Hogyan jelentsünk sebezhetőségeket 24 órán belül a Cyber Resilience Act szerint

• CRA 14. cikk: 24 órás jelentési kötelezettség a kihasznált sebezhetőségekről/súlyos eseményekről.
• Jelentés az ENISA platformján keresztül a koordináló CSIRT-nek történik.
• Az EU-n kívüli gyártóknak hivatalos képviselőt kell kinevezniük.
• REP27 — Europe Services, SE: 490 €/év megbízási díj (ár ellenőrizve).
• Rejtett költségek: belső mérnöki munka, támogatási időszak, megfelelőség értékelés.
• A szolgáltatók eltérnek a közzétett árakban, tartalmakban és átláthatóságban.

Frissítve 20 October 2026 · 12 ellenőrzött források

Összehasonlított szolgáltatók

Árak a szolgáltatók weboldalán közzétett információk alapján 20 October 2026, áfát nem tartalmazva, hacsak másként nincs feltüntetve. Minden sor a forrásához linkel.

Mit követel a Cyber Resilience Act (cikkekkel)

A Cyber Resilience Act (CRA) átfogó szabályozás, amely minden digitális elemeket tartalmazó termékre vonatkozik az EU piacán, legyen az hardver vagy szoftver (1. cikk, forrás). Fő célja, hogy a termékeket kiberbiztonsági szempontból tervezze, fejlessze és tartsa karban az életciklusuk során. A jogszabály 2024. december 10-én lépett hatályba (71. cikk (1)), de a legtöbb kötelezettség, beleértve a jelentéstételt is, 2026. szeptember 11-től válik kötelezővé a 14. cikk szerint, és teljes körűen 2027. december 11-től (71. cikk (2)).

14. cikk kulcsfontosságú az incidenskezelésben: a gyártóknak 24 órán belül jelenteniük kell minden aktívan kihasznált sebezhetőséget vagy súlyos eseményt, amely a termék biztonságát érinti. Ez az ENISA platformján keresztül, a koordináló CSIRT-nek történik. Az időmérés az észlelés pillanatától kezdődik, nem a kivizsgálás vagy megerősítés után. A teljes értesítés 72 órán belül, a végleges jelentés pedig 14 napon belül esedékes. A jelentési határidő tartalmazza a hétvégéket és ünnepnapokat – nincs hosszabbítás vagy szünet.

18. cikk előírja, hogy az EU-n kívüli gyártóknak hivatalos képviselőt kell kinevezniük az EU-ban. Ez a képviselő az illetékes hatóságokkal való hivatalos kapcsolattartó és jelentési útvonal. Ennek hiányában az importőr vagy forgalmazó válik felelőssé, ami kereskedelmi és megfelelőségi kockázatokat jelent.

A 2027. december 11. előtt forgalomba hozott termékek csak akkor tartoznak a CRA hatálya alá, ha ezen időpont után jelentős módosításon esnek át (69. cikk (2)). A nem megfelelés akár 15 millió eurós vagy a globális éves árbevétel 2,5%-os bírságot vonhat maga után (forrás).

• 14. cikk: 24 órás jelentési kötelezettség kihasznált sebezhetőségekről/súlyos eseményekről
• 18. cikk: Hivatalos képviselő kinevezése az EU-n kívüli gyártóknak
• 69. cikk (2): Régi termékek szabályozása

Hogyan válasszunk CRA hivatalos képviselőt

Az EU-n kívüli gyártók számára kritikus a megfelelő CRA hivatalos képviselő kiválasztása. A képviselő az Ön hivatalos kapcsolattartója a sebezhetőség jelentések és a szabályozói kommunikáció során az EU-ban. Fő szempontok:

• Ár átláthatósága: Csak néhány szolgáltató teszi közzé ellenőrzött árait. A REP27 — Europe Services, SE egyértelmű 490 €/év díjat kínál (megújítás 440 €), a kadano 999 €/év, az Euverify 590 £/év. Mások árajánlatot kérnek.
• Szolgáltatási kör: Ellenőrizze, mi tartozik az árba. A 18. cikk szerinti megbízás a minimum, de egyes szolgáltatók további szolgáltatásokat nyújtanak, például monitorozást, bizonyítékmegőrzést vagy önértékelési dokumentációt (lásd CRAguard, ProvenVEX, SECURiMENT).
• Kizárások: Egyik szolgáltató sem tartalmaz megfelelőség-értékelést, biztonsági tesztelést vagy SBOM készítést az alapdíjban. Ezek külön mérnöki vagy bejelentett szervezeti költségek.
• Tanúsítvány és ellenőrzés: Keressen olyan szolgáltatót, amely ellenőrizhető tanúsítványt kínál (REP27 QR-kódos és nyilvános ellenőrző oldallal).
• Megújítási feltételek: Győződjön meg róla, hogy a megújítási ár írásban ismert, mielőtt az első számlát kifizeti. A néma vagy nem egyértelmű megújítások gyakori probléma ezen a piacon.
• Válaszadási folyamat: Kérdezze meg, hogyan kezelik a hatósági megkereséseket, milyen nyelveken és milyen időszakban. A 0-24 órás ügyfélszolgálat elengedhetetlen a 24 órás jelentési határidő betartásához.

Az alábbi táblázat a szolgáltatók által közzétett információk alapján mutatja, mi tartozik bele és mi nem:

Mindig kérjen írásos szerződést, amely tartalmazza az összes tartalmat, kizárást és megújítási feltételt.

Mit tartalmaz valójában az ár

Fontos megérteni, mit tartalmaz (és mit nem) a közzétett ár a tervezés és megfelelés szempontjából. A 18. cikk szerinti megbízási díj általában csak a jogi képviseletet és az EU-ban működő jelentési ügyfélszolgálatot fedezi. Gyakorlatban ez a következőket jelenti:

• Megbízás és jelentési ügyfélszolgálat: A képviselő hivatalos kapcsolattartóként jár el a sebezhetőség jelentésekben. A REP27 esetében ez 0-24 órás ügyfélszolgálatot, CSIRT/ENISA csatorna kezelést és QR-kóddal ellátott, ellenőrizhető tanúsítványt jelent. A kadano és Euverify hasonló megbízást kínálnak, de nem részletezik a további funkciókat.
• Összecsomagolt szolgáltatások: Egyes szolgáltatók (CRAguard, ProvenVEX, SECURiMENT) további szolgáltatásokat nyújtanak, mint függőségfigyelés, bizonyítékmegőrzés vagy incidenskezelési folyamatok, de ezek árai nem nyilvánosak és jelentős többletköltséget jelenthetnek.
• Mi nincs benne: Egyetlen szolgáltató sem tartalmaz megfelelőség-értékelést, biztonsági tesztelést vagy SBOM készítést az alapdíjban. Ezek külön, gyakran jelentős költségek, amelyeket bejelentett szervezetek vagy saját mérnöki csapat kezel.
• Megújítási ár: Csak a REP27 közli nyilvánosan a megújítási díjat (440 €/év), amely alacsonyabb az első év díjánál. A kadano és Euverify nem közöl megújítási feltételeket.

Szolgáltatók összehasonlításakor mindig kérjen részletes bontást arról, mi tartozik az árba és miért kell külön fizetni. Egyes szolgáltatók GDPR 27. cikk vagy NIS2 képviseletet is kínálnak csomagban (REP27: 690 €/év CRA+GDPR, 990 €/év CRA+GDPR+NIS2).

Összefoglaló táblázat:

Rejtett költségek és kizárások

Bár a képviselői megbízási díj gyakran a legkisebb tétel a CRA megfelelésben, a rejtett költségek és kizárások jelentősek lehetnek:

• Belső mérnöki munka: Az önértékelés, dokumentáció és SBOM előállítása kötelező, de nem része a képviselői díjnak. Ezekhez dedikált műszaki erőforrás szükséges.
• Támogatási időszak: A CRA előírja, hogy a legtöbb termékhez legalább öt év biztonsági frissítés jár. Ez egy folyamatos termékvonal-karbantartási költség, nem egyszeri projekt.
• Megfelelőség-értékelés: Fontos II. osztályú vagy kritikus termékek esetén bejelentett szervezeti értékelés szükséges, ami több ezer euróba kerülhet és hónapokat vesz igénybe. Ezt a képviselő nem vállalja át.
• Incidens-felderítés: A képviselő nem figyeli az Ön rendszereit sebezhetőségek után. Az elsődleges felelősség az Ön biztonsági csapatánál van.
• Incidensenkénti vagy kérésenkénti díjak: Bár a REP27 nem jelöl meg külön díjat a kérelmekért, más szolgáltatók felszámíthatnak többletköltséget. Mindig tisztázza ezt írásban.
• Felelősség korlátozása: A szolgáltatók általában csak a megbízás keretei között vállalnak felelősséget, nem felelnek az Ön belső hibái miatt elmulasztott jelentésekért.
• Értesítési időszakok és megújítás: A néma vagy nem egyértelmű megújítás váratlan költségeket vagy lefedetlenséget okozhat. A REP27 közzéteszi a megújítási feltételeket, mások nem.

Amit a szolgáltatók általában nem mondanak el:

• A megbízás nem tartalmazza a sebezhetőség-felderítést, javítást vagy felhasználói értesítést – ezek az Ön felelőssége.
• Hatósági dokumentációs kérések késhetnek, ha az Ön eljáráskönyve hiányos vagy a csapat nem felkészült.
• A szolgáltatóváltás bonyolult lehet, ha a megbízás nincs egyértelműen korlátozva a 18. cikk (3) bekezdésére.

Mindig kérjen kizárások listáját és erősítse meg az összes feltételt írásban a szerződés aláírása előtt.

A kinevezés menete: lépésről lépésre

A CRA hivatalos képviselő kinevezése strukturált folyamat. Íme a gyakorlati lépések és tippek:

1. Állapot meghatározása: Ön gyártója-e digitális elemeket tartalmazó terméknek, amelyet az EU piacán forgalmaz? Ha igen, folytassa. Ha csak importőr vagy forgalmazó, ellenőrizze, hogy a terméket saját neve alatt hozza-e forgalomba.
2. Telephely ellenőrzése: Ha nincs jogi személyisége az EU-ban, hivatalos képviselőt kell kineveznie. Ha van EU-s leányvállalata, amely gyártóként működik, közvetlenül jelent.
3. Szolgáltató kiválasztása: Hasonlítsa össze a szolgáltatókat közzétett árak, szolgáltatási kör és átláthatóság alapján. A REP27, kadano és Euverify közzéteszi áraikat, mások kérésre adnak részleteket.
4. Írásos megbízás aláírása: A szolgáltató (pl. REP27) kiállítja az aláírt kinevezési levelet, általában eIDAS elektronikus aláírással és ellenőrizhető tanúsítvánnyal. Győződjön meg róla, hogy a megbízás csak a 18. cikk (3) szerinti feladatokra terjed ki.
5. Megfelelőségi dokumentáció frissítése: Vegye fel a képviselő adatait a műszaki dokumentációba, eljáráskönyvbe és minden CRA által előírt termékdokumentációba.
6. Jelentési folyamat kialakítása: Nevezzen meg legalább két jelentéstételre jogosult személyt, akik hozzáférnek az ENISA jelentési platformhoz. Készítsen előre figyelmeztető és értesítési sablonokat.
7. Indítók és belső folyamat meghatározása: Dokumentálja, mi számít tudomásszerzésnek aktívan kihasznált sebezhetőség vagy súlyos esemény esetén. Határozza meg, ki teheti meg a bejelentést és milyen bizonyíték szükséges (pl. megfigyelt kihasználás, megbízható ügyféljelentés).
8. Nyilvántartás: Őrizze meg az észlelés, beküldés és frissítések időbélyegeit. Ez bizonyíték a határidő betartására.
9. Folyamatos felkészültség: Képezze csapatát, tesztelje a jelentési folyamatot és rendszeresen frissítse az eljáráskönyvet.

Ez a folyamat biztosítja, hogy készen álljon a 24 órás jelentési határidő betartására és elkerülje a megfelelési hiányosságokat.

Kockázatok és bírságok

A CRA nem megfelelésének kockázatai jelentősek pénzügyi és működési szempontból:

• Bírságok: A határidők elmulasztása, képviselő kinevezésének hiánya vagy nem megfelelő incidenskezelés akár 15 millió euró vagy a globális éves árbevétel 2,5%-ának megfelelő bírságot vonhat maga után (forrás).
• Működési kockázatok: Jelentési késések szabályozói vizsgálatokat, termékvisszahívást vagy piaci forgalmazási tilalmat eredményezhetnek. Beszerzés és forgalmazás blokkolható, ha nem tud érvényes EU képviselőt igazolni.
• Hírnév károsodása: A felhasználók vagy hatóságok késedelmes értesítése negatív nyilvánosságot és ügyfélvesztést okozhat.
• Belső zavarok: Egyértelmű jelentési folyamat hiányában értékes órák veszhetnek el egy incidens során, növelve a kockázatot és költségeket.

Gyakori hibák példái:

• Az incidens első óráit azzal töltik, hogy megtalálják a megfelelő CSIRT-et vagy jelentési csatornát, értékes időt pazarolva.
• Dokumentációs kérések más időzónában lévő irodához érkeznek, késleltetve a választ.
• Forgalmazó válik alapértelmezett jelentési útvonallá, elveszítve az ellenőrzést az incidenskezelés felett.
• Néma megújítások miatt a megbízás lefedettsége megszűnik.

Csökkentse ezeket a kockázatokat átlátható, reagáló képviselő kinevezésével és robusztus belső folyamat fenntartásával.

Döntési mátrix: Szüksége van CRA képviselőre?

Az alábbi mátrix segít eldönteni, szüksége van-e CRA hivatalos képviselőre az üzleti modellje és helyzete alapján:

Mindig ellenőrizze státuszát és kötelezettségeit a képviselő kinevezése előtt.

Ellenőrző lista: Lépések a CRA 24 órás jelentési megfeleléshez

1. Azonosítsa, hogy terméke a CRA hatálya alá tartozik-e (digitális elem, EU piac).
2. Erősítse meg, hogy Ön a gyártó (nem csak importőr vagy forgalmazó).
3. Ha az EU-n kívül van, nevezzen ki CRA hivatalos képviselőt és szerezze be az aláírt megbízást.
4. Dokumentálja a képviselő adatait a műszaki és megfelelőségi iratokban.
5. Állítson fel 0-24 órás fogadási csatornát a sebezhetőség jelentésekhez (saját vagy képviselő által).
6. Nevezzen meg legalább két jelentéstételre jogosult személyt az ENISA platformhoz.
7. Készítsen előre figyelmeztető és értesítési sablonokat a gyors kitöltéshez.
8. Képezze ki a személyzetet, hogy mikor kell jelenteni és hogyan kell 24 órán belül reagálni.
9. Határozza meg és dokumentálja, milyen bizonyíték szükséges a "tudomásszerzéshez" sebezhetőség vagy incidens esetén.
10. Őrizze meg az összes releváns időbélyeget a megfelelés és audit bizonyításához.
11. Rendszeresen vizsgálja felül és frissítse az eljáráskönyvet és jelentési folyamatot.

Ennek a listának a követése segít elkerülni a leggyakoribb megfelelési hibákat.

Reális forgatókönyvek: Melyik kötelezettség vonatkozik Önre?

• Amerikai SaaS cég, amely EU-nak értékesít: Mint EU-n kívüli gyártó, hivatalos CRA képviselőt kell kineveznie (pl. REP27), aki az Ön jelentési útvonala. Állítson fel 0-24 órás fogadási csatornát, és biztosítson legalább két személyt a jelentések ENISA platformra történő beküldésére. Készítsen elő figyelmeztető sablonokat és dokumentálja a sebezhetőség aktív kihasználásának felismerési folyamatát.
• Kínai Amazon eladó (saját márka): Ha saját márkás digitális termékeket gyárt és értékesít EU vásárlóknak, szüksége van CRA képviselőre. Ha csak harmadik fél márkáját értékesíti, nincs szükség. Kinevezze a képviselőt, frissítse a megfelelőségi dokumentumokat és készüljön fel a 24 órás jelentésre.
• UK online bolt saját IoT eszközzel: Ha közvetlenül EU fogyasztóknak értékesít, gyártóként CRA képviselőt kell kineveznie. Ha csak az Egyesült Királyságban értékesít, a CRA nem vonatkozik rá. Ha EU-s forgalmazón keresztül hozza forgalomba a terméket, az ő felelősségük a megfelelés.

Minden esetben a legegyszerűbb és legbiztonságosabb út egy átlátható, fix árú képviselő kinevezése, a jelentési folyamat dokumentálása és a csapat képzése a jogszabály hatálybalépése előtt.