilvægra eininga; CRA stýrir öryggi þeirra stafrænu vara sem þær nota eða markaðssetja. Textarnir tveir bæta hvor annan upp.
Stjórnkerfi upplýsingaöryggis (ISMS) sem þegar er til staðar auðveldar skipulagningu þeirra veikleikastjórnunarferla sem CRA krefst.
Ef stafræna varan þín vinnur persónuupplýsingar skarast öryggiskröfur CRA að hluta við þær tæknilegu og skipulagslegu ráðstafanir sem 32. grein GDPR krefst.
Ef varan þín inniheldur gervigreindarþætti geta CRA og AI Act átt við samtímis, eftir eðli vörunnar. Atriði sem skýra þarf í hverju tilviki með lögfræðingi þínum.
Hver vara, hvert umfang er ólíkt: við útbúum tilboð sniðið að þínum aðstæðum
Ein vara, takmarkað umfang
Margar vörur, virkt samræmisferli
Vörulína, samfellt samræmisferli
Það sem CRA-textinn raunverulega segir, útskýrt á einfaldan hátt. Hvert atriði vísar til opinberrar heimildar (EUR-Lex eða Framkvæmdastjórn Evrópusambandsins) svo þú getir sannreynt sjálf(ur).
Cyber Resilience Act er evrópsk reglugerð (reglugerð ESB 2024/2847) sem setur
netöryggisreglur fyrir stafrænar vörur - vélbúnað og hugbúnað - sem seldar eru innan
Evrópusambandsins. Hún tók gildi 10. desember 2024.
opinber heimild ↗
Sérhver vara með stafrænum þáttum sem ætluð er til að tengjast, beint eða óbeint,
tæki eða neti. Undanskildar eru vörur sem þegar falla undir aðra evrópska löggjöf:
lækningatæki, ökutæki, flug, sjóbúnað, eins varahluti, eða vörur hannaðar eingöngu fyrir
varnar-/þjóðaröryggismál.
opinber heimild (2. gr.) ↗
10. desember 2024: textinn tók gildi.
11. júní 2026: yfirvöld sem sjá um framkvæmd hans þurfa að vera til
staðar. 11. september 2026: skyldur um tilkynningu veikleika og atvika
hefjast. 11. desember 2027: meginhluti skyldnanna, þar á meðal
CE-merking, verður virkur.
opinber heimild (71. gr.) ↗
Ef virkilega nýttur veikleiki eða alvarlegt atvik hefur áhrif á vöruna þína krefst
reglugerðin þess að yfirvöldum sé tilkynnt: fyrsta viðvörun innan 24
klukkustunda, ítarlegri tilkynning innan 72 klukkustunda, og
loks lokaskýrsla eigi síðar en 14 dögum eftir að úrbót er gerð aðgengileg.
opinber heimild (14. gr.) ↗
Textinn greinir á milli vöruflokka sem taldir eru viðkvæmari (t.d. veirvarnir, VPN,
lykilorðastjórar, stýrikerfi, beinar, nettengd heimilisöryggistæki) og „mikilvægra" vara
(t.d. snjallkort, gáttir snjallmæla), sem sæta hertum kröfum.
opinber heimild (viðaukar III og IV) ↗
Allt að 15 milljónum evra eða 2,5% af heimsveltu (hærri upphæðin
gildir) fyrir alvarlegustu brotin á grunnöryggiskröfum. Allt að 10 milljónum
evra eða 2% fyrir aðrar skyldur, og allt að 5 milljónum evra eða
1% fyrir villandi upplýsingar til yfirvalda. Örfyrirtæki og lítil fyrirtæki
njóta sérstakrar undanþágu varðandi 24 klukkustunda tilkynningarfrestinn.
opinber heimild (64. gr.) ↗
CRA bætir NIS2-tilskipunina og byggir á netöryggisstefnu ESB frá 2020. CE-merking
verður nauðsynleg til að staðfesta samræmi, og það eru landsbundin
markaðseftirlitsyfirvöld sem hafa eftirlit með framkvæmdinni.
opinber heimild (Framkvæmdastjórn Evrópusambandsins) ↗
Reglugerðin setur 3 sektarstig eftir alvarleika brotsins. Hér er nákvæmlega það sem opinberi textinn segir, án ávölunar eða nálgunar.
Brot gegn grunnkröfum um netöryggi (I. viðauki) eða skyldum framleiðenda (13. og 14. grein: örugg hönnun, meðhöndlun veikleika, tilkynning atvika).
Brot gegn skyldum viðurkenndra fulltrúa, ESB-samræmisyfirlýsingunni (CE-merkingu), kröfum um tilkynnta aðila og aðgangi að gögnum sem yfirvöld óska eftir (18. til 53. grein eftir tilviki).
Að veita tilkynntum aðila eða markaðseftirlitsyfirvaldi sem spyr yður rangar, ófullnægjandi eða villandi upplýsingar.
opinber heimild - reglugerð (ESB) 2024/2847, 64. grein, 2. til 4. mgr. ↗
Það eru landsbundin markaðseftirlitsyfirvöld hvers aðildarríkis sem beita þessum sektum (ekki framkvæmdastjórn Evrópusambandsins beint). Eftir réttarkerfi landsins getur sektin einnig verið ákveðin af þar til bæru landsdómstóli. Yfirvöld mismunandi aðildarríkja upplýsa hvert annað um sektir sem beitt er.
Textinn kveður ekki á um sjálfvirka upphæð: yfirvaldið verður að taka tillit til, í hverju tilviki fyrir sig:
Textinn kveður aðeins á um eina tölusetta undanþágu: framleiðendur sem eru örfyrirtæki eða lítil fyrirtæki falla ekki undir sektir 2. og 3. stigs ef þeir aðeins fara fram úr fresti til að tilkynna atvik sem kveðið er á um í 14. grein (24 klst./72 klst./lokaskýrsla). Að öðru leyti (öryggiskröfur, CE-merking, villandi upplýsingar...) gilda sömu hámörk, óháð stærð fyrirtækisins. Ábyrgðaraðilar opins hugbúnaðar ("open-source software stewards") njóta hins vegar víðtækari undanþágu.
Viðurlagakerfið (64. grein) fylgir almennri gildistökudagsetningu reglugerðarinnar, það er 11. desember 2027 - það er ekki hluti af þeim fáu undantekningum sem gilda fyrr (tilkynningarskyldur framleiðenda frá 11. september 2026, stofnun yfirvalda frá 11. júní 2026). Í reynd: þann 18. júlí 2026 er þetta viðurlagakerfi ekki enn í gildi, og því hefur engin CRA-sekt enn verið ákveðin. Þess vegna sýnum við heldur ekki dæmi um raunverulega beitta sekt hér: hún er ekki til enn, og við ætlum ekki að búa hana til.
Ekkert lögfræðimál: einföld svör, hvert og eitt studd opinberum texta sem það byggir á.
Reglugerðin gildir ekki í einu skrefi: hún kemur til framkvæmda í áföngum, á nokkrum árum. Hér eru dagsetningarnar sem raunverulega skipta máli, í réttri röð, með því sem þær þýða í reynd fyrir yður. Hver dagsetning vísar til opinbera textans til staðfestingar.
Texti reglugerðar (ESB) 2024/2847 er birtur í Stjórnartíðindum Evrópusambandsins.
Það er upphafspunktur talningarinnar: allir eftirfarandi frestir eru reiknaðir út
frá þessari dagsetningu.
opinber heimild (EUR-Lex, birting) ↗
Reglugerðin tekur gildi tuttugu dögum eftir birtingu (staðlað fyrirkomulag fyrir
evrópska texta). Textinn er því lagalega til frá þessari dagsetningu, en langflestar
hagnýtar skyldur fyrirtækja eru ekki enn gjaldkræfar: þær koma í áföngum, sjá
framhald dagatalsins.
opinber heimild (71. grein, 1. mgr.) ↗
Kafli reglugerðarinnar um aðila sem meta samræmi vara ("tilkynnta aðila") gildir
frá þessari dagsetningu. Þetta er skipulagsskref af hálfu aðildarríkjanna: það er
enn ekki beinn frestur fyrir fyrirtækið yðar.
opinber heimild (71. grein, 2. mgr., IV. kafli) ↗
Þetta er fyrsti fresturinn sem raunverulega snertir yður. Frá þessari
dagsetningu verður að tilkynna sérhvern virkilega nýttan veikleika eða sérhvert
alvarlegt atvik sem hefur áhrif á eina af stafrænu vörunum yðar til yfirvalda innan
strangra fresta: fyrsta viðvörun innan 24 klukkustunda, ítarleg
tilkynning innan 72 klukkustunda, og svo lokaskýrsla (14 dögum
eftir að úrbót er tiltæk fyrir veikleika, 1 mánuði eftir tilkynningu fyrir atvik).
opinber heimild (71. grein, 2. mgr., 14. grein) ↗
Aðildarríkin eiga að "leitast við" að hafa komið á fót nógu mörgum tilkynntum
aðilum til að forðast stjórnsýsluflöskuhálsa, ári fyrir almenna gildistöku. Þetta er
ekki bindandi skylda fyrir fyrirtæki, heldur skipulagsáfangi af hálfu stjórnvalda.
opinber heimild (35. grein, 2. mgr.) ↗
Þetta er MEGINDAGSETNINGIN sem ber að muna. CE-merking, virðing fyrir
grunnkröfum um netöryggi (tækniskjölun, meðhöndlun líftíma veikleika,
öryggisuppfærslur...): nær öll skylduákvæði CRA verða framfylgjanleg frá þessari
dagsetningu fyrir vörur sem settar eru á markað.
opinber heimild (71. grein, 2. mgr.) ↗
Ef vörur yðar falla þegar undir aðra evrópska löggjöf (til dæmis
fjarskiptabúnað eða vélar) og hafa þegar öryggisvottorð sem gefið er út samkvæmt
þeim texta, gildir það vottorð áfram í síðasta lagi til þessarar dagsetningar,
nema það renni út fyrr.
opinber heimild (69. grein, 1. mgr.) ↗
Fyrir utan hlutverkin þrjú (framleiðandi, innflytjandi, dreifingaraðili), hér er nákvæmlega það sem textinn segir: viðmiðið sem virkjar reglugerðina, hvað er undanskilið, og áþreifanleg dæmi um vörur til að vita hvort þér eigið við, án lögfræðimáls.
Viðmiðið sem reglugerðin notar er ekki listi yfir atvinnugreinar, heldur tæknilegt viðmið:
tengni. Textinn gildir um sérhverja "vöru með stafrænum þáttum" þar sem
fyrirhuguð eða sanngjarnlega fyrirsjáanleg notkun felur í sér rökræna eða
eðlisræna, beina eða óbeina tengingu við tæki eða net. Hlutur sem tengist aldrei
neinu er áfram utan gildissviðs; hugbúnaður, forrit, innbyggður íhlutur sem talar við net
fellur undir það, óháð stærð eða atvinnugrein.
opinber heimild, reglugerð (ESB) 2024/2847, 2. grein §1 ↗
Sá sem þróar eða lætur þróa stafræna vöru og setur hana á markað undir eigin nafni eða vörumerki. Textinn tekur sérstaklega fram að staða framleiðanda gildi "hvort sem það er gegn greiðslu, með gjaldtöku eða endurgjaldslaust": að bjóða vöru endurgjaldslaust nægir ekki til að falla utan gildissviðs.
Sérhver aðili með staðfestu í ESB sem setur á evrópska markaðinn vöru sem ber nafn eða vörumerki aðila með staðfestu utan Sambandsins. Lítið eða meðalstórt fyrirtæki sem endurselur í Frakklandi, undir eigin nafni, nettengdan búnað framleiddan utan ESB, tekur á sig þetta hlutverk, með þeim skyldum sem því fylgja.
Sérhver aðili í aðfangakeðjunni, annar en framleiðandi eða innflytjandi, sem gerir vöru aðgengilega á markaði ESB án þess að breyta eiginleikum hennar. Það er sjálfgefið hlutverk endursöluaðila eða samþættingaraðila sem snertir ekki vöruna.
Falla þegar undir eigin öryggislöggjöf (reglugerðir (ESB) 2017/745 og 2017/746): CRA bætist ekki ofan á.
Falla undir gerðarviðurkenningarreglugerð (ESB) 2019/2144, sem þegar fjallar um netöryggi ökutækja.
Vörur vottaðar samkvæmt reglugerð (ESB) 2018/1139 um almenningsflug falla áfram undir þennan sérstaka geira-ramma.
Búnaður sem fellur undir tilskipun 2014/90/ESB um sjóbúnað hefur sitt eigið kerfi og fellur ekki undir CRA.
Varahlutur framleiddur samkvæmt sömu forskriftum og upprunalegi íhluturinn sem hann kemur í stað fyrir telst ekki ný vara í skilningi CRA.
Vörur þróaðar eða breyttar eingöngu fyrir varnar- eða þjóðaröryggismál, eða hannaðar til að meðhöndla flokkaðar upplýsingar, falla utan gildissviðs.
Reglugerðin telur sjálf upp vöruflokka sem taldir eru "mikilvægir" (aukið eftirlit) eða "mikilvægastir" (strangasta kröfustigið). Þetta eru aðeins lýsandi dæmi af öllum nettengdum vörum sem falla undir gildissviðið, en þau gefa mjög áþreifanlega hugmynd um þær atvinnugreinar sem eru í forgangi.
fullur listi, opinber heimild, III. og IV. viðauki reglugerðarinnar ↗
Þessi opinbera skilgreining er sú sem reglugerðin notar alls staðar þar sem hún nefnir örfyrirtæki, lítil og meðalstór fyrirtæki (einfölduð skjölun, markvissar undanþágur á sektum sem þegar hefur verið fjallað um að ofan). opinber heimild, tilmæli 2003/361/EB, 2. grein viðaukans ↗
Í Evrópu hefur hvert land sín eigin yfirvöld. Hér má sjá, fyrir 30 lönd Evrópska efnahagssvæðisins, persónuverndaryfirvaldið (tengiliður yðar varðandi GDPR) og landsbundið netöryggisyfirvald. Hvert nafn tengist á opinberu vefsíðuna.
Heimildir: opinberar vefsíður yfirvalda og félagalisti EDPB (edpb.europa.eu), skoðaðar 18. júlí 2026. Staðfest persónuverndaryfirvöld: 30/30. Staðfest netöryggisyfirvöld: 28/30. Merkingin „enn óstaðfest“ vísar til opinberrar heimildar sem ekki hefur enn verið staðfest með fullri vissu.
Hafðu samband við okkur til að fá tilboð sniðið að vörum þínum og aðstæðum.
Ókeypis: einkunnin þín + frávikin þín. Ítarlega skýrslan og staðfestingin: 499 € án vsk, aðeins ef þú ákveður það.
contact@syaga.eu