قانون المرونة السيبرانية: التزامات المصنعين خارج الاتحاد الأوروبي

• ينطبق CRA على جميع المنتجات التي تحتوي على عناصر رقمية في سوق الاتحاد الأوروبي (المادة 2)
• يجب على المصنعين خارج الاتحاد الأوروبي تعيين ممثل في الاتحاد الأوروبي (المادة 15)
• التزام بالإبلاغ عن الثغرات التي يتم استغلالها خلال 24 ساعة (المادة 14)
• مطلوب وثائق تقنية وإقرار المطابقة (المادة 13)
• غرامات تصل إلى 15 مليون يورو أو 2.5% من الإيرادات العالمية (المادة 71)
• وضع علامة CE على المنتجات المطابقة (المادة 13)

محدث 24 October 2026 · 5 المصادر تم التحقق منها

المزودون المقارنون

الأسعار كما هي منشورة على موقع كل مزود في 24 October 2026، باستثناء ضريبة القيمة المضافة ما لم يُذكر خلاف ذلك. كل صف يرتبط بمصدره.

ما الذي يطلبه القانون؟ (مع أرقام المواد)

ينطبق قانون المرونة السيبرانية (CRA، اللائحة (الاتحاد الأوروبي) 2024/2847) على جميع المنتجات التي تحتوي على عناصر رقمية والمقدمة في سوق الاتحاد الأوروبي – بغض النظر عن بلد التصنيع (المادة 2). يجب على المصنعين خارج الاتحاد الأوروبي تعيين ممثل مفوض داخل الاتحاد الأوروبي وفقًا للمادة 15. يشمل هذا الالتزام كل من الأجهزة والبرمجيات التي تُوزع في الاتحاد الأوروبي. يعمل الممثل كنقطة اتصال للسلطات ويتولى التواصل نيابة عن المصنع.

يجب على المصنعين ضمان تطوير منتجاتهم بشكل آمن وخلوها من الثغرات المعروفة والقابلة للاستغلال (المادة 13). وهم ملزمون بإجراء تحليل للمخاطر وتنفيذ تدابير تقنية وتنظيمية مناسبة. في حالة وجود ثغرات يتم استغلالها فعليًا، يجب الإبلاغ عنها خلال 24 ساعة إلى ENISA وCSIRT المختص (المادة 14). يجب تقديم تقييم أولي خلال 72 ساعة وتقرير نهائي خلال 14 إلى 30 يومًا.

بالإضافة إلى ذلك، يتطلب CRA إعداد وتوفير الوثائق التقنية وإقرار المطابقة للاتحاد الأوروبي الذي يثبت الامتثال للمتطلبات (المادة 13). يجب أن تحمل المنتجات علامة CE لإظهار المطابقة. يمكن أن تؤدي عدم الامتثال إلى فرض غرامات كبيرة تصل إلى 15 مليون يورو أو 2.5% من الإيرادات السنوية العالمية، أيهما أعلى (المادة 71).

كيف تختار المزود المناسب؟

يجب أن تستند اختيار ممثل CRA إلى معايير واضحة. العوامل الحاسمة هي:

• شفافية هيكل التسعير: تأكد من أن المزود يكشف عن جميع الأسعار، خاصة تكاليف التجديد. تنشر REP27 جميع الأسعار وتضمن سعر تجديد ثابت، بينما يقدم الآخرون هذه المعلومات عادة عند الطلب فقط.
• نطاق الخدمات: تحقق مما إذا كان المزود يقدم مكتب استقبال 24 ساعة للإبلاغات، شهادة يمكن فحصها علنًا، وتعيين قانوني (مثل توقيع eIDAS). تبرز REP27 بشهادة كاملة يمكن فحصها علنًا ومكتب استقبال 24 ساعة.
• أوقات الاستجابة والتوافر: نظرًا لضيق مهل الإبلاغ (24/72 ساعة)، فإن التوفر المستمر ضروري. تضمن REP27 التواجد على مدار الساعة طوال أيام الأسبوع، بما في ذلك العطلات ونهايات الأسبوع.
• تحديد واضح للحدود: يوضح المزود الموثوق بوضوح ما لا يشمله التفويض (مثل عدم وجود تقييم مطابقة أو اختبارات تقنية) لحماية العملاء من المفاجآت لاحقًا.

مصفوفة القرار:

نصيحة عملية: احصل على عرض مكتوب يوضح جميع الخدمات والاستثناءات وسعر التجديد. تحقق مما إذا كان المزود يسمح بفحص الشهادة علنًا – هذا أمر حاسم في الحالات الطارئة.

ما الذي يشمله السعر فعلاً؟

تختلف الخدمات المشمولة في السعر بشكل كبير حسب المزود. يشمل باقة REP27 الأساسية مقابل EUR 490/سنة (CRA) الخدمات التالية:

• تفويض مكتوب كممثل مفوض وفق المادة 18 من CRA
• مكتب استقبال 24 ساعة للإبلاغ عن الثغرات والتواصل مع ENISA/CSIRT
• شهادة يمكن فحصها علنًا مع رمز QR لإثبات أمام السلطات والشركاء التجاريين
• إدارة وتحويل طلبات السلطات خلال يومي عمل
• نماذج متعددة اللغات للاتصالات الضرورية

مهم: لا تقدم REP27 تقييم المطابقة، ولا الاختبارات التقنية، ولا إنشاء SBOM، ولا تحليل الحوادث. تقع هذه المهام على عاتق المصنع أو شركات متخصصة خارجية. لا تنشر kadano وEuverify تفاصيل الخدمات المشمولة في مواقعهم (حتى أكتوبر 2026). يمكن معرفة التكاليف الإضافية فقط عند الطلب.

مقارنة الخدمات:

لشركات تقدر الفصل الواضح للمسؤوليات والشفافية في التسعير، REP27 هو المزود الوحيد حاليًا الذي ينشر كامل نطاق الخدمات وهيكل الأسعار.

التكاليف المخفية والاستثناءات النموذجية

أكبر عوامل التكلفة في الامتثال لـ CRA تقع خارج نطاق تفويض التمثيل. تعيين ممثل CRA هو جزء صغير فقط من التكاليف الإجمالية. تنشأ الجهود الحقيقية من:

• تقييم المطابقة: للمنتجات من الفئات "المهمة" أو "الحرجة"، مطلوب فحص خارجي من جهة معتمدة. تكاليف هذا عادة ما تكون بأربعة إلى خمسة أرقام وليست مشمولة في أتعاب الممثل.
• تحديثات الأمان: يجب على المصنعين توفير تحديثات أمان لمدة لا تقل عن خمس سنوات وتأمين ذلك تنظيميًا وماليًا. هذا الالتزام مستقل عن تفويض التمثيل.
• الوثائق التقنية وSBOM: إعداد وصيانة الوثائق التقنية وقائمة مكونات البرمجيات (SBOM) هي مسؤولية المصنع.

ما لا يقوله المزودون عادة:

• تستثني REP27 صراحة تقييم المطابقة، والاختبارات التقنية، وإنشاء SBOM، وتحليل الحوادث. لا توجد تكاليف تجديد مخفية، وجميع الأسعار منشورة قبل توقيع العقد.
• لا تتوفر تفاصيل حول التكاليف الإضافية، حدود المسؤولية، أو شروط الإلغاء لدى kadano وEuverify علنًا (حتى أكتوبر 2026).

نصيحة عملية: اسأل كل مزود صراحة عن الاستثناءات، فترات الإلغاء، والتكاليف الإضافية للخدمات الخاصة (مثل الطلبات الإضافية، اللغات الإضافية، المعالجة العاجلة). احصل على جميع الشروط مكتوبة.

كيف يتم التعيين خطوة بخطوة

1. تحقق مما إذا كان منتجك يخضع لـ CRA: ينطبق على جميع المنتجات التي تحتوي على عناصر رقمية (أجهزة/برمجيات) في سوق الاتحاد الأوروبي.
2. حدد العمليات الداخلية: عرّف من يكتشف ويطلق تقارير الثغرات. حدد ما يُعتبر "استغلالًا فعليًا".
3. اختر ممثلًا مناسبًا: قارن الأسعار، نطاق الخدمات، إثبات الهوية، والتوافر. اطلب عرضًا مكتوبًا بجميع الشروط.
4. أبرم العقد واحصل على التفويض: مع REP27 يتم التعيين خلال 24 ساعة، مع شهادة قابلة للتحقق.
5. حدّث الوثائق وقنوات الإبلاغ: أدخل بيانات الاتصال بالممثل في الوثائق التقنية ودليل التعامل مع الحوادث.
6. جهز نماذج للإبلاغ خلال 24 ساعة: أنشئ نصوصًا قياسية للتقرير الأولي، التقييم خلال 72 ساعة، والتقرير النهائي. عيّن مسؤولين اثنين على الأقل مع وصول للمنصة.
7. راجع بانتظام: تحقق سنويًا من صحة التعيين والعمليات.

قائمة التحقق لليوم:

1. هل يخضع منتجك لـ CRA؟
2. هل حددت عمليات ومسؤولين للإبلاغ؟
3. هل اخترت ممثلًا مناسبًا ووقعت التفويض؟
4. هل تم تحديث الوثائق وقنوات الإبلاغ؟
5. هل جهزت نماذج الإبلاغ؟

المخاطر والغرامات عند عدم الالتزام

ينص CRA على عقوبات صارمة: تصل إلى 15 مليون يورو أو 2.5% من الإيرادات السنوية العالمية (المادة 71). المخاطر النموذجية تشمل:

• تأخير أو عدم الإبلاغ عن الثغرات: تبدأ مهلة 24 ساعة من وقت المعرفة، وليس بعد الانتهاء من التحليل. الفروق الزمنية أو عدم وضوح المسؤوليات تؤدي بسرعة إلى مخالفات.
• عدم تعيين ممثل أو تعيين خاطئ: قد يُسحب المنتج من السوق بدون ممثل صالح. طلبات السلطات قد لا تُجاب، مما يزيد خطر الغرامات.
• وثائق تقنية ناقصة: يجب تقديم جميع الوثائق فورًا أثناء المراقبة السوقية. التأخير أو النقص يؤدي إلى عقوبات.
• علامة CE خاطئة أو مفقودة: لا يجوز تسويق المنتجات بدون علامة CE صالحة.

تعمل مهل الإبلاغ (24/72 ساعة/14-30 يومًا) في الوقت الحقيقي – التأخيرات بسبب فروق التوقيت أو عدم وضوح المسؤوليات تؤدي بسرعة إلى مخالفات. تقع مسؤولية الالتزام بالمواعيد على المصنع، والممثل ينقل فقط ما يتلقاه في الوقت المناسب.

ثلاث سيناريوهات واقعية

• مزود SaaS أمريكي: شركة برمجيات أمريكية تقدم حل سحابي للشركات الأوروبية. بما أن البرنامج يُقدم في سوق الاتحاد الأوروبي، يجب تعيين ممثل CRA. يختار المزود REP27، يحصل على التفويض والشهادة خلال 24 ساعة، ينشئ قناة إبلاغ 24 ساعة، ويسجل بيانات الاتصال في الوثائق التقنية. يتم تقييم المطابقة وتحديثات الأمان داخليًا أو عبر شركات متخصصة خارجية.
• تاجر أمازون صيني: شركة صينية تبيع أجهزة إنترنت الأشياء تحت علامتها الخاصة على Amazon.de. نظرًا لكونها مصنّعًا، يلزم وجود ممثل CRA. يستخدم التاجر مزودًا مثل kadano أو Euverify حسب التفضيل، يضمن علامة CE، ويجهز الوثائق التقنية. بدون ممثل، يواجه غرامات ومنعًا من البيع في السوق.
• متجر إلكتروني بريطاني: تاجر إلكتروني بريطاني يبيع أجهزة مع تحديثات البرامج الثابتة لعملاء الاتحاد الأوروبي. أيضًا، يلزم ممثل CRA. يختار التاجر باقة مركبة (مثل REP27: CRA+GDPR) لتغطية التزامات CRA وGDPR. يتم تعديل قنوات الإبلاغ والوثائق وفقًا لذلك.

تُظهر هذه السيناريوهات أن التزام التمثيل يشمل شركات من جميع الأحجام والقطاعات بمجرد توريد منتجات تحتوي على عناصر رقمية إلى الاتحاد الأوروبي.