Κόστος αναφοράς ευπαθειών 24ωρου για μη ευρωπαίους κατασκευαστές (CRA 2026)

• Υποχρέωση από 11 Σεπτεμβρίου 2026 για όλους τους κατασκευαστές ψηφιακών προϊόντων που πωλούνται στην ΕΕ
• Η REP27 προσφέρει την υπηρεσία στα €490/έτος, ανανέωση €440, τιμή δημοσιευμένη
• Kadano: €999/έτος, Euverify: £590/έτος (περίπου €690), τιμές δημοσιευμένες
• Η υπηρεσία καλύπτει μόνο τη μετάδοση της αναφοράς, όχι δοκιμές ή τεχνικές αξιολογήσεις
• Μη συμμόρφωση: πρόστιμα έως €15 εκατ. ή 2,5% του παγκόσμιου κύκλου εργασιών
• Δεν ισχύει για εισαγωγείς, διανομείς ή όσους πωλούν μόνο εκτός ΕΕ

Ενημερωμένο 22 October 2026 · 7 πηγές ελεγμένες

Πάροχοι συγκριμένοι

Τιμές όπως δημοσιεύονται στον ιστότοπο κάθε παρόχου στις 22 October 2026, χωρίς ΦΠΑ εκτός αν αναφέρεται. Κάθε γραμμή συνδέεται με την πηγή της.

Τι απαιτεί ο νόμος: Άρθρο 14 CRA

Το Άρθρο 14 του Cyber Resilience Act (Κανονισμός ΕΕ 2024/2847) εισάγει αυστηρή υποχρέωση αναφοράς για όλους τους κατασκευαστές ψηφιακών προϊόντων που πωλούνται στην Ευρωπαϊκή Ένωση, ανεξαρτήτως έδρας. Από τις 11 Σεπτεμβρίου 2026, κάθε κατασκευαστής πρέπει να αναφέρει εντός 24 ωρών από τη γνώση του μια ενεργά εκμεταλλευόμενη ευπάθεια ή σοβαρό περιστατικό ασφαλείας που επηρεάζει το προϊόν. Η αναφορά γίνεται μέσω της ενιαίας πλατφόρμας που διαχειρίζεται η ENISA, απευθυνόμενη στο συντονιστικό CSIRT της χώρας ΕΕ αναφοράς.

• Η αναφορά έχει τρία στάδια: πρώιμη προειδοποίηση (εντός 24 ωρών), λεπτομερής ειδοποίηση (εντός 72 ωρών), τελική αναφορά (εντός 14 ημερών).
• Η αναφορά είναι υποχρεωτική και για κατασκευαστές εκτός ΕΕ που πωλούν απευθείας ή μέσω marketplace σε πελάτες ΕΕ.
• Δεν απαιτούνται δοκιμές ασφαλείας ή τεχνικές αξιολογήσεις από τον εκπρόσωπο: ο ρόλος του είναι να μεταφέρει τις αναφορές και να λειτουργεί ως σημείο επαφής.
• Η υποχρέωση ισχύει και για περιστατικά που επηρεάζουν την ασφάλεια του προϊόντος, όχι μόνο για ήδη εκμεταλλευόμενες ευπάθειες.

Η μη αναφορά ή η καθυστέρηση μπορεί να επιφέρει πρόστιμα έως €15 εκατ. ή 2,5% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι μεγαλύτερο. Οι κανόνες αυτοί ισχύουν για όποιον διαθέτει ψηφιακά προϊόντα στην αγορά της ΕΕ, συμπεριλαμβανομένων κατασκευαστών λογισμικού, υλικού, συσκευών IoT, SaaS και άλλων.

Πηγές: NIS2.gov.ie, Licentium

Πώς να επιλέξετε τον πάροχο: πρακτικά κριτήρια και σύγκριση

Η επιλογή του κατάλληλου παρόχου για την αναφορά ευπαθειών σύμφωνα με τον CRA απαιτεί προσοχή σε διάφορες πρακτικές πτυχές, πέρα από την τιμή. Εδώ τα βασικά κριτήρια που πρέπει να αξιολογήσετε:

• Δημοσιευμένη και διαφανής τιμή: Προτιμήστε παρόχους που ανακοινώνουν ξεκάθαρα το ετήσιο κόστος και την ανανέωση, αποφεύγοντας εκπλήξεις.
• Γεωγραφική κάλυψη: Ο πάροχος πρέπει να εξασφαλίζει εκπροσώπηση σε όλες τις χώρες της ΕΕ όπου πωλείτε τα προϊόντα σας.
• Πιστοποίηση και επαλήθευση: Μια υπογεγραμμένη ηλεκτρονικά και δημόσια επαληθεύσιμη εντολή είναι εγγύηση σοβαρότητας.
• Κανάλι αναφοράς ενεργό 24/7: Η υπηρεσία πρέπει να λειτουργεί κάθε ώρα του έτους, συμπεριλαμβανομένων Σαββατοκύριακων και αργιών.
• Διαφάνεια στις εξαιρέσεις: Κανένας από τους παρόχους δεν προσφέρει, στην βασική τιμή, δοκιμές ασφαλείας, SBOM ή τεχνική υποστήριξη: η εντολή καλύπτει μόνο τη μετάδοση των αναφορών.

Αναλυτική σύγκριση:

Πρακτική συμβουλή: ρωτήστε πάντα εκ των προτέρων τι περιλαμβάνεται, αν υπάρχουν χρεώσεις ανά αναφορά και πώς γίνεται η ανανέωση. Προτιμήστε παρόχους που παρέχουν δημόσια επαληθεύσιμο πιστοποιητικό και δηλώνουν ξεκάθαρα τη νομική τους οντότητα και γεωγραφική κάλυψη.

Τι περιλαμβάνει πραγματικά η τιμή: πρακτικές λεπτομέρειες

Η δημοσιευμένη τιμή από τους παρόχους καλύπτει αποκλειστικά την εντολή εκπροσώπησης για την αναφορά ευπαθειών σύμφωνα με το Άρθρο 18 CRA. Αυτό σημαίνει ότι ο εκπρόσωπος:

• Λαμβάνει και μεταδίδει τις αναφορές ευπαθειών ή περιστατικών ασφαλείας στις αρμόδιες αρχές (CSIRT/ENISA) μέσω της επίσημης πλατφόρμας.
• Λειτουργεί ως σημείο επαφής για τις ευρωπαϊκές εποπτικές αρχές σε περίπτωση αιτημάτων ή διευκρινίσεων.
• Παρέχει υπογεγραμμένη και πιστοποιημένη εντολή, συχνά με QR code για δημόσιο έλεγχο.
• Εξασφαλίζει τη λειτουργία καναλιού αναφοράς 24/7 (τουλάχιστον για την REP27, όπως δηλώνεται στις επίσημες σελίδες της).

Δεν περιλαμβάνονται στην βασική τιμή:

• Δοκιμές ασφαλείας ή αξιολογήσεις ευπαθειών
• Δημιουργία Software Bill of Materials (SBOM)
• Τεχνική, νομική ή λειτουργική υποστήριξη στην σύνταξη των αναφορών
• Διαχείριση κρίσης ή επικοινωνία με τελικούς χρήστες (εκτός από την προώθηση της αναφοράς)

Για παράδειγμα, η REP27 διευκρινίζει ότι «η αξιολόγηση συμμόρφωσης ανήκει σε κοινοποιημένους φορείς, οι δοκιμές σε εταιρείες ασφάλειας, η δημιουργία SBOM στην αλυσίδα κατασκευής σας και η αναφορά στην ομάδα ασφαλείας σας». Η εντολή καλύπτει μόνο τη μετάδοση και λήψη αιτημάτων από τις αρχές. Δεν υπάρχουν κρυφές χρεώσεις ανά αναφορά ή κρυφές πωλήσεις.

Συμβουλή: βεβαιωθείτε ότι έχετε εσωτερικά τις δεξιότητες για να προετοιμάζετε τις αναφορές και να απαντάτε σε τυχόν αιτήματα διευκρίνισης από τις αρχές.

Κρυφά κόστη, όρια υπηρεσίας και πρακτικοί κίνδυνοι

Το κόστος της εντολής εκπροσώπησης είναι μόνο ένα μέρος του προϋπολογισμού που απαιτείται για τη συμμόρφωση με τον Cyber Resilience Act. Τα κρυφά κόστη και τα όρια της υπηρεσίας συχνά παραβλέπονται:

• Εσωτερική προετοιμασία: Η συλλογή πληροφοριών, η σύνταξη των αναφορών και η διαχείριση της επικοινωνίας με τον εκπρόσωπο βαρύνουν τον κατασκευαστή.
• Έλεγχοι και αξιολογήσεις: Σε περίπτωση αιτήματος από τις αρχές, ίσως χρειαστεί να καλύψετε κόστη για εξωτερικούς ελέγχους ή τεχνικές αξιολογήσεις, μη καλυπτόμενα από την εντολή.
• Τεχνική και νομική υποστήριξη: Ο εκπρόσωπος δεν παρέχει τεχνικές ή νομικές συμβουλές πέραν της μετάδοσης των αναφορών· τυχόν συμβουλές είναι επιπλέον.
• Περιορισμένη ευθύνη: Κανένας από τους παρόχους δεν αναλαμβάνει ευθύνη για λάθη στο περιεχόμενο που παρέχει ο πελάτης ή παραλείψεις στην αναφορά.
• Ανανέωση και αλλαγή παρόχου: Ελέγξτε πάντα τους όρους ανανέωσης και τυχόν ποινές για αλλαγή παρόχου: η REP27 δημοσιεύει τιμές αλλαγής και ανανέωσης, άλλοι όχι.

Πρακτικοί κίνδυνοι:

• Αν η εσωτερική διαδικασία δεν είναι έτοιμη, ο κίνδυνος μη τήρησης των προθεσμιών είναι υψηλός.
• Η μη αναφορά ή η καθυστέρηση μπορεί να επιφέρει πολύ υψηλά διοικητικά πρόστιμα και μπλοκάρισμα πωλήσεων στην ΕΕ.

Συμβουλή: θεωρήστε την εντολή ως «ασφάλεια διαδικασίας», όχι ως τεχνική λύση. Η πραγματική συμμόρφωση εξαρτάται από την εσωτερική σας οργάνωση.

Πώς γίνεται ο διορισμός: βήμα προς βήμα και λίστα ελέγχου

Ο διορισμός του εκπροσώπου CRA ακολουθεί σαφές λειτουργικό σχήμα. Εδώ τα πρακτικά βήματα και μια λίστα ελέγχου:

1. Ελέγξτε αν πουλάτε ψηφιακά προϊόντα στην ΕΕ: Αν ναι, ελέγξτε αν είστε ο κατασκευαστής (όχι μόνο διανομέας/εισαγωγέας).
2. Επιλέξτε τον πάροχο: Συγκρίνετε τιμές, παροχές, εξαιρέσεις και διαφάνεια συμβολαίου.
3. Ζητήστε την υπηρεσία online: Συμπληρώστε τη φόρμα αίτησης και λάβετε την εντολή εκπροσώπησης Άρθ. 18.
4. Υπογράψτε και αρχειοθετήστε την εντολή: Η εντολή πρέπει να υπογραφεί και από τα δύο μέρη και να φυλάσσεται για πιθανούς ελέγχους.
5. Καταχωρίστε τα στοιχεία του εκπροσώπου στα εταιρικά έγγραφα: Ενημερώστε τα runbooks, τις εσωτερικές πολιτικές και τα έγγραφα συμμόρφωσης.
6. Προετοιμάστε την εσωτερική διαδικασία αναφοράς: Ορίστε ποιος μπορεί να δηλώσει ευπάθεια, πώς συλλέγονται αποδείξεις, πώς συμπληρώνονται τα πρότυπα αναφοράς (πρώιμη προειδοποίηση, ειδοποίηση, τελική αναφορά).
7. Διορίστε τουλάχιστον δύο υποβάλλοντες: Βεβαιωθείτε ότι τουλάχιστον δύο άτομα έχουν πρόσβαση στην πλατφόρμα ENISA για αποφυγή αποκλεισμών σε περίπτωση απουσίας.
8. Καταγράψτε όλα τα βήματα: Κρατήστε αρχείο ποιος, πότε και πώς έκανε κάθε αναφορά. Αυτό είναι κρίσιμο σε περίπτωση ελέγχου.

Λίστα ελέγχου λειτουργίας:

1. Ελέγξτε τη θέση σας (κατασκευαστής, εισαγωγέας, διανομέας)
2. Επιλέξτε και διορίστε τον εκπρόσωπο
3. Προετοιμάστε την εσωτερική διαδικασία αναφοράς
4. Διορίστε τους υποβάλλοντες και ενημερώστε τα έγγραφα
5. Προ-συμπληρώστε τα πρότυπα αναφοράς
6. Καταγράψτε κάθε αναφορά και επικοινωνία

Συμβουλή: η σαφήνεια στη διαδικασία είναι το πραγματικό πρόσθετο όφελος της υπηρεσίας εκπροσώπησης.

Μήτρα απόφασης: ποιος χρειάζεται την υπηρεσία;

Δεν χρειάζονται όλοι οι οργανισμοί εντολή εκπροσώπησης για την αναφορά ευπαθειών. Εδώ μια μήτρα απόφασης βασισμένη σε πραγματικά παραδείγματα:

Συμβουλή: αν είστε μόνο διανομέας ή εισαγωγέας και δεν διαθέτετε το προϊόν στο όνομά σας, δεν έχετε υποχρέωση διορισμού. Αν είστε μη ευρωπαίος κατασκευαστής, ο διορισμός είναι απαραίτητος για αποφυγή προστίμων.

Τι δεν λένε οι πάροχοι (αλλά πρέπει να ξέρετε)

Πολλοί πάροχοι δεν δημοσιεύουν σημαντικές λεπτομέρειες που μπορεί να επηρεάσουν τη συμμόρφωση και τα πραγματικά κόστη:

• Εξαιρέσεις: Κανένας από τους παρόχους δεν προσφέρει δοκιμές ασφαλείας, SBOM ή τεχνικές αξιολογήσεις στην βασική τιμή. Η εντολή καλύπτει μόνο τη μετάδοση των αναφορών.
• Ευθύνη: Η ευθύνη για την ορθότητα και την έγκαιρη υποβολή των αναφορών παραμένει πάντα στον κατασκευαστή. Ο εκπρόσωπος δεν ελέγχει ούτε τροποποιεί τα περιεχόμενα που λαμβάνει.
• Ανανέωση και αλλαγή: Κάποιοι πάροχοι δεν δημοσιεύουν τιμή ανανέωσης ή όρους αλλαγής εκπροσώπου. Η REP27 δημοσιεύει και τα δύο, άλλοι όχι.
• Γλώσσες και ώρες λειτουργίας: Ελέγξτε αν ο πάροχος είναι πραγματικά ενεργός 24/7 και μπορεί να διαχειριστεί αιτήματα σε πολλές γλώσσες, αν χρειάζεται.
• Όρια υπηρεσίας: Ο εκπρόσωπος δεν διαχειρίζεται την επικοινωνία με τελικούς χρήστες, τη διαχείριση κρίσης ή νομική συμβουλή.

Συμβουλή: ζητήστε πάντα γραπτή λίστα εξαιρέσεων και περιορισμών ευθύνης πριν υπογράψετε.

Πρακτικά σενάρια: τρεις πραγματικές περιπτώσεις και ο πιο απλός δρόμος

• US SaaS που πουλά στην ΕΕ: Πρέπει να διορίσει εκπρόσωπο CRA, να προετοιμάσει τη διαδικασία αναφοράς και να καταχωρίσει τον εκπρόσωπο στα επίσημα έγγραφα. Σε περίπτωση εκμετάλλευσης ευπάθειας, στέλνει την αναφορά στον εκπρόσωπο που τη μεταβιβάζει σε ENISA/CSIRT. Ο πιο απλός δρόμος είναι η επιλογή παρόχου με κανάλι 24/7 και επαληθεύσιμη εντολή.
• Κινέζος πωλητής στο Amazon: Αν είναι κατασκευαστής ψηφιακού προϊόντος, έχει υποχρέωση αναφοράς και πρέπει να διορίσει εκπρόσωπο· αν είναι μόνο διανομέας, όχι. Ο πιο απλός δρόμος είναι να ξεκαθαρίσει τον συμβατικό ρόλο και, αν χρειαστεί, να επιλέξει πάροχο με εμπειρία στο e-commerce.
• Online shop ΗΒ: Αν πουλά ψηφιακά προϊόντα σε πελάτες ΕΕ, πρέπει να διορίσει εκπρόσωπο και να ακολουθήσει τη διαδικασία αναφοράς· αν πουλά μόνο στο ΗΒ, δεν έχει υποχρέωση. Ο πιο απλός δρόμος είναι να αξιολογήσει αν το μερίδιο πωλήσεων στην ΕΕ δικαιολογεί το κόστος συμμόρφωσης.

Σε όλες τις περιπτώσεις, η εσωτερική προετοιμασία και η σαφήνεια διαδικασιών είναι κρίσιμες για την τήρηση προθεσμιών και τη μείωση κινδύνων προστίμων.