التزامات قانون الصمود السيبراني للمصنعين خارج الاتحاد الأوروبي

• ينطبق قانون CRA على المصنعين خارج الاتحاد الأوروبي الذين يبيعون في الاتحاد الأوروبي اعتبارًا من 11 سبتمبر 2026
• المادة 18: مطلوب ممثل مفوض في الاتحاد الأوروبي إذا لم يكن هناك منشأة في الاتحاد الأوروبي
• واجب الإبلاغ خلال 24 ساعة عن الثغرات المستغلة (المادة 14)
• مسار تقييم المطابقة يعتمد على فئة المنتج
• غرامات تصل إلى 15 مليون يورو أو 2.5% من حجم التداول عند الانتهاكات

محدث 18 October 2026 · 9 المصادر تم التحقق منها

المزودون المقارنون

الأسعار كما هي منشورة على موقع كل مزود في 18 October 2026، باستثناء ضريبة القيمة المضافة ما لم يُذكر خلاف ذلك. كل صف يرتبط بمصدره.

ما يتطلبه القانون (مع أرقام المواد)

قانون الصمود السيبراني (CRA) هو التنظيم الجديد للاتحاد الأوروبي للمنتجات التي تحتوي على عناصر رقمية، بما في ذلك الأجهزة والبرمجيات والمكونات. ينطبق على أي مصنع - بغض النظر عن الموقع - إذا تم طرح منتجاته في سوق الاتحاد الأوروبي. دخل القانون حيز التنفيذ في 10 ديسمبر 2024. تبدأ التزامات الإبلاغ في 11 سبتمبر 2026؛ والامتثال الكامل (بما في ذلك علامة CE وتقييم المطابقة) مطلوب اعتبارًا من 11 ديسمبر 2027.

• المادة 18: يجب على المصنعين خارج الاتحاد الأوروبي تعيين ممثل مفوض في الاتحاد الأوروبي لكل خط إنتاج، ما لم يكن لديهم منشأة في الاتحاد الأوروبي. يعمل هذا الممثل كنقطة اتصال رسمية للسلطات والمراقبة السوقية.
• المادة 14: يجب على المصنعين الإبلاغ عن الثغرات المستغلة بنشاط والحوادث الخطيرة التي تؤثر على أمان المنتج. الجدول الزمني صارم: تحذير مبكر خلال 24 ساعة، إشعار كامل خلال 72 ساعة، وتقرير نهائي خلال 14 يومًا بعد التخفيف أو الإبلاغ. تُدار منصة الإبلاغ من قبل ENISA، ويتحدد المستلم حسب دولة عضو الممثل.
• الملحقان الأول والثاني: يجب على المصنعين تلبية متطلبات الأمن السيبراني الأساسية، بما في ذلك معالجة الثغرات، التطوير الآمن حسب التصميم، وتعليمات واضحة للمستخدم بلغة مفهومة للمستخدمين والسلطات.
• تقييم المطابقة: تعتمد العملية المطلوبة على فئة المنتج. يمكن للمنتجات الافتراضية إجراء التقييم الذاتي؛ يجب على الفئة المهمة I استخدام المعايير الموحدة أو التقييم من طرف ثالث؛ تتطلب الفئة المهمة II والمنتجات الحرجة تقييم جهة معتمدة أو نظام شهادة.
• فترة الدعم: يجب على المصنعين توفير تحديثات الأمان ومعالجة الثغرات طوال فترة الدعم المعلنة (الحد الأدنى خمس سنوات).
• الإعفاءات: تعفى المؤسسات الصغيرة والمتناهية الصغر، وحراس المصادر المفتوحة، من الغرامات على الإبلاغ المتأخر ولكن يجب عليهم الامتثال للواجبات التقنية والإبلاغ.

يصبح المستوردون والموزعون مصنعين إذا طرحوا المنتجات تحت اسمهم الخاص أو عدلوا المنتجات بشكل جوهري. وإلا، يظل المصنع الأصلي مسؤولاً عن الامتثال لقانون CRA والإبلاغ.

كيفية اختيار ممثل CRA أو مزود الامتثال

اختيار ممثل المادة 18 المناسب أو مزود الامتثال أمر حاسم للمصنعين خارج الاتحاد الأوروبي. يختلف السوق بشكل كبير في الأسعار، الشفافية، والخدمات المشمولة. إليك ما يجب مراعاته:

• الكيان القانوني والموقع: تحقق من الكيان القانوني للمزود ومنشأه في الاتحاد الأوروبي. على سبيل المثال، REP27 هي Europe Services, SE، مقرها في براغ ومسجلة في السجل التجاري التشيكي. تحقق دائمًا قبل الدفع.
• نطاق التفويض: بعض المزودين يقدمون فقط تفويض المادة 18 (كما يتطلب القانون)، في حين يقدم آخرون خدمات إضافية مثل تمثيل GDPR أو NIS2. تأكد من أن التفويض يقتصر على المادة 18(3) (كما يجب) ولا يدعي تغطية واجبات محظورة بموجب المادة 18(2).
• شفافية التسعير: ابحث عن مزودين ينشرون أسعار السنة الأولى والتجديد. احذر من الأسعار التمهيدية الرمزية تليها تجديدات صامتة وأعلى. على سبيل المثال، REP27 يوضح أسعار التجديد جنبًا إلى جنب مع رسوم السنة الأولى.
• التحقق والدعم: تأكد من أن المزود يقدم شهادة قابلة للتحقق، طريقة تحقق عامة، ومكتب استقبال طلبات مدعوم. استفسر عن عملية تحويل طلبات السلطات أو CSIRT، اللغات المدعومة، وأوقات الاستجابة.
• الخدمات المجمعة: إذا كنت بحاجة أيضًا إلى تمثيل GDPR المادة 27 أو GPSR المادة 16، يقدم بعض المزودين (مثل REP27) حزمًا مجمعة بأسعار مخفضة.

مصفوفة القرار:

اطلب دائمًا تفويضًا مكتوبًا وشهادة قبل طرح المنتجات في سوق الاتحاد الأوروبي.

ما يشمله السعر فعلاً: مقارنة المزودين

تختلف الأسعار والخدمات المشمولة بشكل كبير. عادةً ما تكون تفويضات المادة 18 أقل تكلفة خارجية في الامتثال لـ CRA، لكن العديد من المزودين لا ينشرون التفاصيل كاملة. أدناه مقارنة لما يشمله، وما لا يشمله، أو قد يترتب عليه رسوم إضافية لكل مزود (حتى أكتوبر 2026):

بالنسبة لمعظم المصنعين، تفويض المادة 18 هو وثيقة من صفحة واحدة بالإضافة إلى واجب تحويل الطلبات. تقييم المطابقة، الاختبارات الفنية، وتوليد SBOM هي تكاليف منفصلة وليست مشمولة في رسوم الممثل الأساسية.

التكاليف الخفية والاستثناءات

بينما تفويض المادة 18 ضرورة قانونية، فهو جزء صغير فقط من إجمالي تكاليف الامتثال لـ CRA. العناصر الأكثر تكلفة — تقييم المطابقة، رسوم الجهة المعتمدة، التوثيق الفني، وفترة الدعم — غير مشمولة في معظم حزم الممثلين. إليك ما يجب الانتباه إليه:

• رسوم تقييم المطابقة: للمنتجات المهمة الفئة II أو الحرجة، قد تصل تكاليف الجهة المعتمدة أو نظام الشهادة إلى آلاف اليوروهات وتتطلب أشهرًا لإكمالها. يجب تخصيص ميزانية منفصلة لهذه.
• التوثيق الفني: يقدم مزودون مثل Reglyze وEmberKat توليد الملفات الفنية، استيراد SBOM، وتحليل فجوات التوثيق، لكنها ليست جزءًا من تفويضات الممثل القياسية.
• رسوم التجديد والطلبات: قد يفرض بعض المزودين رسوم تجديد أعلى أو رسومًا لكل طلب/تقرير. اطلب دائمًا تأكيدًا كتابيًا لأسعار التجديد وأي رسوم إضافية قبل التوقيع.
• فترات الإشعار وحدود المسؤولية: قد تؤدي التجديدات الصامتة وسياسات الإلغاء غير الواضحة إلى نفقات غير متوقعة. غالبًا ما يستثني الممثلون المسؤولية عن إخفاقات الامتثال أو يحدونها.
• تكاليف فترة الدعم: يتطلب القانون على الأقل خمس سنوات من تحديثات الأمان ومعالجة الثغرات، والتي يجب تخصيص موارد وميزانية لها مثل خط الإنتاج.

REP27 شفاف بشأن ما هو غير مشمول: الاستشارات القانونية، التقييم الفني، وتوليد SBOM خارج نطاق التفويض. وضح دائمًا الاستثناءات والتكاليف الخفية مع أي مزود.

كيفية التعيين: خطوة بخطوة

تعيين ممثل المادة 18 وتحقيق الامتثال لـ CRA يتطلب عدة خطوات عملية. إليك عملية قابلة للتنفيذ للمصنعين خارج الاتحاد الأوروبي:

1. تحديد ما إذا كانت منتجاتك ضمن النطاق: حدد جميع المنتجات التي تحتوي على عناصر رقمية (أجهزة، برمجيات، مكونات، أو حلول معالجة بيانات عن بُعد) والتي تُطرح في سوق الاتحاد الأوروبي.
2. تصنيف منتجاتك: استخدم تعريفات CRA لتحديد ما إذا كانت منتجاتك افتراضية، مهمة الفئة I/II، أو حرجة. يؤثر هذا على مسار تقييم المطابقة.
3. اختيار ممثل: اختر ممثل المادة 18 مع كيان قانوني قابل للتحقق في الاتحاد الأوروبي. أكد النطاق، التسعير، وشروط التجديد كتابةً.
4. توقيع التفويض: نفذ تفويضًا مكتوبًا (المادة 18(3)) مع المزود المختار. احصل على شهادة وطريقة تحقق عامة.
5. إعداد التوثيق: جمع التوثيق الفني (الملحق السابع)، SBOM، إعلان المطابقة للاتحاد الأوروبي، وتعليمات المستخدم باللغات المطلوبة.
6. إنشاء قناة إبلاغ 24 ساعة: تأكد من وجود قناة استقبال مدعومة للثغرات والحوادث. اكتب مسبقًا قوالب التحذير المبكر والإشعار.
7. التسجيل في ENISA: سجل المقدمين على منصة الإبلاغ الخاصة بـ ENISA. عيّن على الأقل شخصين من مناطق زمنية مختلفة.
8. تخصيص ميزانية للامتثال المستمر: خطط لتكاليف فترة الدعم (خمس سنوات على الأقل من التحديثات)، تقييم المطابقة (إذا لزم الأمر)، وصيانة التوثيق.
9. المراجعة والتحديث المنتظم: جدولة مراجعات دورية لوضع الامتثال، التوثيق، وعمليات الإبلاغ.

اتباع هذه القائمة يضمن استعدادك لمتطلبات قانون CRA القانونية والعملية.

المخاطر والغرامات عند عدم الامتثال

يقدم قانون CRA عقوبات كبيرة على عدم الامتثال. يمكن أن تؤدي الانتهاكات لمتطلبات الأمن السيبراني الأساسية أو التزامات المصنع إلى غرامات تصل إلى 15 مليون يورو أو 2.5% من إجمالي حجم التداول العالمي السنوي، أيهما أعلى. تنطبق هذه العقوبات على المصنعين داخل وخارج الاتحاد الأوروبي الذين يطرحون منتجات في السوق الأوروبية.

• فشل الإبلاغ: عدم الالتزام بموعد الإبلاغ خلال 24 ساعة يعرضك لإجراءات تنفيذية. المؤسسات الصغيرة والمتناهية الصغر، وحراس المصادر المفتوحة، معفون من الغرامات على الإبلاغ المتأخر ولكن ليس من واجب الإبلاغ نفسه.
• مخاطر الشراء والوصول للسوق: بدون ممثل المادة 18، قد تتعطل عمليات الشراء، وقد تُستبعد من مبيعات المؤسسات أو المناقصات العامة.
• إجراءات مراقبة السوق: قد تتخذ السلطات إجراءات ضد المصنعين غير الممتثلين، بما في ذلك سحب أو استدعاء المنتجات.
• مخاطر الموزع/المستورد: إذا لم تعين ممثلًا، قد يُعتبر المستورد أو الموزع في الاتحاد الأوروبي هو طريق الإبلاغ الافتراضي، مما قد يؤدي إلى فقدان السيطرة على اتصالات الامتثال.
• الإغفالات الصامتة: عدم تجديد التفويضات أو تحديث التوثيق يمكن أن يؤدي إلى ثغرات غير ملحوظة، مما يتركك معرضًا للإجراءات التنفيذية دون تحذير.

الامتثال الفعال لا يقتصر على تجنب الغرامات فقط، بل يشمل ضمان الوصول المستمر للسوق والحفاظ على الثقة مع العملاء والشركاء.

ما لا يقوله المزودون عادةً

يركز العديد من المزودين على الضرورة القانونية لتفويض المادة 18 لكن قد لا يكشفون الصورة الكاملة. إليك ما يُغفل غالبًا:

• نطاق التفويض: يقتصر تفويض المادة 18 على تحويل الطلبات والعمل كنقطة اتصال. لا يشمل الاستشارات القانونية، التقييم الفني، أو توليد SBOM إلا إذا ذُكر صراحة.
• تقييم المطابقة: للمنتجات المهمة الفئة II والحرجة، تكاليف الجهة المعتمدة أو نظام الشهادة أعلى بكثير من رسوم الممثل وقد تتطلب أشهرًا لإكمالها. لا تُدرج هذه أبدًا في التفويضات الأساسية.
• فترة الدعم: يتطلب القانون على الأقل خمس سنوات من تحديثات الأمان ومعالجة الثغرات، وهو تكلفة تشغيلية كبيرة غير مغطاة بأي خدمة ممثل.
• شروط التجديد والإشعار: يستخدم بعض المزودين أسعارًا منخفضة للسنة الأولى مع تجديدات أعلى بكثير أو يشترطون فترات إشعار طويلة للإلغاء. احصل دائمًا على شروط التجديد كتابةً.
• المسؤولية: يستثني الممثلون عادة المسؤولية عن إخفاقات الامتثال. يظل المصنع مسؤولًا عن جميع الالتزامات بموجب CRA.

الشفافية بشأن ما هو غير مشمول مهمة بقدر أهمية ما هو مشمول. اطلب دائمًا قائمة كاملة بالاستثناءات ووضح دور المزود قبل التوقيع.

سيناريوهات واقعية: أي مسار ينطبق؟

• شركة SaaS أمريكية: مزود SaaS مقيم في الولايات المتحدة يبيع البرمجيات مباشرة لعملاء الاتحاد الأوروبي. يجب على الشركة تعيين ممثل المادة 18، إعداد التوثيق الفني وSBOM، وإنشاء قناة إبلاغ 24 ساعة. إذا كان المنتج فئة افتراضية، قد يكفي التقييم الذاتي؛ إذا كان مهمًا أو حرجًا، يلزم جهة معتمدة. أبسط مسار هو تعيين ممثل (مثل REP27)، إعداد التوثيق، والتسجيل في ENISA.
• بائع أمازون صيني: مصنع في الصين يبيع أجهزة إنترنت الأشياء تحت اسمه على أمازون لمشترين في الاتحاد الأوروبي. يجب على البائع تعيين ممثل المادة 18 والامتثال لجميع متطلبات CRA. إذا طرح المنتج في السوق من قبل مستورد مقيم في الاتحاد الأوروبي، قد يتحمل المستورد الالتزامات. إذا لم يكن كذلك، يجب على المصنع الأصلي التعامل مع الإبلاغ والتوثيق.
• متجر إلكتروني بريطاني: تاجر تجزئة مقيم في المملكة المتحدة يشحن أجهزة متصلة لعملاء الاتحاد الأوروبي. يجب على التاجر تعيين ممثل المادة 18، إعداد الملفات الفنية، وضمان وجود عملية إبلاغ عن الثغرات خلال 24 ساعة. إذا كان البيع عبر موزع في الاتحاد الأوروبي يطرح المنتج باسمه، يتحمل الموزع الالتزامات؛ وإلا، يظل التاجر البريطاني مسؤولاً.

في جميع السيناريوهات، المفتاح هو رسم خريطة قنوات البيع، تحديد من يطرح المنتج في السوق، وتعيين ممثل إذا لزم الأمر. هذا يمنع تأخيرات الشراء، يضمن الامتثال، ويتجنب الغرامات.

قائمة التحقق: كيف تصبح ملتزمًا اليوم

1. ارسم خريطة قنوات مبيعاتك في الاتحاد الأوروبي وحدد جميع المنتجات التي تحتوي على عناصر رقمية.
2. صنف كل منتج (افتراضي، مهم I/II، حرج) بناءً على تعريفات CRA.
3. حدد ما إذا كنت بحاجة إلى ممثل المادة 18 (مطلوب للمصنعين خارج الاتحاد الأوروبي).
4. اطلب تفويضًا مكتوبًا وشهادة من المزود الذي تختاره (مثل REP27، kadano، Euverify).
5. أعد التوثيق الفني: ملف الملحق السابع، SBOM، إعلان المطابقة للاتحاد الأوروبي، تعليمات المستخدم بلغات الاتحاد الأوروبي.
6. أنشئ قناة إبلاغ مدعومة على مدار 24 ساعة للثغرات. اكتب مسبقًا قوالب التحذير المبكر والإشعار.
7. سجل على الأقل مقدمين اثنين على منصة الإبلاغ الخاصة بـ ENISA (من مناطق زمنية مختلفة إذا أمكن).
8. خصص ميزانية للجهة المعتمدة أو نظام الشهادة إذا كان منتجك مهم الفئة II أو حرج.
9. أعلن وخصص موارد لفترة دعم لا تقل عن خمس سنوات لتحديثات الأمان ومعالجة الثغرات.
10. حدد مواعيد للمراجعات الدورية للامتثال وتحديث التوثيق.

اتباع هذه الخطوات يضمن استعدادك لمواعيد تنفيذ CRA في 2026-2027 وتجنب فجوات الامتثال المكلفة.