Πώς να Αναφέρω Ευπάθειες Εντός 24 Ωρών με τον Cyber Resilience Act

• Άρθρο 14 CRA: Αναφορά εντός 24 ωρών για εκμεταλλευόμενες ευπάθειες/σοβαρά περιστατικά.
• Η αναφορά γίνεται μέσω της πλατφόρμας της ENISA στον συντονιστικό CSIRT.
• Οι κατασκευαστές εκτός ΕΕ πρέπει να ορίσουν εξουσιοδοτημένο εκπρόσωπο.
• REP27 — Europe Services, SE: €490/έτος (τιμή επαληθευμένη).
• Κρυφά κόστη: εσωτερική μηχανική, περίοδος υποστήριξης, αξιολόγηση συμμόρφωσης.
• Οι πάροχοι διαφέρουν σε τιμές, παροχές και διαφάνεια.

Ενημερωμένο 20 October 2026 · 12 πηγές ελεγμένες

Πάροχοι συγκριμένοι

Τιμές όπως δημοσιεύονται στον ιστότοπο κάθε παρόχου στις 20 October 2026, χωρίς ΦΠΑ εκτός αν αναφέρεται. Κάθε γραμμή συνδέεται με την πηγή της.

Τι Απαιτεί ο Cyber Resilience Act (με αριθμούς άρθρων)

Ο Cyber Resilience Act (CRA) είναι ένας εκτεταμένος κανονισμός που ισχύει για όλα τα προϊόντα με ψηφιακά στοιχεία που διατίθενται στην αγορά της ΕΕ, είτε πρόκειται για υλικό είτε για λογισμικό (Άρθρο 1, πηγή). Ο βασικός του στόχος είναι να διασφαλίσει ότι τα προϊόντα σχεδιάζονται, αναπτύσσονται και συντηρούνται με την ασφάλεια στον κυβερνοχώρο ως αναπόσπαστο μέρος του κύκλου ζωής τους. Ο νόμος τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024 (Άρθρο 71(1)), αλλά οι περισσότερες υποχρεώσεις, συμπεριλαμβανομένης της αναφοράς, γίνονται δεσμευτικές από 11 Σεπτεμβρίου 2026 για το Άρθρο 14, και πλήρως από 11 Δεκεμβρίου 2027 (Άρθρο 71(2)).

Το Άρθρο 14 είναι κεντρικό για την ανταπόκριση σε περιστατικά: οι κατασκευαστές πρέπει να αναφέρουν οποιαδήποτε ευπάθεια που εκμεταλλεύεται ενεργά ή σοβαρό περιστατικό που επηρεάζει την ασφάλεια του προϊόντος εντός 24 ωρών από τη στιγμή που το γνωρίζουν. Αυτό πρέπει να γίνει μέσω της πλατφόρμας της ENISA στον συντονιστικό CSIRT. Το χρονόμετρο ξεκινά από τη στιγμή της γνώσης, όχι μετά από έρευνα ή επιβεβαίωση. Η πλήρης ειδοποίηση πρέπει να υποβληθεί εντός 72 ωρών και η τελική αναφορά εντός 14 ημερών. Το παράθυρο αναφοράς περιλαμβάνει Σαββατοκύριακα και αργίες — δεν υπάρχουν παρατάσεις ή διακοπές.

Το Άρθρο 18 απαιτεί από τους κατασκευαστές εκτός ΕΕ να ορίσουν εξουσιοδοτημένο εκπρόσωπο εγκατεστημένο στην ΕΕ. Αυτός ο εκπρόσωπος λειτουργεί ως επίσημη διαδρομή αναφοράς και επαφή για τις αρχές. Χωρίς αυτόν, ο εισαγωγέας ή διανομέας καθίσταται υπεύθυνος από προεπιλογή, κάτι που μπορεί να δημιουργήσει εμπορικούς και συμμορφωτικούς κινδύνους.

Τα προϊόντα που διατίθενται στην αγορά πριν από τις 11 Δεκεμβρίου 2027 υπόκεινται στον CRA μόνο αν υποστούν ουσιαστική τροποποίηση μετά από αυτήν την ημερομηνία (Άρθρο 69(2)). Η μη συμμόρφωση μπορεί να επιφέρει πρόστιμα έως €15 εκατομμύρια ή 2,5% του παγκόσμιου ετήσιου κύκλου εργασιών (πηγή).

• Άρθρο 14: Αναφορά εντός 24 ωρών για εκμεταλλευόμενες ευπάθειες/σοβαρά περιστατικά
• Άρθρο 18: Εξουσιοδοτημένος εκπρόσωπος για κατασκευαστές εκτός ΕΕ
• Άρθρο 69(2): Κανόνες για προϊόντα παλαιότερης κυκλοφορίας

Πώς να Επιλέξετε Εξουσιοδοτημένο Εκπρόσωπο CRA

Η επιλογή του κατάλληλου εξουσιοδοτημένου εκπροσώπου CRA είναι κρίσιμη για τους κατασκευαστές εκτός ΕΕ. Ο εκπρόσωπος είναι το επίσημο κανάλι σας για αναφορά ευπαθειών και ρυθμιστική επαφή στην ΕΕ. Ακολουθούν οι βασικοί παράγοντες που πρέπει να λάβετε υπόψη:

• Διαφάνεια τιμών: Μόνο λίγοι πάροχοι δημοσιεύουν επαληθευμένες τιμές. Η REP27 — Europe Services, SE προσφέρει σαφή εξουσιοδότηση €490/έτος (ανανεώσεις €440), ενώ η kadano αναφέρει €999/έτος και η Euverify £590/έτος. Άλλοι απαιτούν άμεση προσφορά.
• Εύρος υπηρεσιών: Επιβεβαιώστε τι περιλαμβάνεται στην αμοιβή. Η εξουσιοδότηση του Άρθρου 18 είναι το ελάχιστο, αλλά κάποιοι πάροχοι προσφέρουν επιπλέον υπηρεσίες όπως παρακολούθηση, διατήρηση αποδεικτικών ή τεκμηρίωση αυτοαξιολόγησης (βλ. CRAguard, ProvenVEX, SECURiMENT).
• Εξαιρέσεις: Κανένας πάροχος δεν περιλαμβάνει αξιολόγηση συμμόρφωσης, δοκιμές ασφάλειας ή δημιουργία SBOM στην αμοιβή εξουσιοδότησης. Αυτά είναι ξεχωριστά κόστη μηχανικής ή κοινοποιημένων οργανισμών.
• Πιστοποιητικό και επαλήθευση: Αναζητήστε πάροχο που προσφέρει πιστοποιητικό με δυνατότητα επαλήθευσης (η REP27 παρέχει κωδικό QR και δημόσια σελίδα επαλήθευσης).
• Όροι ανανέωσης: Βεβαιωθείτε ότι η τιμή ανανέωσης αναφέρεται γραπτώς πριν πληρώσετε το πρώτο τιμολόγιο. Οι σιωπηρές ή ασαφείς ανανεώσεις είναι κοινό πρόβλημα στην αγορά.
• Διαδικασία ανταπόκρισης: Ρωτήστε πώς διαχειρίζονται τα αιτήματα από τις αρχές, σε ποιες γλώσσες και σε ποιες ώρες. Ένα γραφείο με προσωπικό 24/7 είναι απαραίτητο για την τήρηση της προθεσμίας των 24 ωρών.

Παρακάτω υπάρχει σύγκριση των παροχών και εξαιρέσεων ανά πάροχο, βάσει δημοσιευμένων πληροφοριών:

Ζητήστε πάντα γραπτό συμβόλαιο που να αναφέρει όλες τις παροχές, εξαιρέσεις και όρους ανανέωσης.

Τι Περιλαμβάνει Πραγματικά η Τιμή

Η κατανόηση του τι περιλαμβάνεται (και τι όχι) στην δημοσιευμένη τιμή είναι κρίσιμη για τον προϋπολογισμό και τον σχεδιασμό συμμόρφωσης. Η αμοιβή εξουσιοδότησης του Άρθρου 18 καλύπτει συνήθως μόνο τον νομικό διορισμό και τη λειτουργία γραφείου αναφοράς στην ΕΕ. Αυτό σημαίνει στην πράξη:

• Εξουσιοδότηση και γραφείο αναφοράς: Ο εκπρόσωπος έχει την εξουσία να ενεργεί ως επίσημη επαφή για αναφορές ευπαθειών. Για την REP27, αυτό περιλαμβάνει γραφείο με προσωπικό 24/7, διαχείριση καναλιού CSIRT/ENISA και πιστοποιητικό με QR κωδικό. Η Kadano και η Euverify προσφέρουν παρόμοιες εξουσιοδοτήσεις αλλά δεν αναφέρουν επιπλέον χαρακτηριστικά δημόσια.
• Συνδυασμένες υπηρεσίες: Ορισμένοι πάροχοι (CRAguard, ProvenVEX, SECURiMENT) προσφέρουν επιπλέον υπηρεσίες όπως παρακολούθηση εξαρτήσεων, διατήρηση αποδεικτικών ή ροές εργασίας αντιμετώπισης περιστατικών. Ωστόσο, αυτές δεν τιμολογούνται δημόσια και μπορεί να συνεπάγονται σημαντικά επιπλέον κόστη.
• Τι δεν περιλαμβάνεται: Κανένας πάροχος σε αυτή τη σύγκριση δεν περιλαμβάνει αξιολόγηση συμμόρφωσης, δοκιμές ασφάλειας ή δημιουργία SBOM. Αυτά είναι ξεχωριστά, συχνά σημαντικά, κόστη που αναλαμβάνονται από κοινοποιημένους οργανισμούς ή την εσωτερική ομάδα μηχανικών σας.
• Τιμές ανανέωσης: Μόνο η REP27 δημοσιεύει τιμή ανανέωσης (€440/έτος), η οποία είναι χαμηλότερη από την πρώτη χρονιά. Η Kadano και η Euverify δεν αναφέρουν δημόσια όρους ανανέωσης.

Κατά τη σύγκριση παρόχων, ζητήστε πάντα αναλυτική ανάλυση του τι περιλαμβάνεται στην τιμή και τι συνεπάγεται επιπλέον χρεώσεις. Κάποιοι πάροχοι μπορεί να προσφέρουν συνδυασμένες υπηρεσίες GDPR Άρθρο 27 ή NIS2 με ενιαίο κόστος (REP27: €690/έτος για CRA+GDPR, €990/έτος για CRA+GDPR+NIS2).

Πίνακας σύνοψης:

Κρυφά Κόστη και Εξαιρέσεις

Παρόλο που η αμοιβή εξουσιοδότησης είναι συχνά το μικρότερο κόστος στη συμμόρφωση με τον CRA, τα κρυφά κόστη και οι εξαιρέσεις μπορεί να είναι σημαντικά:

• Εσωτερικός χρόνος μηχανικών: Η αυτοαξιολόγηση, η τεκμηρίωση και η προετοιμασία SBOM είναι υποχρεωτικές αλλά δεν περιλαμβάνονται στην αμοιβή εκπροσώπου. Αυτές οι εργασίες απαιτούν εξειδικευμένους τεχνικούς πόρους.
• Περίοδος υποστήριξης: Ο CRA απαιτεί τουλάχιστον πέντε χρόνια ενημερώσεων ασφάλειας για τα περισσότερα προϊόντα. Προϋπολογίστε συνεχή συντήρηση ως γραμμή προϊόντων, όχι ως μεμονωμένο έργο.
• Αξιολόγηση συμμόρφωσης: Για σημαντικά προϊόντα κατηγορίας II ή κρίσιμα, απαιτείται αξιολόγηση από κοινοποιημένο οργανισμό. Αυτό μπορεί να κοστίσει χιλιάδες ευρώ και να διαρκέσει μήνες. Κανένας εκπρόσωπος δεν αναλαμβάνει αυτό το κόστος.
• Ανίχνευση περιστατικών: Ο εκπρόσωπος δεν παρακολουθεί τα συστήματά σας για ευπάθειες. Η ομάδα ασφάλειας σας είναι υπεύθυνη για την ανίχνευση και την αρχική αξιολόγηση.
• Χρεώσεις ανά περιστατικό ή αίτημα: Ενώ η REP27 δηλώνει ότι δεν υπάρχουν επιπλέον χρεώσεις για αιτήματα, άλλοι πάροχοι μπορεί να χρεώνουν για επιπλέον υπηρεσίες ή διαχείριση περιστατικών. Πάντα διευκρινίστε γραπτώς.
• Όρια ευθύνης: Οι πάροχοι συνήθως περιορίζουν την ευθύνη τους στο πλαίσιο της εξουσιοδότησης. Δεν ευθύνονται για παραλείψεις αναφορών λόγω εσωτερικών σφαλμάτων σας.
• Προθεσμίες ειδοποίησης και όροι ανανέωσης: Οι σιωπηρές ή ασαφείς ανανεώσεις μπορεί να οδηγήσουν σε απρόβλεπτα κόστη ή διακοπές κάλυψης. Η REP27 δημοσιεύει όρους και τιμές ανανέωσης, άλλοι όχι.

Τι συνήθως δεν λένε οι πάροχοι:

• Η εξουσιοδότηση δεν καλύπτει ανίχνευση ευπαθειών, επιδιόρθωση ή ενημέρωση χρηστών — αυτά παραμένουν δική σας ευθύνη.
• Αιτήματα τεκμηρίωσης από αρχές μπορεί να καθυστερήσουν αν το runbook σας είναι ελλιπές ή η ομάδα σας απροετοίμαστη.
• Η αλλαγή παρόχου μπορεί να είναι πολύπλοκη αν η εξουσιοδότηση δεν περιορίζεται σαφώς στο Άρθρο 18(3).

Ζητήστε πάντα λίστα εξαιρέσεων και επιβεβαιώστε όλους τους όρους γραπτώς πριν υπογράψετε.

Πώς Λειτουργεί ο Διορισμός: Βήμα-Βήμα

Ο διορισμός εξουσιοδοτημένου εκπροσώπου CRA είναι μια δομημένη διαδικασία. Δείτε πώς λειτουργεί στην πράξη, με συγκεκριμένα βήματα και συμβουλές:

1. Καθορίστε την κατάσταση σας: Είστε κατασκευαστής προϊόντος με ψηφιακά στοιχεία που διατίθεται στην αγορά της ΕΕ; Αν ναι, προχωρήστε. Αν είστε μόνο εισαγωγέας ή διανομέας, ελέγξτε αν τοποθετείτε το προϊόν με δικό σας όνομα.
2. Ελέγξτε την εγκατάστασή σας: Αν δεν έχετε νομική οντότητα στην ΕΕ, πρέπει να ορίσετε εξουσιοδοτημένο εκπρόσωπο. Αν έχετε θυγατρική στην ΕΕ που λειτουργεί ως κατασκευαστής, αναφέρεστε απευθείας.
3. Επιλέξτε πάροχο: Συγκρίνετε παρόχους βάσει δημοσιευμένων τιμών, εύρους και διαφάνειας. Η REP27, η kadano και η Euverify δημοσιεύουν τιμές, άλλοι δίνουν λεπτομέρειες κατόπιν αιτήματος.
4. Υπογράψτε γραπτή εξουσιοδότηση: Ο πάροχος (π.χ. REP27) εκδίδει υπογεγραμμένο έγγραφο διορισμού, συνήθως με ηλεκτρονική υπογραφή eIDAS και πιστοποιητικό επαλήθευσης. Επιβεβαιώστε ότι η εξουσιοδότηση περιορίζεται στα καθήκοντα του Άρθρου 18(3).
5. Ενημερώστε την τεκμηρίωση συμμόρφωσης: Προσθέστε τα στοιχεία του εκπροσώπου στα τεχνικά αρχεία, το runbook και όποια τεκμηρίωση απαιτεί ο CRA.
6. Οργανώστε τη διαδικασία αναφοράς: Ορίστε τουλάχιστον δύο υπεύθυνους με πρόσβαση στην πλατφόρμα αναφοράς της ENISA. Προετοιμάστε πρότυπα προειδοποιήσεων και ειδοποιήσεων εκ των προτέρων.
7. Ορίστε τα κριτήρια και την εσωτερική διαδικασία: Τεκμηριώστε τι σημαίνει γνώση εκμεταλλευόμενης ευπάθειας ή σοβαρού περιστατικού. Αποφασίστε ποιος μπορεί να το δηλώσει και ποια αποδεικτικά στοιχεία απαιτούνται (π.χ. παρατηρημένη εκμετάλλευση, αξιόπιστη αναφορά πελάτη).
8. Τήρηση αρχείων: Κρατήστε χρονοσφραγίδες για τη γνώση, την υποβολή και τις ενημερώσεις. Αυτό είναι η απόδειξή σας αν αμφισβητηθεί η προθεσμία.
9. Συνεχής ετοιμότητα: Εκπαιδεύστε την ομάδα σας, δοκιμάστε τη διαδικασία αναφοράς και αναθεωρείτε τακτικά το runbook.

Αυτή η διαδικασία διασφαλίζει ότι είστε έτοιμοι να τηρήσετε την προθεσμία των 24 ωρών και να αποφύγετε κενά συμμόρφωσης.

Κίνδυνοι και Πρόστιμα

Οι κίνδυνοι μη συμμόρφωσης με τον CRA είναι σημαντικοί, τόσο οικονομικά όσο και λειτουργικά:

• Πρόστιμα: Η μη συμμόρφωση μπορεί να επιφέρει διοικητικά πρόστιμα έως €15 εκατομμύρια ή 2,5% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι μεγαλύτερο. Αυτά ισχύουν για καθυστερημένες αναφορές, μη διορισμό εκπροσώπου ή ανεπαρκή ανταπόκριση σε περιστατικά (πηγή).
• Λειτουργικοί κίνδυνοι: Καθυστερήσεις στην αναφορά μπορεί να οδηγήσουν σε ρυθμιστικούς ελέγχους, ανάκληση προϊόντων ή απαγόρευση πρόσβασης στην αγορά. Η προμήθεια και διανομή μπορεί να μπλοκαριστούν αν δεν αποδείξετε έγκυρο εκπρόσωπο ΕΕ.
• Φθορά φήμης: Η μη έγκαιρη ειδοποίηση χρηστών ή αρχών μπορεί να προκαλέσει αρνητική δημοσιότητα και απώλεια εμπιστοσύνης πελατών.
• Εσωτερική αναστάτωση: Χωρίς σαφή διαδικασία αναφοράς, πολύτιμες ώρες μπορεί να χαθούν κατά τη διάρκεια περιστατικού, αυξάνοντας τον κίνδυνο και το κόστος.

Παραδείγματα προβλημάτων:

• Να περνάτε τις πρώτες ώρες ενός περιστατικού προσπαθώντας να βρείτε τον σωστό CSIRT ή διαδρομή αναφοράς, χάνοντας πολύτιμο χρόνο.
• Αιτήματα τεκμηρίωσης να φτάνουν σε γραφείο σε άλλη ζώνη ώρας, προκαλώντας καθυστερήσεις.
• Ένας διανομέας να θεωρείται από προεπιλογή ως διαδρομή αναφοράς, χάνοντας τον έλεγχο της διαχείρισης περιστατικού.
• Σιωπηρές διακοπές κάλυψης λόγω ασαφών όρων ανανέωσης.

Μειώστε αυτούς τους κινδύνους ορίζοντας διαφανή, ανταποκρινόμενο εκπρόσωπο και διατηρώντας ισχυρή εσωτερική διαδικασία.

Πίνακας Απόφασης: Χρειάζομαι Εκπρόσωπο CRA;

Χρησιμοποιήστε τον παρακάτω πίνακα για να καθορίσετε αν χρειάζεστε εξουσιοδοτημένο εκπρόσωπο CRA βάσει επιχειρηματικού μοντέλου και τοποθεσίας:

Επιβεβαιώστε πάντα την κατάσταση και τις υποχρεώσεις σας πριν διορίσετε εκπρόσωπο.

Λίστα Ελέγχου: Βήματα για Συμμόρφωση Αναφοράς CRA 24 Ωρών

1. Εντοπίστε αν το προϊόν σας καλύπτεται από τον CRA (ψηφιακό στοιχείο, αγορά ΕΕ).
2. Επιβεβαιώστε αν είστε κατασκευαστής (όχι μόνο εισαγωγέας/διανομέας).
3. Αν είστε εκτός ΕΕ, ορίστε εξουσιοδοτημένο εκπρόσωπο CRA και λάβετε γραπτή εξουσιοδότηση.
4. Τεκμηριώστε τα στοιχεία του εκπροσώπου στα τεχνικά αρχεία και αρχεία συμμόρφωσης.
5. Οργανώστε κανάλι εισαγωγής 24/7 για αναφορές ευπαθειών (εσωτερικά ή μέσω εκπροσώπου).
6. Ορίστε τουλάχιστον δύο υπεύθυνους με πρόσβαση στην πλατφόρμα ENISA.
7. Προετοιμάστε εκ των προτέρων πρότυπα προειδοποιήσεων και ειδοποιήσεων.
8. Εκπαιδεύστε το προσωπικό για το τι ενεργοποιεί αναφορά και πώς να ανταποκριθούν εντός 24 ωρών.
9. Ορίστε και τεκμηριώστε τα αποδεικτικά στοιχεία που απαιτούνται για να θεωρηθεί "γνώση" ευπάθειας ή περιστατικού.
10. Καταγράψτε όλα τα σχετικά χρονικά σημεία για απόδειξη συμμόρφωσης και ελέγχους.
11. Αναθεωρείτε και ενημερώνετε τακτικά το runbook και τη διαδικασία αναφοράς.

Η τήρηση αυτής της λίστας θα σας βοηθήσει να αποφύγετε τις πιο συνηθισμένες αποτυχίες συμμόρφωσης.

Ρεαλιστικά Σενάρια: Ποια Υποχρέωση Ισχύει;

• Αμερικανική εταιρεία SaaS που πουλά στην ΕΕ: Ως κατασκευαστής εκτός ΕΕ, πρέπει να ορίσετε εξουσιοδοτημένο εκπρόσωπο CRA (π.χ. REP27) ως διαδρομή αναφοράς. Οργανώστε κανάλι εισαγωγής 24/7 και βεβαιωθείτε ότι τουλάχιστον δύο υπάλληλοι μπορούν να υποβάλουν αναφορές μέσω της πλατφόρμας ENISA. Προετοιμάστε πρότυπα προειδοποιήσεων και τεκμηριώστε τη διαδικασία για τον προσδιορισμό πότε μια ευπάθεια εκμεταλλεύεται ενεργά.
• Κινέζος πωλητής Amazon (δική μάρκα): Αν κατασκευάζετε και πωλείτε δικά σας ψηφιακά προϊόντα στην ΕΕ, χρειάζεστε εκπρόσωπο CRA. Αν απλώς μεταπωλείτε τρίτες μάρκες, δεν χρειάζεστε. Ορίστε εκπρόσωπο, ενημερώστε τα αρχεία συμμόρφωσης και προετοιμαστείτε για αναφορά εντός 24 ωρών.
• Ηλεκτρονικό κατάστημα ΗΒ με δική συσκευή IoT: Αν πουλάτε απευθείας σε καταναλωτές ΕΕ, είστε κατασκευαστής και πρέπει να ορίσετε εκπρόσωπο CRA. Αν πουλάτε μόνο στο ΗΒ, ο CRA δεν ισχύει. Αν χρησιμοποιείτε διανομέα ΕΕ που τοποθετεί το προϊόν στην αγορά με δικό του όνομα, εκείνος αναλαμβάνει την ευθύνη.

Σε όλες τις περιπτώσεις, η απλούστερη συμμορφωμένη επιλογή είναι να ορίσετε διαφανή εκπρόσωπο με σταθερή τιμή, να τεκμηριώσετε τη διαδικασία αναφοράς και να εκπαιδεύσετε την ομάδα σας πριν από την ημερομηνία εφαρμογής του νόμου.