खरीदार की गाइड

साइबर रेजिलिएंस एक्ट 24-घंटे रिपोर्टिंग: प्रदाता और कीमतें (2026)

संक्षिप्त उत्तर: ईयू के बाहर निर्माताओं को साइबर रेजिलिएंस एक्ट (CRA) 24-घंटे भेद्यता रिपोर्टिंग संभालने के लिए एक अधिकृत प्रतिनिधि नियुक्त करना आवश्यक है। REP27 — Europe Services, SE यह सेवा €490/वर्ष में प्रदान करता है, साथ ही kadano और Euverify जैसे अन्य प्रदाता भी उपलब्ध हैं। यह सेवा सितंबर 2026 से ईयू में डिजिटल उत्पाद बेचने वाले गैर-ईयू निर्माताओं के लिए अनिवार्य है।

CRA अनुच्छेद 14 के तहत सक्रिय रूप से शोषित भेद्यताओं की ENISA को 24 घंटे में रिपोर्टिंग आवश्यक है।
गैर-ईयू निर्माताओं को रिपोर्टिंग के लिए ईयू आधारित अधिकृत प्रतिनिधि नियुक्त करना होगा।
REP27 — Europe Services, SE अनुच्छेद 18 के तहत €490/वर्ष शुल्क लेता है।
प्रतिद्वंद्वी कीमतें: kadano (€999/वर्ष), Euverify (£590/वर्ष), अन्य अनुरोध पर।
REP27 कानूनी सलाह, SBOM निर्माण, और अनुरूपता मूल्यांकन शामिल नहीं करता।
आयातकों, वितरकों या 11 सितंबर 2026 से पहले बाजार में रखे गए पुराने उत्पादों के लिए आवश्यक नहीं।

अपडेटेड 17 October 2026 · 8 स्रोत जांचे गए

प्रदाता तुलना

प्रदाता	स्थापित देश	प्रकाशित मूल्य	मूल्य में शामिल	उपयुक्तता
REP27 — Europe Services, SE	चेक गणराज्य	€490/वर्ष (नवीनीकरण €440)	अनुच्छेद 18 का प्रावधान, 24-घंटे रिपोर्टिंग डेस्क, CSIRT/ENISA फाइलिंग, अनुरोध अग्रेषण। कानूनी सलाह या SBOM शामिल नहीं।	स्पष्ट, निश्चित मूल्य अनुच्छेद 18 प्रावधान की आवश्यकता वाले गैर-ईयू निर्माता
kadanoस्रोत	ऑस्ट्रिया	€999/वर्ष	अनुच्छेद 18 अधिकृत प्रतिनिधि (विवरण अनुरोध पर)	ऑस्ट्रिया में स्थापित प्रदाता खोजने वाले निर्माता
Euverifyस्रोत	आयरलैंड	£590/वर्ष	CRA अनुच्छेद 18 अधिकृत प्रतिनिधि (विवरण अनुरोध पर)	आयरलैंड आधारित प्रतिनिधि पसंद करने वाले निर्माता
ResilienceWPस्रोत	निर्दिष्ट नहीं	अनुरोध पर	निर्भरता स्कैनिंग, 24-घंटे ENISA रिपोर्टिंग, SBOM निर्माण, दस्तावेज़ीकरण	तकनीकी और रिपोर्टिंग सेवाओं के संयोजन की आवश्यकता वाली कंपनियां
Seentrixस्रोत	निर्दिष्ट नहीं	अनुरोध पर	अनुरूपता स्कोरिंग, भेद्यता प्रबंधन, दस्तावेज़ ड्राफ्टिंग	व्यापक CRA अनुपालन सहायता की आवश्यकता वाली कंपनियां

प्रत्येक प्रदाता की वेबसाइट पर 17 October 2026 पर प्रकाशित कीमतें, यदि न कहा गया हो तो VAT को छोड़कर। प्रत्येक पंक्ति इसके स्रोत से लिंक करती है।

कानून की आवश्यकताएं: CRA अनुच्छेद 14 और 18

साइबर रेजिलिएंस एक्ट (CRA) उन निर्माताओं के लिए कड़ा नियम लागू करता है जो ईयू बाजार में डिजिटल तत्व वाले उत्पाद रखते हैं। अनुच्छेद 1 में दायरा परिभाषित है: हार्डवेयर और सॉफ्टवेयर जिनमें डिजिटल तत्व शामिल हैं, जैसे कनेक्टेड डिवाइस, फर्मवेयर, और ऐप्स। अनुच्छेद 10 उत्पाद जीवनचक्र में साइबर सुरक्षा के लिए आवश्यकताएं निर्धारित करता है, जबकि अनुच्छेद 11 में निर्माता के दायित्व जैसे जोखिम मूल्यांकन, भेद्यता प्रबंधन, और अनुरूपता मूल्यांकन शामिल हैं।

अनुच्छेद 14 केंद्रीय है: यह निर्माताओं को 24 घंटे के भीतर ENISA को किसी भी सक्रिय रूप से शोषित भेद्यता या गंभीर सुरक्षा घटना की रिपोर्टिंग करने का आदेश देता है। यह दायित्व केवल विश्वसनीय शोषण या महत्वपूर्ण सुरक्षा घटना के प्रमाण मिलने पर लागू होता है, केवल भेद्यता की खोज से नहीं। 24 घंटे का समय कैलेंडर घंटे है, जिसमें रात, सप्ताहांत और छुट्टियां शामिल हैं।

ईयू के बाहर स्थापित निर्माताओं के लिए, अनुच्छेद 18 के तहत एक अधिकृत प्रतिनिधि नियुक्त करना आवश्यक है जो 24-घंटे रिपोर्टिंग प्रक्रिया संभाले और ईयू अधिकारियों के लिए संपर्क बिंदु बने। आयातक और वितरक के अपने दायित्व अनुच्छेद 12 में हैं, लेकिन प्राथमिक रिपोर्टिंग दायित्व निर्माता या उनके अधिकृत प्रतिनिधि का है।

11 सितंबर 2026 से पहले ईयू बाजार में रखे गए उत्पाद 24-घंटे रिपोर्टिंग से मुक्त हैं, लेकिन अन्य CRA प्रावधानों का पालन करना होगा। अनुपालन न करने पर €15 मिलियन या वैश्विक वार्षिक कारोबार का 2.5%, जो भी अधिक हो, जुर्माना हो सकता है। कानून स्पष्ट है: यदि आप गैर-ईयू निर्माता हैं जो इस तारीख के बाद ईयू में डिजिटल उत्पाद बेचते हैं, तो आपको 24 घंटे के भीतर कार्रवाई करने वाला अधिकृत प्रतिनिधि रखना होगा।

CRA अधिकृत प्रतिनिधि कैसे चुनें

सही अधिकृत प्रतिनिधि चुनना अनुपालन और संचालन के लिए महत्वपूर्ण है। प्रदाता की कानूनी इकाई, ईयू में स्थापना, और ट्रैक रिकॉर्ड की जांच करें। उदाहरण के लिए, REP27 — Europe Services, SE प्राग, चेक गणराज्य में स्थापित है और 2018 से सक्रिय है, 24 देशों में कंपनियों के लिए प्रावधान किए गए हैं।

मुख्य चयन मानदंड हैं:

पारदर्शी मूल्य निर्धारण: स्पष्ट प्रकाशित मूल्य और नवीनीकरण शर्तें देखें। REP27 दोनों प्रकाशित करता है। कुछ प्रदाता, जैसे kadano और Euverify, भी मूल्य प्रकाशित करते हैं, जबकि अन्य को उद्धरण लेना पड़ता है।
प्रावधान का दायरा: सुनिश्चित करें कि प्रावधान केवल अनुच्छेद 18 तक सीमित हो। अनुच्छेद 18(2) अनुच्छेद 13 दायित्वों को कवर करने की अनुमति नहीं देता। REP27 स्पष्ट रूप से अपने दायरे को अनुच्छेद 18 तक सीमित करता है।
उपलब्धता: रिपोर्टिंग डेस्क 24/7, सप्ताहांत और छुट्टियों सहित, उपलब्ध होनी चाहिए। REP27 निरंतर कवरेज की गारंटी देता है, अन्य प्रदाताओं के लिए पुष्टि आवश्यक हो सकती है।
प्रमाणपत्र सत्यापन: एक सत्यापन योग्य प्रमाणपत्र (जैसे REP27 का QR कोड और सार्वजनिक सत्यापन) नियुक्ति का प्रमाण देता है और अधिकारियों या ग्राहकों द्वारा जांचा जा सकता है।
अपवाद: स्पष्ट करें कि क्या शामिल नहीं है, जैसे कानूनी सलाह, SBOM निर्माण, या तकनीकी परीक्षण। REP27 सभी अपवाद स्पष्ट करता है; कई प्रतिस्पर्धी नहीं करते।

संयोजित सेवाएं (जैसे तकनीकी स्कैनिंग, SBOM निर्माण) उपयोगी हो सकती हैं यदि आपके पास आंतरिक संसाधन नहीं हैं, लेकिन छिपे हुए खर्च, अस्पष्ट नवीनीकरण मूल्य, या अस्पष्ट सेवा विवरण के लिए जांच करें। लिखित में प्रक्रिया पूछें, जिसमें अनुरोध कैसे संभाले जाते हैं, किन भाषाओं में, और किस समय।

अंत में, सुनिश्चित करें कि प्रदाता का प्रावधान सत्यापन योग्य हो और प्राधिकरण अनुरोधों को शीघ्र और दस्तावेजीकृत तरीके से अग्रेषित किया जाए। यह केवल अनुपालन का चेकबॉक्स नहीं है—देर या गलत संचार कानूनी और व्यावसायिक परिणाम ला सकता है।

वास्तव में मूल्य में क्या शामिल है: प्रदाता तुलना

प्रकाशित मूल्य में क्या शामिल है यह समझना जरूरी है ताकि आश्चर्य न हो। नीचे प्रत्येक प्रदाता की उपलब्ध जानकारी के आधार पर विस्तृत तुलना है:

प्रदाता	शामिल	शामिल नहीं	अतिरिक्त शुल्क
REP27	अनुच्छेद 18 प्रावधान, 24-घंटे स्टाफड डेस्क, CSIRT/ENISA रिपोर्टिंग, अनुरोध अग्रेषण, सत्यापन योग्य प्रमाणपत्र, सार्वजनिक सत्यापन	कानूनी सलाह, SBOM निर्माण, अनुरूपता मूल्यांकन, तकनीकी परीक्षण, DPO सेवाएं, अनुपालन मूल्यांकन	कोई नहीं
kadano	अनुच्छेद 18 अधिकृत प्रतिनिधि	अनुरोध पर	अनुरोध पर
Euverify	अनुच्छेद 18 अधिकृत प्रतिनिधि	अनुरोध पर	अनुरोध पर
ResilienceWP	निर्भरता स्कैनिंग, 24-घंटे ENISA रिपोर्टिंग, SBOM निर्माण, दस्तावेज़ीकरण	अनुरोध पर	अनुरोध पर
Seentrix	अनुरूपता स्कोरिंग, भेद्यता प्रबंधन, दस्तावेज़ ड्राफ्टिंग	अनुरोध पर	अनुरोध पर

REP27 का मूल्य (€490/वर्ष, नवीनीकरण पर €440) केवल अनुच्छेद 18 प्रावधान के लिए है, स्पष्ट अपवादों के साथ। Kadano और Euverify कीमतें प्रकाशित करते हैं लेकिन शामिल या अपवाद सार्वजनिक नहीं करते। ResilienceWP और Seentrix अतिरिक्त तकनीकी सेवाएं (SBOM, स्कैनिंग, दस्तावेज़ीकरण) प्रदान करते हैं, लेकिन मूल्य और दायरा केवल अनुरोध पर उपलब्ध हैं।

साइन करने से पहले विस्तृत सेवा विवरण और नवीनीकरण मूल्य की पुष्टि हमेशा मांगें। सबसे महंगी गलती यह मान लेना है कि तकनीकी अनुपालन या कानूनी सलाह शामिल है जबकि वे नहीं हैं।

छिपे हुए खर्च और प्रदाता आमतौर पर क्या नहीं बताते

शीर्षक मूल्य महत्वपूर्ण है, लेकिन छिपे हुए खर्च और अपवाद आपके अनुपालन बजट और संचालन जोखिम पर बड़ा प्रभाव डाल सकते हैं। यहां वे बातें हैं जो प्रदाता आमतौर पर upfront नहीं बताते:

अपवाद: REP27 स्पष्ट है: कोई कानूनी सलाह, DPO सेवाएं, तकनीकी अनुपालन मूल्यांकन, SBOM निर्माण, या परीक्षण शामिल नहीं है। कई प्रतिस्पर्धी ऐसे अपवाद प्रकाशित नहीं करते, इसलिए हमेशा पूछें। तकनीकी अनुपालन (SBOM, अनुरूपता मूल्यांकन, इंजीनियरिंग) कभी भी केवल प्रतिनिधि प्रावधान में शामिल नहीं होता और इसे अलग से बजट करना होगा।
नवीनीकरण मूल्य: कुछ प्रदाता पहले वर्ष के लिए कम मूल्य देते हैं लेकिन नवीनीकरण दरें प्रकाशित नहीं करते। REP27 दोनों upfront प्रकाशित करता है। अप्रत्याशित वृद्धि से बचने के लिए नवीनीकरण शर्तें लिखित में लें।
प्रति-आवेदन शुल्क: कुछ प्रतिनिधि प्रत्येक प्राधिकरण या डेटा विषय अनुरोध या तात्कालिक फाइलिंग के लिए अतिरिक्त शुल्क ले सकते हैं। REP27 ऐसा कोई शुल्क नहीं बताता, लेकिन अन्यत्र हो सकता है। साइन करने से पहले स्पष्ट करें।
नोटिस अवधि और समाप्ति: प्रावधान समाप्त करने या प्रदाता बदलने की प्रक्रिया शायद ही कभी विस्तार से बताई जाती है। नोटिस अवधि और संबंधित शुल्क पूछें।
दायित्व सीमाएं: अधिकांश प्रतिनिधि चूक या गलत फाइलिंग के लिए अपनी दायित्व सीमित करते हैं। ये सीमाएं सार्वजनिक पृष्ठों पर हमेशा नहीं दिखतीं।
संयोजित सेवाएं: तकनीकी सेवाएं (जैसे SBOM, स्कैनिंग) देने वाले प्रदाता अतिरिक्त शुल्क या दीर्घकालिक अनुबंध मांग सकते हैं। दायरा और मूल्य लिखित में पुष्टि करें।

संक्षेप में, वास्तविक अनुपालन लागत में केवल प्रतिनिधि शुल्क नहीं, बल्कि आपकी आंतरिक इंजीनियरिंग, तकनीकी अनुपालन, और 24/7 घटना प्रतिक्रिया प्रक्रिया बनाए रखने के खर्च भी शामिल हैं। प्रतिबद्ध होने से पहले सभी शर्तों का पूर्ण विवरण और लिखित पुष्टि मांगें।

नियुक्ति प्रक्रिया: चरण-दर-चरण

CRA अधिकृत प्रतिनिधि नियुक्त करना सावधानीपूर्वक योजना और दस्तावेज़ीकरण की मांग करता है। यहां वर्तमान सर्वोत्तम प्रथाओं और कानूनी आवश्यकताओं के आधार पर व्यावहारिक चरण-दर-चरण मार्गदर्शिका है:

लागूता का आकलन: पुष्टि करें कि आपका उत्पाद डिजिटल तत्व (हार्डवेयर/सॉफ्टवेयर) है जो 11 सितंबर 2026 के बाद ईयू बाजार में रखा गया है। यदि हां, तो CRA 24-घंटे रिपोर्टिंग लागू होती है।
प्रदाता चुनें: प्रकाशित मूल्य, दायरा, अपवाद, और प्रतिष्ठा के आधार पर प्रदाताओं की तुलना करें। सभी शर्तें और नवीनीकरण मूल्य लिखित में मांगें।
अनुबंध और प्रावधान: चुने हुए अधिकृत प्रतिनिधि के साथ लिखित प्रावधान पर हस्ताक्षर करें। REP27 24 घंटे के भीतर हस्ताक्षरित अनुच्छेद 18 प्रावधान और सत्यापन योग्य प्रमाणपत्र जारी करता है। सुनिश्चित करें कि कानूनी इकाई ईयू में स्थापित है और वाणिज्यिक रजिस्टर में सूचीबद्ध है।
दस्तावेज़ीकरण अपडेट करें: प्रतिनिधि का विवरण अपने अनुपालन रनबुक में दर्ज करें। स्पष्ट रिपोर्टिंग प्रक्रिया तैयार करें, जिसमें घटना घोषित करने वाला और साक्ष्य दस्तावेज़ीकरण शामिल हो।
आंतरिक तैयारी: ENISA प्लेटफॉर्म के लिए कम से कम दो कर्मचारी नामित करें, बेहतर होगा कि वे अलग-अलग टाइम ज़ोन में हों। प्रारंभिक चेतावनी टेम्पलेट पहले से लिखें और 72-घंटे सूचना और उपयोगकर्ता संचार की जिम्मेदारी सौंपें।
घटना प्रतिक्रिया: जब कोई योग्य भेद्यता या घटना पता चले, तुरंत प्रतिनिधि को सूचित करें। प्रतिनिधि 24 घंटे में ENISA/CSIRT को प्रारंभिक चेतावनी फाइल करता है, फिर 72-घंटे सूचना और अंतिम रिपोर्ट तैयार करता है।
रिकॉर्ड रखरखाव: जागरूकता, सबमिशन समय, और संचार का विस्तृत लॉग रखें। यह महत्वपूर्ण है यदि आपकी अनुपालन जांच की जाए।
निरंतर समीक्षा: अपनी प्रक्रियाओं की नियमित समीक्षा करें और संपर्क विवरण, टेम्पलेट, और जिम्मेदारियां आवश्यकतानुसार अपडेट करें।

यह प्रक्रिया सुनिश्चित करती है कि आप CRA की सख्त समय सीमाओं को पूरा करें और दंड से बचें। मुख्य बात तैयारी है: ट्रिगर परिभाषित करें, भूमिकाएं सौंपें, और कानून लागू होने से पहले कार्यप्रवाह का अभ्यास करें।

जोखिम, जुर्माने, और अनुपालन समयसीमा

साइबर रेजिलिएंस एक्ट गैर-अनुपालन के लिए महत्वपूर्ण कानूनी और वित्तीय जोखिम लाता है। अनुच्छेद 15 प्रवर्तन प्रक्रियाएं और दंड निर्धारित करता है। सबसे तत्काल जोखिम है सक्रिय रूप से शोषित भेद्यता या गंभीर घटना के लिए 24-घंटे रिपोर्टिंग समयसीमा चूकना। समय तब शुरू होता है जब आपको घटना का पता चलता है, जांच पूरी होने पर नहीं। देरी पर €15 मिलियन या वैश्विक कारोबार का 2.5%, जो भी अधिक हो, जुर्माना हो सकता है।

अन्य जोखिमों में शामिल हैं:

बाजार पहुंच में देरी: प्रतिनिधि नियुक्त न करने या सत्यापन योग्य प्रमाणपत्र न देने पर उत्पाद लॉन्च में देरी या खरीद प्रक्रिया रुक सकती है, खासकर एंटरप्राइज बिक्री चक्र में।
प्रवर्तन कार्रवाई: यदि रिपोर्टिंग दायित्व पूरे न हों तो अधिकारी जांच, दस्तावेज़ मांग, या सुधारात्मक उपाय लागू कर सकते हैं।
प्रतिष्ठा क्षति: सार्वजनिक रिपोर्टिंग विफलता से ब्रांड और ग्राहक विश्वास को नुकसान हो सकता है।
कई रिपोर्टिंग नियम: एक घटना पर CRA, NIS2, GDPR, और GPSR के तहत अलग-अलग रिपोर्टिंग हो सकती है, जिनकी समयसीमा और प्राधिकरण अलग होते हैं। उदाहरण के लिए, आपके उत्पाद पर रैनसमवेयर हमले की तीन अलग रिपोर्टिंग हो सकती है।

अनुपालन समयसीमा सख्त है: 11 सितंबर 2026 से नए उत्पादों के लिए 24-घंटे रिपोर्टिंग लागू है। इस तारीख से पहले रखे गए पुराने उत्पाद 24-घंटे नियम से मुक्त हैं लेकिन अन्य CRA प्रावधानों का पालन करना होगा। सुरक्षा अपडेट के लिए कम से कम पांच वर्षों का समर्थन अवधि एक छिपा हुआ खर्च है जिसे उत्पाद लाइन के रूप में योजना बनाना और बजट करना चाहिए।

संक्षेप में, गैर-अनुपालन के जोखिम गंभीर हैं, और योग्य प्रतिनिधि नियुक्त करने की लागत की तुलना में तैयारी न करने की लागत कहीं अधिक है।

निर्णय मैट्रिक्स: क्या आपको CRA अधिकृत प्रतिनिधि चाहिए?

निम्न मैट्रिक्स से पता लगाएं कि आपको CRA अधिकृत प्रतिनिधि की आवश्यकता है या नहीं:

यदि आप हैं...	आपको चाहिए...	आपको इसकी आवश्यकता नहीं यदि...
ईयू के बाहर डिजिटल उत्पाद ईयू में बेचने वाला निर्माता (B2B या B2C)	अनुच्छेद 18 रिपोर्टिंग के लिए अधिकृत प्रतिनिधि नियुक्त करें	आपके पास ईयू सहायक कंपनी है जो रिपोर्टिंग संभालती है
ईयू आधारित निर्माता	सीधा CSIRT/ENISA को रिपोर्टिंग	कभी नहीं (कर्तव्य सीधा है)
आयातक या वितरक	केवल यदि वे अपने नाम से उत्पाद रखते हैं	निर्माता या उनके प्रतिनिधि रिपोर्टिंग करते हैं
मार्केटप्लेस विक्रेता (Amazon, Etsy, eBay)	यदि आप निर्माता हैं और ईयू के बाहर स्थापित हैं	यदि प्लेटफॉर्म या आयातक जिम्मेदारी लेते हैं
11 सितंबर 2026 से पहले रखा गया उत्पाद	अन्य CRA दायित्वों का पालन करें	24-घंटे रिपोर्टिंग से मुक्त

यह मैट्रिक्स अधिकांश परिदृश्यों को कवर करता है। संदेह होने पर अपने कानूनी सलाहकार से परामर्श करें या स्पष्टता के लिए प्रदाता से संपर्क करें। याद रखें, दायित्व निर्माता या उनके प्रतिनिधि का है, न कि आयातक या वितरक का जब तक वे अपने नाम से उत्पाद न रखें।

चेकलिस्ट: CRA 24-घंटे रिपोर्टिंग अनुपालन के कदम

अपने उत्पादों का मानचित्रण करें: ईयू में बिकने वाले सभी डिजिटल तत्व वाले उत्पादों और उनके लॉन्च तिथियों की सूची बनाएं।
आंतरिक प्रक्रियाओं का आकलन करें: जांचें कि भेद्यताएं कैसे पता लगती हैं, बढ़ाई जाती हैं, और दस्तावेज़ीकृत होती हैं।
प्रतिनिधि चुनें: प्रदाताओं की तुलना करें, सभी शुल्क, नवीनीकरण मूल्य, और सेवा दायरे की लिखित पुष्टि मांगें।
प्रावधान पर हस्ताक्षर करें: चुने हुए प्रदाता से अनुच्छेद 18 प्रावधान और सत्यापन योग्य प्रमाणपत्र प्राप्त करें।
दस्तावेज़ अपडेट करें: प्रतिनिधि का विवरण रनबुक और अनुपालन दस्तावेज़ में जोड़ें। प्रारंभिक चेतावनी और सूचना टेम्पलेट तैयार करें।
रिपोर्टिंग भूमिकाएं सौंपें: ENISA प्लेटफॉर्म के लिए कम से कम दो सबमिटर नामित करें, अलग-अलग टाइम ज़ोन में बेहतर।
कार्यप्रवाह का परीक्षण करें: एक सक्रिय भेद्यता का अभ्यास करें ताकि सभी जिम्मेदारियां और समय सीमाएं स्पष्ट हों।
अपनी टीम को प्रशिक्षित करें: कर्मचारियों को 24-घंटे घड़ी कब शुरू होती है और घटनाओं को कैसे बढ़ाना है, सिखाएं।
नियामक अपडेट पर नजर रखें: सितंबर 2026 से पहले CRA आवश्यकताओं या रिपोर्टिंग प्लेटफॉर्म में किसी भी बदलाव की जानकारी रखें।
नियमित समीक्षा और अपडेट करें: अपनी प्रक्रियाओं और दस्तावेज़ों की वार्षिक या किसी बड़ी घटना के बाद समीक्षा करें।

इस चेकलिस्ट का पालन करने से आप CRA की सख्त रिपोर्टिंग आवश्यकताओं को पूरा करने और महंगे जुर्माने से बचने के लिए तैयार रहेंगे।

वास्तविक परिदृश्य: कौन सा रास्ता लागू होता है?

यूएस SaaS कंपनी जो ईयू व्यवसायों को बेचती है: कंपनी गैर-ईयू निर्माता है जो ईयू बाजार में डिजिटल उत्पाद रखती है। इसे अनुच्छेद 18 रिपोर्टिंग के लिए अधिकृत प्रतिनिधि नियुक्त करना होगा (जैसे REP27, kadano, Euverify)। आंतरिक सुरक्षा टीम भेद्यताएं पहचानती है और प्रतिनिधि को सूचित करती है, जो 24 घंटे में ENISA/CSIRT फाइलिंग करता है। कोई आयातक या वितरक शामिल नहीं है, इसलिए दायित्व सीधे निर्माता का है।
चीनी Amazon विक्रेता जो ईयू उपभोक्ताओं को IoT डिवाइस भेजता है: यदि विक्रेता निर्माता है और ईयू के बाहर स्थापित है, तो अधिकृत प्रतिनिधि नियुक्त करना होगा। यदि Amazon रिकॉर्ड आयातक है, तो रिपोर्टिंग दायित्व Amazon को स्थानांतरित हो सकता है। विक्रेता को प्लेटफॉर्म के साथ स्पष्ट करना चाहिए और आवश्यक होने पर प्रतिनिधि नियुक्त कर उत्पाद दस्तावेज़ अपडेट करना चाहिए।
यूके ऑनलाइन दुकान जो ईयू में अपने ब्रांडेड राउटर बेचती है: गैर-ईयू निर्माता के रूप में, यूके फर्म को 24-घंटे रिपोर्टिंग के लिए अधिकृत प्रतिनिधि नियुक्त करना होगा। प्रतिनिधि का विवरण अनुपालन दस्तावेज़ में शामिल होना चाहिए, और आंतरिक प्रक्रियाएं तेजी से घटनाओं को बढ़ाने के लिए तैयार होनी चाहिए। यदि दुकान अपने नाम से आयातक या वितरक भी है, तो अतिरिक्त दायित्व लागू हो सकते हैं।

ये परिदृश्य आपकी आपूर्ति श्रृंखला का मानचित्रण और भूमिकाओं की स्पष्टता का महत्व दिखाते हैं। सबसे सरल अनुपालन मार्ग है प्रतिनिधि नियुक्त करना, प्रक्रिया दस्तावेज़ करना, और अपनी टीम को प्रशिक्षित कर तेजी से प्रतिक्रिया के लिए तैयार करना।

जब आपको इसकी आवश्यकता नहीं है

आयातक और वितरक जो अपने नाम से उत्पाद नहीं रखते (निर्माता या उनके प्रतिनिधि रिपोर्टिंग करते हैं)।
ईयू में स्थापित निर्माता (सीधा CSIRT/ENISA को रिपोर्टिंग)।
11 सितंबर 2026 से पहले ईयू बाजार में रखे गए उत्पाद (24-घंटे रिपोर्टिंग से मुक्त, लेकिन अन्य CRA दायित्व लागू)।
गैर-डिजिटल उत्पाद या जो ईयू में नहीं बेचे जाते।

अक्सर पूछे जाने वाले प्रश्न

कौन CRA अधिकृत प्रतिनिधि नियुक्त करने के लिए बाध्य है?

कोई भी निर्माता जो ईयू के बाहर स्थापित है और 11 सितंबर 2026 के बाद डिजिटल तत्व वाले उत्पाद ईयू बाजार में रखता है, उसे साइबर रेजिलिएंस एक्ट के अनुच्छेद 18 के तहत 24-घंटे भेद्यता रिपोर्टिंग के लिए ईयू आधारित अधिकृत प्रतिनिधि नियुक्त करना आवश्यक है।

CRA के तहत 24-घंटे रिपोर्टिंग दायित्व कब शुरू होता है?

24-घंटे की घड़ी तब शुरू होती है जब आपको सक्रिय रूप से शोषित भेद्यता या गंभीर सुरक्षा घटना का पता चलता है। केवल भेद्यता की खोज से रिपोर्टिंग दायित्व शुरू नहीं होता—शोषण या महत्वपूर्ण सुरक्षा घटना का प्रमाण होना चाहिए।

REP27 का €490/वर्ष शुल्क क्या कवर करता है?

यह अनुच्छेद 18 प्रावधान, यूरोप में 24-घंटे स्टाफड रिपोर्टिंग डेस्क, CSIRT/ENISA फाइलिंग अग्रेषण, और अनुरोध अग्रेषण को कवर करता है। इसमें कानूनी सलाह, SBOM निर्माण, या तकनीकी अनुपालन मूल्यांकन शामिल नहीं हैं।

क्या CRA प्रतिनिधियों के साथ छिपे हुए खर्च होते हैं?

कुछ प्रदाता नवीनीकरण कीमतें प्रकाशित नहीं करते या प्रति-आवेदन शुल्क ले सकते हैं। साइन करने से पहले सभी शुल्क, नवीनीकरण शर्तें, और अपवादों की लिखित पुष्टि मांगें। तकनीकी अनुपालन लागत (SBOM, अनुरूपता मूल्यांकन) कभी भी केवल प्रतिनिधि प्रावधान में शामिल नहीं होती।

क्या आयातक या वितरक इस सेवा का उपयोग कर सकते हैं?

केवल यदि वे अपने नाम से ईयू बाजार में उत्पाद रखते हैं। अन्यथा, निर्माता या उनके नियुक्त प्रतिनिधि 24-घंटे भेद्यता रिपोर्टिंग के लिए जिम्मेदार होते हैं।

यदि मैं प्रतिनिधि नियुक्त नहीं करता तो क्या होगा?

अधिकृत प्रतिनिधि नियुक्त न करने से बाजार पहुंच में देरी हो सकती है, प्रवर्तन कार्रवाई हो सकती है, और €15 मिलियन या वैश्विक कारोबार का 2.5%, जो भी अधिक हो, जुर्माना लग सकता है।

क्या प्रतिनिधि सेवा में कानूनी सलाह शामिल है?

नहीं। REP27 और अधिकांश प्रतिस्पर्धी अनुच्छेद 18 प्रावधान के हिस्से के रूप में कानूनी सलाह, DPO सेवाएं, या तकनीकी अनुपालन मूल्यांकन प्रदान नहीं करते। इन्हें अलग से लेना होगा।

मैं कितनी जल्दी CRA प्रतिनिधि नियुक्त कर सकता हूं?

REP27 अनुबंध के 24 घंटे के भीतर हस्ताक्षरित अनुच्छेद 18 प्रावधान और सत्यापन योग्य प्रमाणपत्र जारी करता है। अन्य प्रदाताओं की समयसीमा भिन्न हो सकती है—साइन करने से पहले पुष्टि करें।

क्या पुराने उत्पाद 24-घंटे रिपोर्टिंग से मुक्त हैं?

11 सितंबर 2026 से पहले ईयू बाजार में रखे गए उत्पाद 24-घंटे भेद्यता रिपोर्टिंग दायित्व से मुक्त हैं, लेकिन अन्य CRA प्रावधानों का पालन करना होगा।

क्या एक ही प्रदाता CRA, GDPR, और GPSR प्रावधान कवर कर सकता है?

हां, REP27 CRA, GDPR अनुच्छेद 27, और GPSR अनुच्छेद 16 के लिए संयोजित प्रावधान प्रदान करता है। अन्य प्रदाताओं से समान विकल्पों और नवीनीकरण शर्तों की पुष्टि करें।

CRA अनुपालन के लिए मुझे कौन से दस्तावेज़ तैयार करने चाहिए?

प्रतिनिधि का विवरण, रिपोर्टिंग कार्यप्रवाह, प्रारंभिक चेतावनी और सूचना टेम्पलेट, और ENISA प्लेटफॉर्म के लिए कम से कम दो सबमिटर नामित करें। घटनाओं, जागरूकता, और सबमिशन के लॉग रखें।

मैं अपनी रिपोर्टिंग प्रक्रिया को 24-घंटे समयसीमा के अनुरूप कैसे सुनिश्चित करूं?

स्पष्ट रिपोर्टिंग ट्रिगर परिभाषित करें, जिम्मेदार कर्मचारी नियुक्त करें, टेम्पलेट पहले से लिखें, और कार्यप्रवाह का अभ्यास करें। सुनिश्चित करें कि आपका प्रतिनिधि 24/7 उपलब्ध हो और सभी संपर्क विवरण अद्यतित हों।

स्रोत

साइबर रेजिलिएंस एक्ट सारांश (यूरोपीय आयोग) — digital-strategy.ec.europa.eu
REP27 — CRA अधिकृत प्रतिनिधि लागत — gdprrepresentative.com
REP27 — CRA 24-घंटे रिपोर्टिंग — gdprrepresentative.com
kadano — CRA प्रतिनिधित्व — kadano.io
Euverify — CRA प्रतिनिधित्व — euverify.com
ResilienceWP — CRA अनुपालन — resiliencewp.com
Seentrix — CRA अनुपालन — seentrix.com
ITPro — CRA जुर्माने — itpro.com