Κανονισμός για την Κυβερνοανθεκτικότητα: Πρακτικός οδηγός από την Αρχή Ψηφιακής Ασφάλειας Κύπρου

Νέο πρακτικό οδηγό για τον Κανονισμό για την Κυβερνοανθεκτικότητα (Cyber Resilience Act – CRA) δημοσίευσε η Αρχή Ψηφιακής Ασφάλειας της Κύπρου – ΕΑΠΚ (NCCA), σε συνεργασία με την Ομάδα Εργασίας 4 «Ευρωπαϊκές και Εθνικές Νομοθεσίες» του NCC-CY, με στόχο να βοηθήσει επιχειρήσεις, οργανισμούς και άλλους ενδιαφερόμενους φορείς να προσδιορίσουν εάν εμπίπτουν στο νέο κανονιστικό πλαίσιο και να προετοιμαστούν για τις υποχρεώσεις που αυτό εισάγει.

Ο CRA θεσπίζει ενιαίες απαιτήσεις κυβερνοασφάλειας για προϊόντα με ψηφιακά στοιχεία που διατίθενται στην αγορά της Ευρωπαϊκής Ένωσης, καλύπτοντας ευρύ φάσμα προϊόντων υλισμικού και λογισμικού και επιβάλλοντας υποχρεώσεις σε διαφορετικούς κρίκους της αλυσίδας εφοδιασμού. Στον οδηγό παρουσιάζονται ενδεικτικά ως προϊόντα που μπορεί να εμπίπτουν στο πεδίο εφαρμογής του δρομολογητές, έξυπνες κάμερες, εφαρμογές με πρόσβαση σε δίκτυο, firewalls, συστήματα διαχείρισης ταυτότητας και πρόσβασης και συνδεδεμένα παιχνίδια.

Ιδιαίτερη έμφαση δίνεται στον πρακτικό προσδιορισμό του πεδίου εφαρμογής και στην κατηγοριοποίηση των προϊόντων σε «default», «important» και «critical», διάκριση που επηρεάζει, μεταξύ άλλων, τον βαθμό ελέγχου και τη διαδικασία αξιολόγησης της συμμόρφωσης. Παράλληλα, αποτυπώνονται χωριστά οι ευθύνες κατασκευαστών, εξουσιοδοτημένων αντιπροσώπων, εισαγωγέων και διανομέων, από τον ασφαλή σχεδιασμό και την τεκμηρίωση του προϊόντος έως τον έλεγχο της σήμανσης CE και των απαιτούμενων εγγράφων πριν από τη διάθεσή του στην ευρωπαϊκή αγορά.

Τα κρίσιμα χρονικά ορόσημα

Ο οδηγός υπενθυμίζει ότι ο CRA τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024, ενώ από τις 11 Ιουνίου 2026 οι οργανισμοί αξιολόγησης της συμμόρφωσης μπορούν να υποβάλλουν αίτηση κοινοποίησης. Ιδιαίτερη σημασία έχει η 11η Σεπτεμβρίου 2026, οπότε αρχίζουν να εφαρμόζονται οι υποχρεώσεις αναφοράς ευπαθειών και περιστατικών κυβερνοασφάλειας, ενώ η πλήρης εφαρμογή του Κανονισμού προβλέπεται από τις 11 Δεκεμβρίου 2027.

Ειδικά για την Κύπρο, η Αρχή Ψηφιακής Ασφάλειας έχει οριστεί τόσο ως κοινοποιούσα αρχή όσο και ως αρχή εποπτείας της αγοράς. Στη δεύτερη αυτή ιδιότητα θα ελέγχει τη συμμόρφωση των προϊόντων με τον CRA, θα μπορεί να ζητεί πληροφορίες και τεκμηρίωση από τους οικονομικούς φορείς και να λαμβάνει διορθωτικά μέτρα όταν διαπιστώνεται μη συμμόρφωση ή κίνδυνος κυβερνοασφάλειας.

Ο οδηγός έχει ενημερωτικό και προπαρασκευαστικό χαρακτήρα και, όπως διευκρινίζεται στο ίδιο το έγγραφο, δεν αποτελεί νομική συμβουλή, δεσμευτική ερμηνεία ή κείμενο που υποκαθιστά τον ενωσιακό Κανονισμό.