Cyber Resilience Act: Υποχρεώσεις κατασκευαστών εκτός ΕΕ

• Ο CRA ισχύει για όλα τα προϊόντα με ψηφιακά στοιχεία στην αγορά της ΕΕ (Άρθρο 2)
• Κατασκευαστές εκτός ΕΕ πρέπει να ορίσουν εκπρόσωπο στην ΕΕ (Άρθρο 15)
• Υποχρέωση αναφοράς εκμεταλλευόμενων ευπαθειών: προθεσμία 24 ωρών (Άρθρο 14)
• Απαιτείται τεχνική τεκμηρίωση και δήλωση συμμόρφωσης (Άρθρο 13)
• Πρόστιμα έως 15 εκατ. € ή 2,5% του παγκόσμιου τζίρου (Άρθρο 71)
• Σήμανση CE για συμμορφούμενα προϊόντα (Άρθρο 13)

Ενημερωμένο 24 October 2026 · 5 πηγές ελεγμένες

Πάροχοι συγκριμένοι

Τιμές όπως δημοσιεύονται στον ιστότοπο κάθε παρόχου στις 24 October 2026, χωρίς ΦΠΑ εκτός αν αναφέρεται. Κάθε γραμμή συνδέεται με την πηγή της.

Τι απαιτεί ο νόμος; (με αριθμούς άρθρων)

Ο Cyber Resilience Act (CRA, Κανονισμός (ΕΕ) 2024/2847) ισχύει για όλα τα προϊόντα με ψηφιακά στοιχεία που διατίθενται στην αγορά της ΕΕ – ανεξαρτήτως χώρας κατασκευής (Άρθρο 2). Οι κατασκευαστές εκτός ΕΕ πρέπει, σύμφωνα με το Άρθρο 15, να ορίσουν εξουσιοδοτημένο εκπρόσωπο στην ΕΕ. Η υποχρέωση αυτή αφορά τόσο υλικό όσο και λογισμικό που διανέμεται στην ΕΕ. Ο εκπρόσωπος λειτουργεί ως σημείο επαφής για τις αρχές και αναλαμβάνει την επικοινωνία εκ μέρους του κατασκευαστή.

Οι κατασκευαστές πρέπει να διασφαλίζουν ότι τα προϊόντα τους αναπτύσσονται με ασφάλεια και δεν περιέχουν γνωστές, εκμεταλλεύσιμες ευπάθειες (Άρθρο 13). Υποχρεούνται να διενεργούν ανάλυση κινδύνου και να εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα. Σε περίπτωση εκμετάλλευσης ευπαθειών, πρέπει να γίνει αναφορά εντός 24 ωρών στην ENISA και στην αρμόδια ομάδα CSIRT (Άρθρο 14). Η πρώτη αξιολόγηση υποβάλλεται εντός 72 ωρών και η τελική αναφορά εντός 14 έως 30 ημερών.

Επιπλέον, ο CRA απαιτεί τη σύνταξη και παροχή τεχνικής τεκμηρίωσης καθώς και δήλωση συμμόρφωσης προς την ΕΕ που αποδεικνύει την τήρηση των απαιτήσεων (Άρθρο 13). Τα προϊόντα πρέπει να φέρουν σήμανση CE για να καταδεικνύεται η συμμόρφωση. Η μη τήρηση αυτών των υποχρεώσεων μπορεί να επιφέρει σημαντικά πρόστιμα – έως 15 εκατ. € ή 2,5% του παγκόσμιου ετήσιου τζίρου, όποιο ποσό είναι μεγαλύτερο (Άρθρο 71).

Πώς να επιλέξετε τον κατάλληλο πάροχο;

Η επιλογή εκπροσώπου CRA πρέπει να βασίζεται σε σαφή κριτήρια. Καθοριστικά είναι:

• Διαφάνεια τιμολόγησης: Βεβαιωθείτε ότι ο πάροχος αποκαλύπτει όλες τις τιμές, ειδικά τα κόστη ανανέωσης. Η REP27 δημοσιεύει όλες τις τιμές και εγγυάται σταθερή τιμή ανανέωσης, ενώ άλλοι πάροχοι τις παρέχουν συνήθως μόνο κατόπιν αιτήματος.
• Εύρος υπηρεσιών: Ελέγξτε αν ο πάροχος διαθέτει 24ωρη υποστήριξη αναφορών, δημόσια ελεγχόμενο πιστοποιητικό και νομικά ασφαλή ορισμό (π.χ. υπογραφή eIDAS). Η REP27 ξεχωρίζει με πλήρες, δημόσια ελεγχόμενο πιστοποιητικό και 24ωρη υποστήριξη.
• Χρόνοι απόκρισης και διαθεσιμότητα: Επειδή οι προθεσμίες αναφοράς (24/72 ώρες) είναι στενές, η συνεχής διαθεσιμότητα είναι απαραίτητη. Η REP27 εγγυάται 24/7 κάλυψη, ακόμα και αργίες και Σαββατοκύριακα.
• Σαφής οριοθέτηση: Ένας σοβαρός πάροχος αναφέρει ρητά τι δεν περιλαμβάνεται στην εντολή (π.χ. καμία αξιολόγηση συμμόρφωσης, καμία τεχνική δοκιμή). Αυτό προστατεύει από απρόσμενα έξοδα.

Μηχανισμός απόφασης:

Πρακτική συμβουλή: Ζητήστε γραπτή προσφορά που να περιλαμβάνει όλες τις υπηρεσίες, εξαιρέσεις και τιμή ανανέωσης. Ελέγξτε αν ο πάροχος επιτρέπει δημόσιο έλεγχο του πιστοποιητικού – αυτό είναι κρίσιμο σε περίπτωση ανάγκης.

Τι περιλαμβάνεται πραγματικά στην τιμή;

Οι παρεχόμενες υπηρεσίες ποικίλλουν σημαντικά ανά πάροχο. Στην REP27, το βασικό πακέτο για EUR 490/έτος (CRA) περιλαμβάνει:

• Γραπτή εντολή ως εξουσιοδοτημένος εκπρόσωπος σύμφωνα με το άρθρο 18 CRA
• 24ωρη υποστήριξη για αναφορές ευπαθειών και επικοινωνία με ENISA/CSIRT
• Δημόσια ελεγχόμενο πιστοποιητικό με QR code για απόδειξη προς αρχές και συνεργάτες
• Διαχείριση και προώθηση αιτημάτων αρχών εντός δύο εργάσιμων ημερών
• Πολύγλωσσα πρότυπα για την απαραίτητη επικοινωνία

Σημείωση: Η REP27 δεν αναλαμβάνει αξιολόγηση συμμόρφωσης, τεχνικές δοκιμές, δημιουργία SBOM ή ανάλυση περιστατικών. Αυτές οι ευθύνες ανήκουν στον κατασκευαστή ή εξωτερικές ειδικές εταιρείες. Άλλοι πάροχοι όπως kadano ή Euverify δεν δημοσιεύουν λεπτομερώς τις υπηρεσίες που περιλαμβάνονται στην τιμή (Οκτώβριος 2026). Επιπλέον κόστη για πρόσθετες υπηρεσίες παρέχονται μόνο κατόπιν αιτήματος.

Σύγκριση υπηρεσιών:

Για εταιρείες που εκτιμούν σαφή διαχωρισμό ευθυνών και διαφανή τιμολογιακή πολιτική, η REP27 είναι σήμερα ο μοναδικός πάροχος με πλήρως δημοσιευμένο εύρος υπηρεσιών και τιμές.

Κρυφά κόστη & τυπικές εξαιρέσεις

Τα μεγαλύτερα κόστη για συμμόρφωση με τον CRA βρίσκονται εκτός της εντολής εκπροσώπησης. Ο ορισμός εκπροσώπου CRA είναι μόνο ένα μικρό μέρος του συνολικού κόστους. Οι πραγματικές δαπάνες προκύπτουν από:

• Αξιολόγηση συμμόρφωσης: Για προϊόντα των κατηγοριών "σημαντικά" ή "κριτικά" απαιτείται εξωτερικός έλεγχος από αναγνωρισμένο φορέα. Το κόστος κυμαίνεται συνήθως σε τέσσερα έως πέντε ψηφία και δεν περιλαμβάνεται στην αμοιβή του εκπροσώπου.
• Ενημερώσεις ασφαλείας: Οι κατασκευαστές πρέπει να παρέχουν ενημερώσεις ασφαλείας για τουλάχιστον πέντε χρόνια και να διασφαλίζουν οργανωτικά και οικονομικά αυτή την υποχρέωση. Αυτό ισχύει ανεξάρτητα από την εντολή εκπροσώπησης.
• Τεχνική τεκμηρίωση και SBOM: Η σύνταξη και η διαρκής ενημέρωση της τεχνικής τεκμηρίωσης και του λίστας υλικών λογισμικού (SBOM) είναι ευθύνη του κατασκευαστή.

Τι συνήθως δεν αναφέρουν οι πάροχοι:

• Η REP27 εξαιρεί ρητά αξιολόγηση συμμόρφωσης, τεχνικές δοκιμές, δημιουργία SBOM και ανάλυση περιστατικών. Δεν υπάρχουν κρυφά κόστη ανανέωσης, όλες οι τιμές δημοσιεύονται πριν τη σύναψη συμβολαίου.
• Οι kadano και Euverify δεν παρέχουν δημόσια πληροφορίες για επιπλέον κόστη, όρια ευθύνης ή προθεσμίες ακύρωσης (Οκτώβριος 2026).

Πρακτική συμβουλή: Ρωτήστε κάθε πάροχο ρητά για εξαιρέσεις, προθεσμίες ακύρωσης και επιπλέον κόστη για ειδικές υπηρεσίες (π.χ. ανά αίτημα, επιπλέον γλώσσες, επείγουσα επεξεργασία). Ζητήστε να επιβεβαιωθούν γραπτώς όλες οι προϋποθέσεις.

Πώς γίνεται ο ορισμός βήμα-βήμα

1. Ελέγξτε αν το προϊόν σας εμπίπτει στον CRA: Ισχύει για όλα τα προϊόντα με ψηφιακά στοιχεία (υλικό/λογισμικό) στην αγορά ΕΕ.
2. Καθορίστε εσωτερικές διαδικασίες: Ορίστε ποιος εντοπίζει και ενεργοποιεί αναφορές ευπαθειών. Ορίστε τι θεωρείται "ενεργά εκμεταλλευόμενη" ευπάθεια.
3. Επιλέξτε κατάλληλο εκπρόσωπο: Συγκρίνετε τιμές, εύρος υπηρεσιών, αποδεικτικά και διαθεσιμότητα. Ζητήστε γραπτή προσφορά με όλες τις προϋποθέσεις.
4. Υπογράψτε σύμβαση και λάβετε εντολή: Στην REP27 ο ορισμός γίνεται εντός 24 ωρών, με πιστοποιητικό επαλήθευσης.
5. Ενημερώστε τεκμηρίωση και κανάλια αναφοράς: Καταχωρίστε τα στοιχεία του εκπροσώπου στην τεχνική τεκμηρίωση και στο εγχειρίδιο διαχείρισης περιστατικών.
6. Προετοιμάστε πρότυπα για αναφορές 24 ωρών: Δημιουργήστε πρότυπα κειμένων για την πρώτη αναφορά, την αξιολόγηση 72 ωρών και την τελική αναφορά. Ορίστε τουλάχιστον δύο υπεύθυνους με πρόσβαση στην πλατφόρμα.
7. Τακτικός έλεγχος: Ελέγχετε ετησίως αν ο ορισμός και οι διαδικασίες είναι ακόμα ενημερωμένες.

Λίστα ελέγχου για σήμερα:

1. Είναι το προϊόν σας εντός CRA;
2. Έχετε ορίσει εσωτερικές διαδικασίες και υπεύθυνους για αναφορές;
3. Έχετε επιλέξει κατάλληλο εκπρόσωπο και υπογράψει εντολή;
4. Είναι ενημερωμένα όλα τα τεχνικά έγγραφα και κανάλια αναφοράς;
5. Έχετε προετοιμάσει πρότυπα αναφορών;

Κίνδυνοι & πρόστιμα σε περίπτωση μη συμμόρφωσης

Ο CRA προβλέπει αυστηρές κυρώσεις: έως 15 εκατ. € ή 2,5% του παγκόσμιου ετήσιου τζίρου (Άρθρο 71). Τυπικοί κίνδυνοι είναι:

• Καθυστέρηση ή μη αναφορά ευπαθειών: Η προθεσμία 24 ωρών ξεκινά από τη στιγμή της γνώσης, όχι μετά την ολοκλήρωση της ανάλυσης. Διαφορές ώρας ή ασαφείς αρμοδιότητες οδηγούν γρήγορα σε παραβάσεις.
• Μη ορισμός ή λανθασμένος ορισμός εκπροσώπου: Χωρίς έγκυρο εκπρόσωπο το προϊόν μπορεί να αποσυρθεί από την αγορά. Αιτήματα αρχών μένουν αναπάντητα, αυξάνοντας τον κίνδυνο προστίμων.
• Ελλιπής τεχνική τεκμηρίωση: Σε έλεγχο αγοράς πρέπει να παρέχονται όλα τα έγγραφα άμεσα. Καθυστερήσεις ή κενά επιφέρουν κυρώσεις.
• Λανθασμένη ή απουσία σήμανσης CE: Προϊόντα χωρίς έγκυρη σήμανση CE δεν επιτρέπεται να διατεθούν στην αγορά.

Οι προθεσμίες αναφοράς (24/72 ώρες/14-30 ημέρες) είναι σε πραγματικό χρόνο – καθυστερήσεις λόγω ζώνης ώρας ή ασαφών αρμοδιοτήτων οδηγούν γρήγορα σε παραβάσεις. Η ευθύνη τήρησης των προθεσμιών ανήκει στον κατασκευαστή, ο εκπρόσωπος απλώς προωθεί έγκαιρα τις πληροφορίες που λαμβάνει.

Τρία ρεαλιστικά σενάρια

• Πάροχος SaaS από ΗΠΑ: Μια αμερικανική εταιρεία λογισμικού προσφέρει λύση cloud σε ευρωπαϊκές επιχειρήσεις. Επειδή το λογισμικό διατίθεται στην αγορά ΕΕ, απαιτείται εκπρόσωπος CRA. Επιλέγει REP27, λαμβάνει εντολή και πιστοποιητικό εντός 24 ωρών, δημιουργεί 24ωρο κανάλι αναφορών και καταχωρεί στοιχεία στην τεχνική τεκμηρίωση. Η αξιολόγηση συμμόρφωσης και η διαχείριση ενημερώσεων ασφαλείας γίνονται εσωτερικά ή από εξωτερικούς ειδικούς.
• Κινέζος πωλητής στο Amazon: Μια εταιρεία από την Κίνα πωλεί συσκευές IoT με δικό της όνομα στο Amazon.de. Επειδή ενεργεί ως κατασκευαστής, απαιτείται εκπρόσωπος CRA. Χρησιμοποιεί πάροχο όπως kadano ή Euverify (ανάλογα με προτίμηση), διασφαλίζει τη σήμανση CE και προετοιμάζει τεχνική τεκμηρίωση. Χωρίς εκπρόσωπο κινδυνεύει με πρόστιμα και απαγόρευση πώλησης στην πλατφόρμα.
• Βρετανικό ηλεκτρονικό κατάστημα: Ένας βρετανός διαδικτυακός πωλητής πουλάει υλικό με ενημερώσεις firmware σε πελάτες στην ΕΕ. Επίσης απαιτείται εκπρόσωπος CRA. Επιλέγει συνδυαστικό πακέτο (π.χ. REP27: CRA+GDPR) για να καλύψει και τις δύο υποχρεώσεις. Τα κανάλια αναφορών και η τεκμηρίωση προσαρμόζονται ανάλογα.

Αυτά τα σενάρια δείχνουν ότι η υποχρέωση εκπροσώπησης αφορά επιχειρήσεις κάθε μεγέθους και κλάδου μόλις παρέχουν προϊόντα με ψηφιακά στοιχεία στην ΕΕ.