Na kratko
CRA velja za izdelke z digitalnimi elementi na trgu EU. Od 11. 9. 2026 morajo proizvajalci aktivno izkoriščene ranljivosti in hude incidente prijaviti v 24 urah – tudi za izdelke, ki so že na trgu. Do 11. 12. 2027 morajo izdelki izpolnjevati bistvene zahteve in nositi oznako CE.
Ali je vaš izdelek v obsegu CRA?
V obsegu je izdelek z digitalnimi elementi, ki se neposredno ali posredno povezuje z napravo ali omrežjem – strojna ali programska oprema, vključno z rešitvami za obdelavo podatkov na daljavo, ki so del izdelka.
- Izjeme: izdelki s posebno sektorsko ureditvijo, na primer medicinski pripomočki, motorna vozila, civilno letalstvo in pomorska oprema.
- SaaS: čisti SaaS praviloma ni v obsegu, razen kot rešitev za obdelavo podatkov na daljavo, ki je del izdelka.
- Vloge: obveznosti imajo proizvajalec, uvoznik in distributer; največ jih ima proizvajalec.
| Kategorija | Kje je določena | Postopek ocenjevanja skladnosti (32. člen) |
|---|---|---|
| Privzeta kategorija | izdelki, ki niso v Prilogi III ali IV | proizvajalec sam z notranjo kontrolo (modul A); izbere lahko tudi EU-pregled tipa (modul B) s skladnostjo s tipom na podlagi notranje kontrole proizvodnje (modul C), popolno zagotavljanje kakovosti (modul H) ali evropsko shemo kibernetske certifikacije |
| Pomembni izdelki, razred I | Priloga III | modul A, če proizvajalec v celoti uporabi harmonizirane standarde, skupne specifikacije ali evropsko shemo certifikacije z ravnjo zanesljivosti najmanj »znatna«; sicer modul B + C ali modul H s priglašenim organom |
| Pomembni izdelki, razred II | Priloga III | modul B + C, modul H ali evropska shema certifikacije z ravnjo zanesljivosti najmanj »znatna« – vedno s tretjo stranjo |
| Kritični izdelki | Priloga IV | evropska shema kibernetske certifikacije, kadar jo zahteva delegirani akt po 8(1). členu; sicer postopki kot za razred II |
- Odprtokodna programska oprema iz Priloge III lahko uporabi kateri koli postopek iz 32(1). člena, tudi modul A, če je tehnična dokumentacija ob dajanju na trg javno dostopna (32(5). člen).
- Pristojbine za ocenjevanje skladnosti se za mikro, mala in srednja podjetja sorazmerno znižajo (32(6). člen).
- Organe za ugotavljanje skladnosti je mogoče priglasiti od 11. 6. 2026 (71(2). člen).
Kaj velja že zdaj – od 11. 9. 2026?
Proizvajalci morajo prijavljati aktivno izkoriščene ranljivosti in hude incidente, ki vplivajo na varnost njihovih izdelkov. Prijava poteka prek enotne platforme za poročanje (ENISA) pristojni skupini CSIRT.
| Korak | Aktivno izkoriščena ranljivost | Hud incident |
|---|---|---|
| Zgodnje opozorilo | v 24 urah | v 24 urah |
| Obvestilo | v 72 urah | v 72 urah |
| Končno poročilo | najpozneje 14 dni po razpoložljivosti popravka | v enem mesecu |
Obveznost velja tudi za izdelke, dane na trg pred 11. 12. 2027 (69(3). člen). Podrobno v članku CRA: prijava ranljivosti.
Kaj mora biti urejeno do 11. 12. 2027?
- bistvene zahteve iz Priloge I – del I (lastnosti izdelka) in del II (obravnavanje ranljivosti);
- ocena tveganj kibernetske varnosti izdelka;
- seznam programskih komponent (SBOM);
- določeno obdobje podpore – praviloma najmanj pet let;
- tehnična dokumentacija (Priloga VII);
- ocenjevanje skladnosti – pri pomembnih in kritičnih izdelkih lahko s priglašenim organom;
- EU izjava o skladnosti in oznaka CE.
Kakšne so kazni po CRA?
Za kršitve bistvenih zahtev ter obveznosti iz 13. in 14. člena do 15 milijonov EUR ali 2,5 % skupnega svetovnega letnega prometa, pri čemer se uporabi višji znesek (64. člen).
Kako pomagamo proizvajalcem?
Razvrstitev izdelkov in vlog
Kateri izdelki so v obsegu, v katero kategorijo spadajo in ali ste proizvajalec, uvoznik ali distributer.
Takoj: prijava ranljivosti in incidentov
Proces prijave, politika usklajenega razkrivanja ranljivosti (CVD) in kontaktna točka za prijave.
Analiza vrzeli glede Priloge I
Primerjava izdelka in razvojnega procesa z bistvenimi zahtevami ter akcijski načrt do 11. 12. 2027.
SBOM in upravljanje ranljivosti v razvoju
Povezava z ISO/IEC 27001 (A.8.8, A.8.25–A.8.29) in z IEC 62443-4-1 za industrijske izdelke.
Tehnična dokumentacija in ocenjevanje skladnosti
Priprava dokumentacije po Prilogi VII, EU izjave o skladnosti in poti do oznake CE.
Kako se CRA povezuje z ISO 27001?
Sistem upravljanja varovanja informacij ureja organizacijo, CRA pa izdelek. Skupni procesi so upravljanje ranljivosti, varen razvoj, dobavitelji in incidenti – zato jih vzpostavimo enkrat in uporabimo za oboje. Več o uvedbi ISO/IEC 27001.
Kdo je za CRA pristojen v Sloveniji?
Osrednja točka za izvajanje CRA je URSIV (Sektor za certificiranje in skladnost). Prijave ranljivosti in hudih incidentov proizvajalcev s sedežem v Sloveniji prejema SI-CERT kot koordinator za usklajeno razkrivanje ranljivosti. Nadzor nad izdelki na trgu izvaja organ za nadzor trga, ki ga določa nacionalni izvedbeni predpis.
Pogosta vprašanja o CRA
Ali CRA velja za SaaS?
Čisti SaaS praviloma ni v obsegu. Izjema je rešitev za obdelavo podatkov na daljavo, ki je del izdelka z digitalnimi elementi – na primer oblačna storitev, brez katere naprava ne opravlja svoje funkcije.
Ali CRA velja tudi za izdelke, ki so že na trgu?
Za obveznost poročanja da. Po 69(3). členu se obveznost prijave aktivno izkoriščenih ranljivosti in hudih incidentov od 11. 9. 2026 uporablja tudi za izdelke, dane na trg pred 11. 12. 2027.
Kaj pa odprtokodna programska oprema?
Odprtokodna programska oprema, ki ni dana na trg v okviru gospodarske dejavnosti, ni v obsegu uredbe. Če odprtokodne komponente vgradite v svoj izdelek, ste za izdelek kot celoto odgovorni kot proizvajalec: pri vgradnji komponent tretjih oseb, tudi odprtokodnih, morate ravnati s potrebno skrbnostjo, jih vključiti v SBOM in upravljanje ranljivosti, ranljivost, ki jo odkrijete v komponenti, pa sporočiti tistemu, ki komponento vzdržuje (13. člen). Skrbniki odprtokodne programske opreme – pravne osebe, ki trajno podpirajo razvoj odprtokodnih izdelkov za gospodarsko rabo – imajo omejene obveznosti: dokumentirano politiko kibernetske varnosti, sodelovanje z organi za nadzor trga in omejeno obveznost prijave (24. člen).
Kaj CRA zahteva od uvoznikov in distributerjev?
Uvoznik sme dati na trg le izdelek, za katerega je proizvajalec izvedel ocenjevanje skladnosti in pripravil tehnično dokumentacijo; izdelek mora imeti oznako CE, EU izjavo o skladnosti in navodila (19. člen). Distributer pred dobavo preveri oznako CE in dokumente proizvajalca oziroma uvoznika (20. člen). Oba morata ob seznanitvi z ranljivostjo brez nepotrebnega odlašanja obvestiti proizvajalca, pri znatnem kibernetskem tveganju pa takoj tudi organe za nadzor trga. Uvoznik hrani EU izjavo o skladnosti najmanj 10 let oziroma do konca obdobja podpore, če je to daljše. Kdor izdelek da na trg pod svojim imenom ali blagovno znamko ali ga bistveno spremeni, prevzame obveznosti proizvajalca (21. člen).
Ali potrebujemo certifikat?
Proizvajalec izvede ocenjevanje skladnosti, sestavi EU izjavo o skladnosti in namesti oznako CE. Pri pomembnih in kritičnih izdelkih lahko ocenjevanje skladnosti vključuje priglašeni organ. Certifikat ISO/IEC 27001 ni pogoj, je pa dobra podlaga za procese, ki jih CRA zahteva.
Viri
- Uredba (EU) 2024/2847 o horizontalnih zahtevah glede kibernetske varnosti za izdelke z digitalnimi elementi (CRA), 13., 14., 19.–21., 24., 32., 64., 69. in 71. člen – EUR-Lex
- gov.si – Usklajeno razkrivanje ranljivosti in evropska podatkovna zbirka ranljivosti (1. 7. 2025)
- Zakon o informacijski varnosti (ZInfV-1), 17. in 59. člen – Uradni list RS
- URSIV – Sektor za certificiranje in skladnost
Zadnja posodobitev: · Pripravila ekipa Regulus Ai
Ali je vaš izdelek v obsegu CRA in kaj morate urediti najprej?
Preverite obseg