खरीदार की गाइड

EU के बाहर निर्माताओं के लिए साइबर रेज़िलिएंस एक्ट जिम्मेदारियां

संक्षिप्त उत्तर: EU में डिजिटल तत्वों वाले उत्पाद बेचने वाले गैर-EU निर्माता साइबर रेज़िलिएंस एक्ट (CRA) का पालन करना अनिवार्य है। इसमें EU अधिकृत प्रतिनिधि नियुक्त करना (लेख 18), साइबर सुरक्षा और दस्तावेज़ीकरण आवश्यकताओं को पूरा करना, और 24 घंटे के भीतर शोषित कमजोरियों की रिपोर्टिंग शामिल है। अनुपालन न करने पर जुर्माना €15 मिलियन या वैश्विक कारोबार का 2.5% तक हो सकता है। नीचे प्रदाताओं की तुलना, अनुपालन के चरण और व्यावहारिक परिदृश्य देखें।

CRA 11 सितंबर 2026 से EU में बिक्री करने वाले गैर-EU निर्माताओं पर लागू होता है
लेख 18: यदि EU में कोई उपस्थिति नहीं है तो EU अधिकृत प्रतिनिधि आवश्यक
शोषित कमजोरियों की 24 घंटे में रिपोर्टिंग की जिम्मेदारी (लेख 14)
उत्पाद वर्ग के अनुसार अनुरूपता मूल्यांकन मार्ग निर्धारित होता है
उल्लंघनों पर €15 मिलियन या कारोबार का 2.5% तक जुर्माना

अपडेटेड 18 October 2026 · 9 स्रोत जांचे गए

प्रदाता तुलना

प्रदाता	स्थापित स्थान	प्रकाशित मूल्य	मूल्य में क्या शामिल है	सबसे उपयुक्त
REP27 — Europe Services, SE	चेक गणराज्य	€490/वर्ष (केवल CRA), €690/वर्ष (CRA + GDPR), €990/वर्ष (CRA + GDPR + NIS2)	लिखित लेख 18 मण्डेट, अनुरोध अग्रेषण, सत्यापन योग्य प्रमाणपत्र, कानूनी सलाह या तकनीकी मूल्यांकन नहीं	केवल लेख 18 मण्डेट और रिपोर्टिंग डेस्क की आवश्यकता वाले निर्माता
kadanoस्रोत	ऑस्ट्रिया	EUR 999/वर्ष (डिफ़ॉल्ट \| महत्वपूर्ण, वर्ग I)	मांग पर	ऑस्ट्रिया में लेख 18 प्रतिनिधित्व चाहने वाले निर्माता
Euverifyस्रोत	आयरलैंड	GBP 590/वर्ष (CRA प्रतिनिधित्व)	मांग पर	आयरिश प्रतिनिधित्व पसंद करने वाले निर्माता
EmberKatस्रोत	निर्दिष्ट नहीं	€18,000 से (एक बार)	प्रासंगिकता मूल्यांकन, सुरक्षित विकास समीक्षा, SBOM, दस्तावेज़ीकरण अंतर विश्लेषण	पूर्ण-परिसर CRA परामर्श और तकनीकी अनुपालन
Reglyzeस्रोत	निर्दिष्ट नहीं	€199 (एक बार, एकल उत्पाद); €990/वर्ष से (उत्पाद लाइन)	तकनीकी दस्तावेज़, EU अनुरूपता घोषणा मसौदा, SBOM इनपुट	दस्तावेज़ीकरण और तकनीकी फ़ाइल निर्माण
Mericad LLCस्रोत	कैमन द्वीप समूह	USD 240,000 (एक बार)	उत्पाद-सुरक्षा कार्यक्रम, कमजोरियों का प्रबंधन, कानूनी अनुपालन डेटा	बड़े पैमाने पर, उच्च जोखिम वाले उत्पाद पोर्टफोलियो
Optimum Webस्रोत	निर्दिष्ट नहीं	€539 (एक बार मूल्यांकन); €729/माह (अनुपालन सेवा)	तैयारी मूल्यांकन, सतत अनुपालन इंजीनियरिंग, दस्तावेज़ीकरण अपडेट	सतत अनुपालन और तकनीकी सहायता

प्रत्येक प्रदाता की वेबसाइट पर 18 October 2026 पर प्रकाशित कीमतें, यदि न कहा गया हो तो VAT को छोड़कर। प्रत्येक पंक्ति इसके स्रोत से लिंक करती है।

कानून क्या मांगता है (लेख संख्या सहित)

साइबर रेज़िलिएंस एक्ट (CRA) EU का नया नियम है जो डिजिटल तत्वों वाले उत्पादों पर लागू होता है, जिसमें हार्डवेयर, सॉफ्टवेयर और घटक शामिल हैं। यह किसी भी निर्माता पर लागू होता है—स्थान की परवाह किए बिना—यदि उनके उत्पाद EU बाजार में रखे जाते हैं। यह कानून 10 दिसंबर 2024 को लागू हुआ। रिपोर्टिंग जिम्मेदारियां 11 सितंबर 2026 से शुरू होती हैं; पूर्ण अनुपालन (CE मार्किंग और अनुरूपता मूल्यांकन सहित) 11 दिसंबर 2027 से आवश्यक होगा।

लेख 18: गैर-EU निर्माताओं को प्रत्येक उत्पाद लाइन के लिए EU में अधिकृत प्रतिनिधि नियुक्त करना होगा, जब तक कि उनके पास EU में कोई स्थापना न हो। यह प्रतिनिधि अधिकारियों और बाजार निगरानी के लिए आधिकारिक संपर्क के रूप में कार्य करता है।
लेख 14: निर्माताओं को सक्रिय रूप से शोषित कमजोरियों और उत्पाद सुरक्षा को प्रभावित करने वाली गंभीर घटनाओं की रिपोर्ट करनी होगी। समय सीमा सख्त है: 24 घंटे में प्रारंभिक चेतावनी, 72 घंटे में पूर्ण सूचना, और शमन या सूचना के बाद 14 दिनों में अंतिम रिपोर्ट। रिपोर्टिंग प्लेटफ़ॉर्म ENISA द्वारा संचालित है, और प्राप्तकर्ता प्रतिनिधि के सदस्य राज्य द्वारा निर्धारित होता है।
परिशिष्ट I & II: निर्माताओं को आवश्यक साइबर सुरक्षा आवश्यकताओं को पूरा करना होगा, जिसमें कमजोरियों का प्रबंधन, सुरक्षित-डिज़ाइन विकास, और उपयोगकर्ताओं तथा अधिकारियों के लिए आसानी से समझ में आने वाली भाषा में स्पष्ट उपयोगकर्ता निर्देश शामिल हैं।
अनुरूपता मूल्यांकन: आवश्यक प्रक्रिया उत्पाद वर्ग पर निर्भर करती है। डिफ़ॉल्ट उत्पाद स्वयं मूल्यांकन कर सकते हैं; महत्वपूर्ण वर्ग I को सामंजस्यपूर्ण मानकों या तृतीय-पक्ष मूल्यांकन का उपयोग करना होगा; महत्वपूर्ण वर्ग II और महत्वपूर्ण उत्पादों के लिए सूचित निकाय या प्रमाणन योजना मूल्यांकन आवश्यक है।
समर्थन अवधि: निर्माताओं को घोषित समर्थन अवधि (न्यूनतम पांच वर्ष) के दौरान सुरक्षा अपडेट और कमजोरियों का प्रबंधन प्रदान करना होगा।
छूट: सूक्ष्म और छोटे उद्यम, और ओपन-सोर्स स्टूअर्ड, देर से रिपोर्टिंग के लिए जुर्माने से मुक्त हैं लेकिन तकनीकी और रिपोर्टिंग दायित्वों का पालन करना होगा।

आयातक और वितरक निर्माता बन जाते हैं यदि वे अपने नाम पर उत्पाद बाजार में लाते हैं या उन्हें महत्वपूर्ण रूप से संशोधित करते हैं। अन्यथा, मूल निर्माता CRA अनुपालन और रिपोर्टिंग के लिए जिम्मेदार रहता है।

CRA प्रतिनिधि या अनुपालन प्रदाता कैसे चुनें

सही लेख 18 प्रतिनिधि या अनुपालन प्रदाता चुनना गैर-EU निर्माताओं के लिए महत्वपूर्ण है। बाजार में कीमत, पारदर्शिता, और शामिल सेवाओं में व्यापक अंतर होता है। ध्यान देने योग्य बातें:

कानूनी इकाई और स्थान: प्रदाता की कानूनी इकाई और EU स्थापना की पुष्टि करें। उदाहरण के लिए, REP27 प्राग में स्थित Europe Services, SE है और चेक वाणिज्य रजिस्टर में सूचीबद्ध है। भुगतान से पहले हमेशा जांच करें।
मण्डेट का दायरा: कुछ प्रदाता केवल लेख 18 मण्डेट प्रदान करते हैं (जैसा कि कानून द्वारा आवश्यक है), जबकि अन्य GDPR या NIS2 प्रतिनिधित्व जैसी अतिरिक्त सेवाएं भी देते हैं। पुष्टि करें कि मण्डेट केवल लेख 18(3) तक सीमित है और लेख 18(2) द्वारा निषिद्ध कर्तव्यों को कवर नहीं करता।
मूल्य निर्धारण की पारदर्शिता: ऐसे प्रदाताओं की तलाश करें जो पहले वर्ष और नवीनीकरण दोनों की कीमतें प्रकाशित करते हों। परिचयात्मक कम कीमतों के बाद चुपचाप उच्च नवीनीकरण से सावधान रहें। उदाहरण के लिए REP27 स्पष्ट रूप से नवीनीकरण कीमतें भी बताता है।
सत्यापन और समर्थन: सुनिश्चित करें कि प्रदाता सत्यापन योग्य प्रमाणपत्र, सार्वजनिक सत्यापन विधि, और अनुरोध डेस्क प्रदान करता है। प्राधिकरण या CSIRT अनुरोधों को अग्रेषित करने की प्रक्रिया, समर्थित भाषाएं, और प्रतिक्रिया समय पूछें।
संयुक्त सेवाएं: यदि आपको GDPR लेख 27 या GPSR लेख 16 प्रतिनिधित्व भी चाहिए, तो कुछ प्रदाता (जैसे REP27) संयुक्त पैकेज कम कीमत पर प्रदान करते हैं।

निर्णय मैट्रिक्स:

यदि आप हैं...	आपको चाहिए...	आपको नहीं चाहिए...
गैर-EU निर्माता, कोई EU इकाई नहीं	लेख 18 प्रतिनिधि	यदि EU में बिक्री नहीं कर रहे हैं
EU आधारित निर्माता	कोई लेख 18 प्रतिनिधि नहीं	लेख 18 प्रतिनिधि
Amazon/Etsy/eBay विक्रेता (गैर-EU)	यदि अपने नाम से बेच रहे हैं तो लेख 18 प्रतिनिधि	यदि केवल EU आधारित आयातक/वितरक का उपयोग कर रहे हैं
ओपन-सोर्स स्टूअर्ड, गैर-वाणिज्यिक	संक्षिप्त शासन	देर से रिपोर्टिंग के लिए जुर्माना

EU बाजार में उत्पाद रखने से पहले हमेशा लिखित मण्डेट और प्रमाणपत्र मांगें।

मूल्य में वास्तव में क्या शामिल है: प्रदाता तुलना

कीमतें और शामिल सेवाएं काफी भिन्न होती हैं। लेख 18 मण्डेट आमतौर पर CRA अनुपालन में सबसे कम बाहरी लागत होते हैं, लेकिन कई प्रदाता पूर्ण विवरण प्रकाशित नहीं करते। नीचे अक्टूबर 2026 तक प्रत्येक प्रदाता के शामिल, शामिल नहीं, या अतिरिक्त शुल्क वाले तत्वों की तुलना है:

प्रदाता	शामिल	शामिल नहीं	अतिरिक्त शुल्क
REP27	लेख 18 मण्डेट, अनुरोध अग्रेषण, सत्यापन योग्य प्रमाणपत्र, सार्वजनिक सत्यापन, 8 भाषाओं में गोपनीयता नोटिस शब्दावली	कानूनी सलाह, तकनीकी मूल्यांकन, SBOM निर्माण, DPO सेवाएं, अनुपालन मूल्यांकन	कोई नहीं बताया गया
kadano	मांग पर	मांग पर	मांग पर
Euverify	मांग पर	मांग पर	मांग पर
EmberKat	प्रासंगिकता मूल्यांकन, सुरक्षित विकास समीक्षा, SBOM, दस्तावेज़ीकरण अंतर विश्लेषण	सतत प्रतिनिधित्व, अनुरोध अग्रेषण	मांग पर
Reglyze	तकनीकी दस्तावेज़, EU अनुरूपता घोषणा मसौदा, SBOM इनपुट	प्रतिनिधित्व, अनुरोध अग्रेषण	मांग पर
Mericad LLC	उत्पाद-सुरक्षा कार्यक्रम, कमजोरियों का प्रबंधन, कानूनी अनुपालन डेटा	प्रतिनिधित्व, अनुरोध अग्रेषण	मांग पर
Optimum Web	मूल्यांकन, सतत अनुपालन इंजीनियरिंग, दस्तावेज़ीकरण अपडेट	प्रतिनिधित्व, अनुरोध अग्रेषण	मांग पर

अधिकांश निर्माताओं के लिए, लेख 18 मण्डेट एक पृष्ठ का दस्तावेज़ होता है और अनुरोध अग्रेषण की जिम्मेदारी होती है। अनुरूपता मूल्यांकन, तकनीकी परीक्षण, और SBOM निर्माण अलग लागत हैं और मूल प्रतिनिधि शुल्क में शामिल नहीं हैं।

छिपी हुई लागतें और अपवाद

लेख 18 मण्डेट कानूनी आवश्यकता है, लेकिन यह कुल CRA अनुपालन लागत का केवल एक छोटा हिस्सा है। सबसे महंगे तत्व—अनुरूपता मूल्यांकन, सूचित निकाय शुल्क, तकनीकी दस्तावेज़ीकरण, और समर्थन अवधि—अधिकांश प्रतिनिधि पैकेजों में शामिल नहीं होते। ध्यान देने योग्य बातें:

अनुरूपता मूल्यांकन शुल्क: महत्वपूर्ण वर्ग II या महत्वपूर्ण उत्पादों के लिए, सूचित निकाय या प्रमाणन योजना की लागत हजारों यूरो हो सकती है और इसे पूरा करने में महीनों लग सकते हैं। इनके लिए अलग बजट बनाएं।
तकनीकी दस्तावेज़ीकरण: Reglyze और EmberKat जैसे प्रदाता तकनीकी फ़ाइल निर्माण, SBOM इनपुट, और दस्तावेज़ीकरण अंतर विश्लेषण प्रदान करते हैं, लेकिन ये मानक प्रतिनिधि मण्डेट का हिस्सा नहीं हैं।
नवीनीकरण और प्रति-आवेदन शुल्क: कुछ प्रदाता उच्च नवीनीकरण दर या प्रति-आवेदन/रिपोर्टिंग शुल्क ले सकते हैं। हस्ताक्षर करने से पहले नवीनीकरण कीमत और अतिरिक्त शुल्कों की लिखित पुष्टि मांगें।
सूचना अवधि और दायित्व सीमाएं: चुपचाप नवीनीकरण और अस्पष्ट रद्दीकरण नीतियां अप्रत्याशित खर्चों का कारण बन सकती हैं। अनुपालन विफलताओं के लिए दायित्व अक्सर प्रतिनिधि द्वारा अस्वीकार या सीमित होती है।
समर्थन अवधि लागत: कानून कम से कम पांच वर्षों के सुरक्षा अपडेट और कमजोरियों के प्रबंधन की मांग करता है, जिसे उत्पाद लाइन की तरह संसाधित और बजट किया जाना चाहिए।

REP27 स्पष्ट रूप से बताता है कि क्या शामिल नहीं है: कानूनी सलाह, तकनीकी मूल्यांकन, और SBOM निर्माण मण्डेट के बाहर हैं। किसी भी प्रदाता से छूट और छिपी लागतों को स्पष्ट करें।

नियुक्ति कैसे होती है: चरण-दर-चरण

लेख 18 प्रतिनिधि नियुक्त करना और CRA अनुपालन प्राप्त करना कई ठोस चरणों में होता है। गैर-EU निर्माताओं के लिए व्यावहारिक प्रक्रिया:

निर्धारित करें कि आपके उत्पाद दायरे में हैं या नहीं: EU बाजार में रखे गए सभी डिजिटल तत्वों वाले उत्पादों (हार्डवेयर, सॉफ्टवेयर, घटक, या दूरस्थ डेटा-प्रोसेसिंग समाधान) की पहचान करें।
अपने उत्पादों को वर्गीकृत करें: CRA की परिभाषाओं का उपयोग करके निर्धारित करें कि आपके उत्पाद डिफ़ॉल्ट, महत्वपूर्ण वर्ग I/II, या महत्वपूर्ण हैं। यह आपके अनुरूपता मूल्यांकन मार्ग को प्रभावित करता है।
प्रतिनिधि चुनें: सत्यापन योग्य EU कानूनी इकाई वाला लेख 18 प्रतिनिधि चुनें। दायरा, मूल्य निर्धारण, और नवीनीकरण शर्तों को लिखित में पुष्टि करें।
मण्डेट पर हस्ताक्षर करें: चुने हुए प्रदाता के साथ लिखित मण्डेट (लेख 18(3)) निष्पादित करें। प्रमाणपत्र और सार्वजनिक सत्यापन विधि प्राप्त करें।
दस्तावेज़ तैयार करें: तकनीकी दस्तावेज़ (परिशिष्ट VII), SBOM, EU अनुरूपता घोषणा, और आवश्यक भाषाओं में उपयोगकर्ता निर्देश एकत्र करें।
24 घंटे रिपोर्टिंग चैनल स्थापित करें: कमजोरियों और घटनाओं के लिए स्टाफ़ वाला इनटेक चैनल सुनिश्चित करें। प्रारंभिक चेतावनी और सूचना टेम्पलेट पूर्व-लिखित रखें।
ENISA पर पंजीकरण करें: ENISA रिपोर्टिंग प्लेटफ़ॉर्म पर कम से कम दो सबमिटर पंजीकृत करें, जो अलग-अलग समय क्षेत्रों में हों।
सतत अनुपालन के लिए बजट बनाएं: समर्थन अवधि लागत (न्यूनतम पांच वर्ष के अपडेट), अनुरूपता मूल्यांकन (यदि आवश्यक हो), और दस्तावेज़ीकरण रखरखाव के लिए योजना बनाएं।
नियमित समीक्षा और अपडेट करें: अपनी अनुपालन स्थिति, दस्तावेज़ीकरण, और रिपोर्टिंग प्रक्रियाओं की आवधिक समीक्षा निर्धारित करें।

इस चेकलिस्ट का पालन करने से आप CRA अनुपालन की कानूनी और व्यावहारिक मांगों के लिए तैयार रहेंगे।

अनुपालन न करने के जोखिम और जुर्माने

CRA अनुपालन न करने पर गंभीर दंड हैं। आवश्यक साइबर सुरक्षा आवश्यकताओं या निर्माता दायित्वों के उल्लंघन पर जुर्माना €15 मिलियन या कुल विश्वव्यापी वार्षिक कारोबार का 2.5% तक हो सकता है, जो भी अधिक हो। ये दंड EU और गैर-EU दोनों निर्माताओं पर लागू होते हैं जो EU बाजार में उत्पाद रखते हैं।

रिपोर्टिंग विफलताएं: 24 घंटे की कमजोरियों की रिपोर्टिंग समय सीमा चूकने पर प्रवर्तन कार्रवाई हो सकती है। सूक्ष्म और छोटे उद्यम, और ओपन-सोर्स स्टूअर्ड, देर से रिपोर्टिंग के लिए जुर्माने से मुक्त हैं लेकिन रिपोर्टिंग दायित्व से नहीं।
खरीद और बाजार पहुंच जोखिम: लेख 18 प्रतिनिधि के बिना, खरीद प्रक्रियाएं रुक सकती हैं, और आप उद्यम बिक्री या सार्वजनिक निविदाओं से बाहर हो सकते हैं।
बाजार निगरानी कार्रवाई: अधिकारी गैर-अनुपालन निर्माताओं के खिलाफ कार्रवाई कर सकते हैं, जिसमें उत्पाद वापसी या रिकॉल शामिल है।
वितरक/आयातक जोखिम: यदि आप प्रतिनिधि नियुक्त नहीं करते हैं, तो EU आयातक या वितरक को आपकी रिपोर्टिंग मार्ग के रूप में माना जा सकता है, जिससे अनुपालन संचार पर आपका नियंत्रण समाप्त हो सकता है।
चुपचाप छूट: मण्डेट नवीनीकरण या दस्तावेज़ीकरण अद्यतन न करने से अप्रत्याशित उल्लंघन हो सकते हैं, जो बिना चेतावनी के प्रवर्तन के लिए खुला छोड़ते हैं।

प्रभावी अनुपालन केवल जुर्माने से बचना नहीं है, बल्कि बाजार पहुंच सुनिश्चित करना और ग्राहकों व भागीदारों के साथ विश्वास बनाए रखना भी है।

प्रदाताओं द्वारा आमतौर पर न बताई जाने वाली बातें

कई प्रदाता केवल लेख 18 मण्डेट की कानूनी आवश्यकता पर ध्यान केंद्रित करते हैं लेकिन पूरी तस्वीर नहीं बताते। अक्सर छूट जाने वाली बातें:

मण्डेट का दायरा: लेख 18 मण्डेट केवल अनुरोध अग्रेषण और संपर्क बिंदु के रूप में कार्य करने तक सीमित है। इसमें कानूनी सलाह, तकनीकी मूल्यांकन, या SBOM निर्माण शामिल नहीं है जब तक स्पष्ट रूप से न कहा गया हो।
अनुरूपता मूल्यांकन: महत्वपूर्ण वर्ग II और महत्वपूर्ण उत्पादों के लिए, सूचित निकाय या प्रमाणन योजना की लागत प्रतिनिधि शुल्क से बहुत अधिक होती है और इसे पूरा करने में महीनों लग सकते हैं। ये कभी भी मूल मण्डेट में शामिल नहीं होते।
समर्थन अवधि: कम से कम पांच वर्षों के सुरक्षा अपडेट और कमजोरियों के प्रबंधन की आवश्यकता एक बड़ा परिचालन खर्च है, जो किसी भी प्रतिनिधि सेवा में शामिल नहीं है।
नवीनीकरण और सूचना शर्तें: कुछ प्रदाता पहले वर्ष की कम कीमत के साथ उच्च नवीनीकरण या लंबी सूचना अवधि की मांग करते हैं। हमेशा नवीनीकरण शर्तें लिखित में प्राप्त करें।
दायित्व: प्रतिनिधि आमतौर पर अनुपालन विफलताओं के लिए दायित्व अस्वीकार करते हैं। निर्माता CRA के तहत सभी दायित्वों के लिए जिम्मेदार रहता है।

क्या शामिल नहीं है इसकी पारदर्शिता उतनी ही महत्वपूर्ण है जितना कि क्या शामिल है। हस्ताक्षर करने से पहले हमेशा अपवादों की पूरी सूची मांगें और प्रदाता की भूमिका स्पष्ट करें।

वास्तविक परिदृश्य: कौन सा मार्ग लागू होता है?

अमेरिकी SaaS कंपनी: अमेरिका स्थित एक SaaS प्रदाता सीधे EU ग्राहकों को सॉफ्टवेयर बेचता है। कंपनी को लेख 18 प्रतिनिधि नियुक्त करना होगा, तकनीकी दस्तावेज़ और SBOM तैयार करना होगा, और 24 घंटे की रिपोर्टिंग चैनल स्थापित करनी होगी। यदि उत्पाद डिफ़ॉल्ट वर्ग है तो स्व-मूल्यांकन पर्याप्त हो सकता है; यदि महत्वपूर्ण या महत्वपूर्ण है तो सूचित निकाय आवश्यक है। सबसे सरल मार्ग एक प्रतिनिधि (जैसे REP27) नियुक्त करना, दस्तावेज़ तैयार करना, और ENISA में पंजीकरण करना है।
चीनी Amazon विक्रेता: चीन में एक निर्माता Amazon पर अपने नाम से IoT उपकरण EU खरीदारों को बेचता है। विक्रेता को लेख 18 प्रतिनिधि नियुक्त करना होगा और सभी CRA आवश्यकताओं का पालन करना होगा। यदि उत्पाद EU आधारित आयातक द्वारा बाजार में रखा जाता है, तो आयातक दायित्व ले सकता है। अन्यथा, मूल निर्माता रिपोर्टिंग और दस्तावेज़ीकरण संभालेगा।
यूके ऑनलाइन दुकान: यूके स्थित रिटेलर EU ग्राहकों को कनेक्टेड डिवाइस भेजता है। रिटेलर को लेख 18 प्रतिनिधि नियुक्त करना होगा, तकनीकी फ़ाइलें तैयार करनी होंगी, और 24 घंटे की कमजोरियों की रिपोर्टिंग प्रक्रिया सुनिश्चित करनी होगी। यदि EU वितरक अपने नाम से उत्पाद बाजार में रखता है, तो वितरक दायित्व लेता है; अन्यथा, यूके रिटेलर जिम्मेदार रहता है।

सभी परिदृश्यों में, बिक्री चैनलों का मानचित्रण, यह निर्धारित करना कि उत्पाद किसके द्वारा बाजार में रखा जा रहा है, और आवश्यक होने पर प्रतिनिधि नियुक्त करना महत्वपूर्ण है। इससे खरीद में देरी, अनुपालन सुनिश्चितता, और जुर्माने से बचाव होता है।

चेकलिस्ट: आज ही अनुपालन कैसे प्राप्त करें

अपने EU बिक्री चैनलों का मानचित्रण करें और सभी डिजिटल तत्वों वाले उत्पादों की पहचान करें।
प्रत्येक उत्पाद को CRA परिभाषाओं के अनुसार वर्गीकृत करें (डिफ़ॉल्ट, महत्वपूर्ण I/II, महत्वपूर्ण)।
निर्धारित करें कि आपको लेख 18 प्रतिनिधि की आवश्यकता है या नहीं (गैर-EU निर्माताओं के लिए आवश्यक)।
अपने चुने हुए प्रदाता (जैसे REP27, kadano, Euverify) से लिखित मण्डेट और प्रमाणपत्र मांगें।
तकनीकी दस्तावेज़ तैयार करें: परिशिष्ट VII फ़ाइल, SBOM, EU अनुरूपता घोषणा, EU भाषाओं में उपयोगकर्ता निर्देश।
24 घंटे की कमजोरियों की रिपोर्टिंग के लिए स्टाफ़ वाला चैनल स्थापित करें। प्रारंभिक चेतावनी और सूचना टेम्पलेट पूर्व-लिखित रखें।
ENISA की रिपोर्टिंग प्लेटफ़ॉर्म पर कम से कम दो सबमिटर पंजीकृत करें (संभव हो तो अलग-अलग समय क्षेत्रों में)।
यदि आपका उत्पाद महत्वपूर्ण वर्ग II या महत्वपूर्ण है तो सूचित निकाय या प्रमाणन योजना के लिए बजट बनाएं।
कम से कम पांच वर्षों के सुरक्षा अपडेट और कमजोरियों के प्रबंधन के लिए समर्थन अवधि घोषित करें और संसाधन आवंटित करें।
नियमित अनुपालन समीक्षा और दस्तावेज़ीकरण अपडेट निर्धारित करें।

इन चरणों का पालन करने से आप 2026-2027 के CRA प्रवर्तन समयसीमा के लिए तैयार रहेंगे और महंगे अनुपालन अंतराल से बचेंगे।

जब आपको इसकी आवश्यकता नहीं है

EU में डिजिटल तत्वों वाले उत्पाद न बेचने वाले निर्माता
EU आधारित निर्माता (लेख 18 प्रतिनिधि आवश्यक नहीं)
यदि आयातक/वितरक अपने नाम से उत्पाद बाजार में नहीं रखते हैं तो वे शामिल नहीं
ओपन-सोर्स, गैर-वाणिज्यिक सॉफ़्टवेयर खरीदार (संक्षिप्त शासन)

अक्सर पूछे जाने वाले प्रश्न

CRA के तहत कौन लेख 18 प्रतिनिधि नियुक्त करना चाहिए?

कोई भी निर्माता (एप डेवलपर्स सहित) जो EU के बाहर स्थापित है और EU बाजार में डिजिटल तत्वों वाले उत्पाद रखता है, उसे EU में अधिकृत प्रतिनिधि नियुक्त करना होगा, जब तक कि उसके पास EU स्थापना न हो। आयातक/वितरक को केवल निर्माता के रूप में कार्य करने पर प्रतिनिधि नियुक्त करना होगा।

CRA के तहत मुख्य रिपोर्टिंग समय सीमाएं क्या हैं?

सक्रिय रूप से शोषित कमजोरियों या गंभीर घटनाओं के लिए, प्रारंभिक चेतावनी 24 घंटे के भीतर, पूर्ण सूचना 72 घंटे के भीतर, और शमन या सूचना के बाद 14 दिनों के भीतर अंतिम रिपोर्ट जमा करनी होती है। ये समय सीमा सख्त हैं और कैलेंडर घंटों में लागू होती हैं।

CRA का पालन न करने पर दंड क्या है?

जुर्माने €15 मिलियन तक या कुल विश्वव्यापी वार्षिक कारोबार का 2.5% तक हो सकते हैं, जो भी अधिक हो। सूक्ष्म और छोटे उद्यम, और ओपन-सोर्स स्टूअर्ड, देर से रिपोर्टिंग के लिए जुर्माने से मुक्त हैं लेकिन रिपोर्टिंग दायित्व से नहीं।

क्या लेख 18 प्रतिनिधि कानूनी सलाह या तकनीकी अनुपालन प्रदान करता है?

नहीं। लेख 18 प्रतिनिधि का कार्य केवल मण्डेट रखना, अनुरोध अग्रेषण करना, और संपर्क बिंदु के रूप में कार्य करना है। कानूनी सलाह, तकनीकी मूल्यांकन, और SBOM निर्माण शामिल नहीं हैं जब तक स्पष्ट रूप से न कहा गया हो।

CRA जिम्मेदारियां कब से लागू होती हैं?

रिपोर्टिंग जिम्मेदारियां 11 सितंबर 2026 से लागू होती हैं। सभी प्रावधानों का पूर्ण पालन, जिसमें अनुरूपता मूल्यांकन और CE मार्किंग शामिल हैं, 11 दिसंबर 2027 से शुरू होगा।

CRA के लिए कौन से उत्पाद दायरे में आते हैं?

डिजिटल तत्वों वाले उत्पाद, जिनमें हार्डवेयर, सॉफ्टवेयर, घटक, और उत्पाद के अभिन्न दूरस्थ डेटा-प्रोसेसिंग समाधान शामिल हैं, दायरे में आते हैं। इसमें अधिकांश कनेक्टेड डिवाइस, ऐप्स, और EU ग्राहकों को भेजे जाने वाले फर्मवेयर शामिल हैं।

कैसे पता करें कि मेरा उत्पाद 'महत्वपूर्ण' या 'महत्वपूर्ण' वर्ग का है?

वर्गीकरण उत्पाद के कार्य और जोखिम पर निर्भर करता है। महत्वपूर्ण वर्ग I सामंजस्यपूर्ण मानकों का उपयोग कर सकता है; महत्वपूर्ण वर्ग II और महत्वपूर्ण उत्पादों के लिए तृतीय-पक्ष या सूचित निकाय मूल्यांकन आवश्यक है। CRA की परिभाषाएं जांचें और यदि संदेह हो तो तकनीकी मूल्यांकन कराएं।

CRA अनुपालन के लिए कौन से दस्तावेज़ आवश्यक हैं?

निर्माताओं को तकनीकी दस्तावेज़ (परिशिष्ट VII), EU अनुरूपता घोषणा, SBOM, EU भाषाओं में उपयोगकर्ता निर्देश, और समर्थन अवधि के दौरान कमजोरियों के प्रबंधन की प्रक्रिया तैयार करनी होगी।

क्या मैं CRA प्रतिनिधित्व को GDPR या GPSR जिम्मेदारियों के साथ जोड़ सकता हूं?

हाँ। कुछ प्रदाता, जैसे REP27, CRA, GDPR लेख 27, और GPSR लेख 16 प्रतिनिधित्व के लिए संयुक्त पैकेज कम कीमत पर प्रदान करते हैं। हमेशा दायरा और नवीनीकरण शर्तें लिखित में पुष्टि करें।

यदि मैंने प्रतिनिधि नियुक्त नहीं किया तो क्या होगा?

लेख 18 प्रतिनिधि के बिना, आपको खरीद में देरी, बाजार निगरानी कार्रवाई, और 24 घंटे की रिपोर्टिंग आवश्यकता पूरी न करने का जोखिम होगा, जिससे भारी जुर्माने और उत्पाद वापसी हो सकती है।

क्या मुझे केवल EU आधारित वितरकों के माध्यम से बिक्री करने पर प्रतिनिधि की आवश्यकता है?

यदि वितरक अपने नाम से उत्पाद बाजार में रखता है या उसे महत्वपूर्ण रूप से संशोधित करता है, तो वह निर्माता बन जाता है और CRA दायित्व लेता है। अन्यथा, मूल निर्माता जिम्मेदार रहता है।

सुरक्षा अपडेट के लिए समर्थन अवधि निर्दिष्ट है?

हाँ। समर्थन अवधि कम से कम पांच वर्ष की होनी चाहिए, जिसमें प्रभावी कमजोरियों का प्रबंधन शामिल है। यह CRA के तहत एक प्रमुख परिचालन आवश्यकता है।

स्रोत

साइबर रेज़िलिएंस एक्ट सारांश (यूरोपीय आयोग) — digital-strategy.ec.europa.eu
REP27 — CRA अधिकृत प्रतिनिधि लागत — gdprrepresentative.com
kadano CRA प्रतिनिधित्व — kadano.io
Euverify CRA प्रतिनिधित्व — euverify.com
EmberKat CRA परामर्श — emberkat.com
Reglyze CRA दस्तावेज़ीकरण — data.reglyze.com
Mericad LLC CRA उत्पाद सुरक्षा कार्यक्रम — mericad.com
Optimum Web CRA अनुपालन — optimum-web.com
CRA के लिए समर्थन समाधान (ENISA) — assets.ctfassets.net