Σύγκριση παρόχων υπηρεσιών αναφοράς ευπαθειών Cyber Resilience Act (CRA)

• Η αναφορά ευπαθειών CRA είναι υποχρεωτική από 11 Σεπτεμβρίου 2026
• Μόνο μερικοί πάροχοι δημοσιεύουν τιμές και περιλαμβανόμενα στοιχεία
• Η εκπροσώπηση καλύπτει τη μετάδοση αναφορών, όχι την τεχνική αξιολόγηση
• Συγκρίνετε εξαιρέσεις, ανανεώσεις και διαδικασίες επαλήθευσης
• Τα πρόστιμα για μη αναφορά μπορεί να φτάσουν τα €15 εκατ. ή 2,5% του τζίρου
• Η εντολή εκπροσώπησης δεν καλύπτει αξιολογήσεις, SBOM ή τεχνική υποστήριξη

Ενημερωμένο 21 October 2026 · 12 πηγές ελεγμένες

Πάροχοι συγκριμένοι

Τιμές όπως δημοσιεύονται στον ιστότοπο κάθε παρόχου στις 21 October 2026, χωρίς ΦΠΑ εκτός αν αναφέρεται. Κάθε γραμμή συνδέεται με την πηγή της.

Τι απαιτεί ο νόμος: υποχρεώσεις, άρθρα και προθεσμίες

Το Cyber Resilience Act (CRA), Κανονισμός (ΕΕ) 2024/2847, επιβάλλει αυστηρές υποχρεώσεις σε όσους διαθέτουν στην αγορά της ΕΕ προϊόντα με ψηφιακά στοιχεία, είτε hardware είτε software, ανεξαρτήτως τόπου εγκατάστασης. Οι βασικές υποχρεώσεις είναι:

• Ορισμός εξουσιοδοτημένου εκπροσώπου (Άρθρο 18): Αν ο κατασκευαστής δεν είναι εγκατεστημένος στην ΕΕ, πρέπει να ορίσει γραπτώς εκπρόσωπο στην Ένωση. Ο εκπρόσωπος αυτός είναι υπεύθυνος για τη μετάδοση αναφορών ευπαθειών και σοβαρών περιστατικών στις αρμόδιες αρχές (CSIRT, ENISA).
• Αναφορά ευπαθειών (Άρθρο 14): Από 11 Σεπτεμβρίου 2026, κάθε κατασκευαστής πρέπει να αναφέρει εντός 24 ωρών από τη γνώση μιας ευπάθειας που εκμεταλλεύεται ενεργά ή ενός σοβαρού περιστατικού που επηρεάζει την ασφάλεια του προϊόντος. Η αναφορά γίνεται μέσω της πλατφόρμας ENISA και απευθύνεται στον συντονιστικό CSIRT.
• Πλήρης ειδοποίηση και τελική αναφορά: Εντός 72 ωρών από την αρχική αναφορά, πρέπει να δοθεί λεπτομερής ειδοποίηση με τα πρώτα διορθωτικά μέτρα. Εντός 14-30 ημερών, αποστέλλεται τελική αναφορά με λεπτομέρειες για την ευπάθεια και τη λύση.
• Εφαρμογή σε όλα τα ψηφιακά προϊόντα: Η υποχρέωση αφορά τόσο νέα όσο και ήδη διαθέσιμα προϊόντα στην αγορά, καλύπτοντας όλο τον κύκλο ζωής, συμπεριλαμβανομένων ενημερώσεων και υποστήριξης.
• Πρόστιμα: Η μη συμμόρφωση μπορεί να επιφέρει πρόστιμα έως €15 εκατ. ή 2,5% του παγκόσμιου τζίρου, όποιο είναι μεγαλύτερο.

Είναι σημαντικό να διαχωρίζεται η αναφορά CRA (ευπάθειες προϊόντων) από άλλες υποχρεώσεις όπως GDPR (παραβιάσεις προσωπικών δεδομένων) ή NIS2 (περιστατικά υπηρεσιών). Κάθε καθεστώς έχει διαφορετικούς αποδέκτες, προθεσμίες και πλατφόρμες.

Πώς να επιλέξετε τον πάροχο: πρακτικά κριτήρια και κίνδυνοι

Η επιλογή παρόχου για την αναφορά ευπαθειών CRA πρέπει να βασίζεται σε πρακτικά και διαφανή κριτήρια. Τα βασικά σημεία που πρέπει να αξιολογήσετε είναι:

• Δημοσιευμένη και διαφανής τιμή: Προτιμήστε παρόχους που δηλώνουν ξεκάθαρα την τιμή και το κόστος ανανέωσης. Αποφύγετε προσφορές με "εισαγωγικές" τιμές ή κρυφές ανανεώσεις.
• Τι περιλαμβάνεται: Ελέγξτε αν η υπηρεσία καλύπτει μόνο την εντολή εκπροσώπησης και τη μετάδοση αναφορών, ή αν προσφέρει και τεχνική υποστήριξη, τεκμηρίωση, SBOM ή προηγμένες ροές εργασιών. Οι περισσότεροι πάροχοι περιορίζονται στην νομική εκπροσώπηση.
• Επαληθεύσιμο πιστοποιητικό: Ένα πιστοποιητικό με QR code και δημόσια σελίδα επαλήθευσης μειώνει τον κίνδυνο αμφισβητήσεων κατά τους ελέγχους ή περιστατικά.
• Desk ενεργό 24/7: Η αναφορά πρέπει να είναι δυνατή οποιαδήποτε στιγμή, συμπεριλαμβανομένων νυχτερινών ωρών, σαββατοκύριακων και αργιών. Ρωτήστε ρητά αν το desk λειτουργεί όλο το χρόνο.
• Γλώσσα και χρόνοι απόκρισης: Βεβαιωθείτε ότι ο πάροχος μπορεί να διαχειριστεί αιτήματα στα αγγλικά και, αν χρειάζεται, σε άλλες γλώσσες της ΕΕ. Χρόνοι μετάδοσης άνω των 24 ωρών μπορεί να θέσουν σε κίνδυνο τη συμμόρφωση.
• Εξαιρέσεις και όρια: Κανένας εκπρόσωπος δεν καλύπτει τεχνικές αξιολογήσεις, δοκιμές ασφάλειας, παραγωγή SBOM ή μηχανική υποστήριξη: αυτά παραμένουν ευθύνη του κατασκευαστή ή εξειδικευμένων παρόχων.

Αξιολογήστε πάντα την σαφήνεια των εξαιρέσεων: ένας πάροχος που δεν τις αναφέρει κινδυνεύει να μην έχει ορίσει σωστά το εύρος της υπηρεσίας.

Τι περιλαμβάνει πραγματικά η τιμή: συγκριτικός πίνακας και ανάλυση

Οι περισσότεροι πάροχοι προσφέρουν την εντολή εκπροσώπησης και τη μετάδοση αναφορών, αλλά λίγοι καλύπτουν πρόσθετες τεχνικές υπηρεσίες. Δείτε συγκριτικό πίνακα:

Η βασική διαφορά μεταξύ των "κλασικών" παρόχων (REP27, kadano, Euverify) και αυτών που προσφέρουν ευρύτερες υπηρεσίες (Attestra AI, Seentrix, Illicium) είναι ότι οι πρώτοι περιορίζονται στις ελάχιστες νομικές υποχρεώσεις, ενώ οι δεύτεροι προσφέρουν και ροές εργασιών ασφάλειας, αυτοματοποιημένα SBOM ή pentesting. Ωστόσο, για τη συμμόρφωση μόνο με τα Άρθρα 18 και 14 CRA, αρκεί η εντολή εκπροσώπησης και η έγκαιρη μετάδοση των αναφορών.

Προσοχή: η δημοσιευμένη τιμή καλύπτει μόνο όσα δηλώνονται ρητά. Οι τεχνικές υπηρεσίες συχνά τιμολογούνται ξεχωριστά και μπορεί να είναι πολύ πιο ακριβές.

Κρυφά κόστη, εξαιρέσεις και τι δεν λένε οι πάροχοι

Πολλοί πάροχοι δεν δημοσιεύουν την τιμή ανανέωσης ή επιβάλλουν επιπλέον χρεώσεις για αιτήματα εκτός ωραρίου, έκδοση επιπλέον πιστοποιητικών ή υποστήριξη σε γλώσσες εκτός αγγλικών. Τι πρέπει να προσέξετε:

• Ανανεώσεις: Ζητήστε πάντα γραπτή τιμή ανανέωσης πριν υπογράψετε. Η REP27 τη δημοσιεύει ξεκάθαρα (€440), άλλοι την αναφέρουν μόνο κατόπιν αιτήματος.
• Εξαιρέσεις: Κανένας πάροχος δεν καλύπτει αξιολόγηση συμμόρφωσης, δοκιμές ασφάλειας, παραγωγή SBOM ή μηχανική υποστήριξη. Αυτές οι υπηρεσίες είναι ξεχωριστές και συχνά πολύ πιο ακριβές από την εντολή εκπροσώπησης.
• Περιορισμοί ευθύνης: Οι πάροχοι δεν αναλαμβάνουν ευθύνη για τεχνικά λάθη, μη αναφορά από τον πελάτη ή για τη διαχείριση των ευπαθειών.
• Προθεσμία ειδοποίησης: Κάποιοι πάροχοι μπορεί να απαιτούν προειδοποίηση για διακοπή υπηρεσίας ή αλλαγή εκπροσώπου. Ελέγξτε πάντα τους όρους σύμβασης.
• Χρεώσεις ανά αίτημα: Αν δεν υπάρχουν δημόσιες πληροφορίες, ρωτήστε αν υπάρχουν κόστη για επιπλέον αιτήματα, έκδοση νέων πιστοποιητικών ή υποστήριξη έκτακτης ανάγκης.

Πίνακας απόφασης:

Συνοψίζοντας, η σαφήνεια στις εξαιρέσεις και στα κρυφά κόστη είναι κρίσιμη για να αποφύγετε εκπλήξεις και να διασφαλίσετε πλήρη συμμόρφωση.

Πώς λειτουργεί ο ορισμός: βήμα-βήμα και πρακτική λίστα ελέγχου

Ο ορισμός του εκπροσώπου CRA ακολουθεί βασικά βήματα. Ακολουθεί λεπτομερής οδηγός:

1. Επιβεβαιώστε την υποχρέωση: Είστε κατασκευαστής ψηφιακών προϊόντων (hardware/software) που πωλούνται στην ΕΕ και δεν έχετε έδρα στην Ένωση; Αν ναι, υπόκειστε στην υποχρέωση.
2. Επιλέξτε πάροχο: Συγκρίνετε τιμές, περιλαμβανόμενα στοιχεία, εξαιρέσεις και διαδικασίες επαλήθευσης. Προτιμήστε παρόχους με desk 24/7 και δημόσια επαληθεύσιμο πιστοποιητικό.
3. Υπογράψτε την εντολή: Η εντολή πρέπει να είναι γραπτή, υπογεγραμμένη από το νομικό πρόσωπο του παρόχου (π.χ. Europe Services, SE για REP27), και περιορισμένη στις υποχρεώσεις του Άρθρου 18. Αποφύγετε εντολές που καλύπτουν και το Άρθρο 13.
4. Λάβετε το πιστοποιητικό: Ο πάροχος εκδίδει πιστοποιητικό ορισμού, ιδανικά με QR code και σελίδα επαλήθευσης online.
5. Ετοιμάστε εσωτερικό runbook: Καταγράψτε τα στοιχεία του εκπροσώπου, τη διαδικασία κλιμάκωσης και τα στοιχεία επικοινωνίας για αναφορές στην εσωτερική τεκμηρίωση.
6. Ρυθμίστε κανάλι αναφοράς: Δημιουργήστε εσωτερικό κανάλι για συλλογή αναφορών ευπαθειών και περιστατικών, με τουλάχιστον δύο άτομα ορισμένα ως submitter στην πλατφόρμα ENISA.
7. Εκπαιδεύστε την ομάδα: Διασφαλίστε ότι το προσωπικό γνωρίζει τι και πότε να αναφέρει, και ότι οι διαδικασίες έχουν δοκιμαστεί με προσομοίωση.

Πρακτική λίστα ελέγχου:

1. Έχετε εντοπίσει τις κατηγορίες προϊόντων και τον προορισμό τους στην ΕΕ;
2. Έχετε χαρτογραφήσει όλα τα κανάλια πώλησης και διανομής;
3. Έχετε επιλέξει πάροχο με desk 24/7 και διαφανή τιμή ανανέωσης;
4. Έχετε γράψει τις διαδικασίες κλιμάκωσης και αναφοράς;
5. Έχετε ορίσει τουλάχιστον δύο submitter στην πλατφόρμα ENISA;
6. Έχετε δοκιμάσει τη ροή αναφοράς με προσομοίωση;

Ακολουθώντας αυτά τα βήματα μειώνετε στο ελάχιστο τον κίνδυνο μη συμμόρφωσης και προστίμων.

Κίνδυνοι, πρόστιμα και πραγματικά σενάρια: τι μπορεί να συμβεί στην πράξη

Η μη αναφορά ευπάθειας εντός 24 ωρών μπορεί να επιφέρει πρόστιμα έως €15 εκατ. ή 2,5% του παγκόσμιου τζίρου, καθώς και ζημιά στη φήμη και μπλοκάρισμα πωλήσεων στην ΕΕ. Ακολουθούν τρία ρεαλιστικά σενάρια για να κατανοήσετε την εφαρμογή των υποχρεώσεων:

• SaaS από ΗΠΑ: Μια αμερικανική εταιρεία SaaS που παρέχει υπηρεσίες σε πελάτες ΕΕ πρέπει να ορίσει εκπρόσωπο CRA, να ενεργοποιήσει κανάλι αναφοράς 24/7 και να αναφέρει κάθε εκμεταλλευόμενη ευπάθεια. Ο εκπρόσωπος προωθεί τις αναφορές μέσω ENISA και ανταποκρίνεται στις αρχές.
• Πωλητής Amazon από Κίνα: Αν ο πωλητής είναι και κατασκευαστής του ψηφιακού προϊόντος, πρέπει να ορίσει εκπρόσωπο CRA και να τηρεί τις προθεσμίες αναφοράς. Αν είναι μόνο μεταπωλητής, η υποχρέωση βαρύνει τον κατασκευαστή. Το κανάλι αναφοράς πρέπει να είναι έτοιμο από 11 Σεπτεμβρίου 2026.
• Ηλεκτρονικό κατάστημα ΗΒ: Ένα βρετανικό ηλεκτρονικό κατάστημα που πουλά συσκευές με firmware σε πελάτες ΕΕ πρέπει να ορίσει εκπρόσωπο CRA. Αν προσφέρει μόνο μη ψηφιακές υπηρεσίες, δεν υπόκειται στην υποχρέωση. Σε περίπτωση περιστατικού, η αναφορά πρέπει να γίνει εντός 24 ωρών, ακόμα και αν η έδρα είναι εκτός ΕΕ.

Σε όλες τις περιπτώσεις, η έλλειψη προετοιμασίας (απουσία runbook, μη δοκιμασμένο κανάλι αναφοράς, μη επαληθεύσιμος εκπρόσωπος) μπορεί να καθυστερήσει την ανταπόκριση και να επιδεινώσει τις νομικές και οικονομικές συνέπειες.