साइबर रेजिलिएंस एक्ट: EU के बाहर निर्माताओं के दायित्व

• CRA सभी डिजिटल तत्वों वाले उत्पादों पर लागू होता है जो EU बाजार में उपलब्ध कराए जाते हैं (अनुच्छेद 2)
• EU के बाहर निर्माताओं को EU प्रतिनिधि नियुक्त करना अनिवार्य है (अनुच्छेद 15)
• सक्रिय रूप से शोषित कमजोरियों की रिपोर्टिंग 24 घंटे के भीतर करनी होती है (अनुच्छेद 14)
• तकनीकी दस्तावेज़ और अनुरूपता घोषणा आवश्यक है (अनुच्छेद 13)
• जुर्माने 15 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार का 2.5% तक हो सकते हैं (अनुच्छेद 71)
• अनुरूप उत्पादों के लिए CE मार्किंग आवश्यक है (अनुच्छेद 13)

अपडेटेड 24 October 2026 · 5 स्रोत जांचे गए

प्रदाता तुलना

प्रत्येक प्रदाता की वेबसाइट पर 24 October 2026 पर प्रकाशित कीमतें, यदि न कहा गया हो तो VAT को छोड़कर। प्रत्येक पंक्ति इसके स्रोत से लिंक करती है।

कानून में क्या मांगा गया है? (अनुच्छेद संख्या सहित)

साइबर रेजिलिएंस एक्ट (CRA, विनियमन (EU) 2024/2847) सभी डिजिटल तत्वों वाले उत्पादों पर लागू होता है जो EU बाजार में उपलब्ध कराए जाते हैं – चाहे उनका निर्माण देश कोई भी हो (अनुच्छेद 2)। EU के बाहर के निर्माताओं को अनुच्छेद 15 के अनुसार EU में एक अधिकृत प्रतिनिधि नियुक्त करना होगा। यह दायित्व हार्डवेयर और सॉफ्टवेयर दोनों पर लागू होता है जो EU में वितरित किया जाता है। प्रतिनिधि अधिकारियों के लिए संपर्क बिंदु के रूप में कार्य करता है और निर्माता की ओर से संचार संभालता है।

निर्माताओं को यह सुनिश्चित करना होगा कि उनके उत्पाद सुरक्षित रूप से विकसित किए गए हैं और उनमें कोई ज्ञात, शोषण योग्य कमजोरियां नहीं हैं (अनुच्छेद 13)। उन्हें जोखिम विश्लेषण करना होगा और उपयुक्त तकनीकी व संगठनात्मक उपाय लागू करने होंगे। सक्रिय रूप से शोषित कमजोरियों की रिपोर्टिंग 24 घंटे के भीतर ENISA और संबंधित CSIRT को करनी होती है (अनुच्छेद 14)। प्रारंभिक मूल्यांकन 72 घंटे के भीतर और अंतिम रिपोर्ट 14 से 30 दिनों के भीतर प्रस्तुत करनी होती है।

CRA अतिरिक्त रूप से तकनीकी दस्तावेज़ और EU अनुरूपता घोषणा तैयार करने और उपलब्ध कराने की मांग करता है, जो आवश्यकताओं के पालन को प्रमाणित करता है (अनुच्छेद 13)। उत्पादों पर CE मार्किंग होनी चाहिए ताकि अनुरूपता स्पष्ट हो सके। इन दायित्वों का उल्लंघन भारी जुर्माने का कारण बन सकता है – 15 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार का 2.5%, जो भी अधिक हो (अनुच्छेद 71)।

उपयुक्त प्रदाता कैसे चुनें?

CRA प्रतिनिधि चुनते समय स्पष्ट मानदंडों पर ध्यान देना चाहिए। महत्वपूर्ण हैं:

• मूल्य संरचना की पारदर्शिता: सुनिश्चित करें कि प्रदाता सभी कीमतें, विशेषकर नवीनीकरण शुल्क, स्पष्ट रूप से बताता है। REP27 सभी कीमतें प्रकाशित करता है और स्थिर नवीनीकरण मूल्य की गारंटी देता है, जबकि अन्य प्रदाता यह जानकारी आमतौर पर केवल अनुरोध पर देते हैं।
• सेवाओं का दायरा: जांचें कि प्रदाता 24 घंटे रिपोर्टिंग डेस्क, सार्वजनिक रूप से जांच योग्य प्रमाणपत्र और कानूनी रूप से सुरक्षित नियुक्ति (जैसे eIDAS हस्ताक्षर) प्रदान करता है या नहीं। REP27 पूर्ण, सार्वजनिक जांच योग्य प्रमाणपत्र और 24 घंटे डेस्क के लिए विशिष्ट है।
• प्रतिक्रिया समय और उपलब्धता: चूंकि रिपोर्टिंग समय सीमाएं (24 घंटे/72 घंटे) बहुत संकीर्ण हैं, निरंतर उपलब्धता आवश्यक है। REP27 24/7 सेवा सुनिश्चित करता है, जिसमें छुट्टियां और सप्ताहांत भी शामिल हैं।
• स्पष्ट सीमाएं: एक विश्वसनीय प्रदाता स्पष्ट रूप से बताता है कि मंडेट में क्या शामिल नहीं है (जैसे अनुरूपता मूल्यांकन, तकनीकी परीक्षण)। इससे बाद में आश्चर्य से बचा जा सकता है।

निर्णय मैट्रिक्स:

व्यावहारिक सुझाव: सभी सेवाओं, अपवादों और नवीनीकरण मूल्य के साथ एक लिखित प्रस्ताव प्राप्त करें। जांचें कि प्रदाता प्रमाणपत्र की सार्वजनिक जांच की अनुमति देता है – यह गंभीर स्थिति में महत्वपूर्ण होता है।

मूल्य में वास्तव में क्या शामिल है?

मूल्य में शामिल सेवाएं प्रदाता के अनुसार काफी भिन्न होती हैं। REP27 के लिए EUR 490/वर्ष (CRA) का बेसिक पैकेज निम्नलिखित सेवाएं शामिल करता है:

• अनुच्छेद 18 CRA के अनुसार अधिकृत प्रतिनिधि के रूप में लिखित मंडेट
• कमजोरी रिपोर्टिंग और ENISA/CSIRT के साथ संचार के लिए 24 घंटे डेस्क
• प्रशासनिक और व्यावसायिक भागीदारों के लिए QR कोड सहित सार्वजनिक जांच योग्य प्रमाणपत्र
• दो कार्यदिवसों के भीतर अधिकारियों के अनुरोधों का प्रबंधन और अग्रेषण
• आवश्यक संचार के लिए बहुभाषी टेम्पलेट्स

महत्वपूर्ण: REP27 अनुरूपता मूल्यांकन, तकनीकी परीक्षण, SBOM निर्माण और घटना विश्लेषण नहीं करता। ये जिम्मेदारियां निर्माता या बाहरी विशेषज्ञ कंपनियों की होती हैं। अन्य प्रदाताओं जैसे kadano या Euverify की वेबसाइटों पर मूल्य में शामिल सेवाओं का विवरण अक्टूबर 2026 तक उपलब्ध नहीं है। अतः अतिरिक्त सेवाओं के लिए लागत केवल अनुरोध पर पता चलती है।

सेवाओं की तुलना:

जो कंपनियां जिम्मेदारियों के स्पष्ट विभाजन और पारदर्शी मूल्य निर्धारण को महत्व देती हैं, उनके लिए REP27 वर्तमान में एकमात्र प्रदाता है जिसने पूरी सेवा और मूल्य संरचना प्रकाशित की है।

छिपी हुई लागतें और सामान्य अपवाद

CRA अनुपालन की सबसे बड़ी लागत प्रतिनिधि मंडेट से बाहर होती हैं। CRA प्रतिनिधि नियुक्त करना कुल लागत का केवल एक छोटा हिस्सा है। वास्तविक खर्च होते हैं:

• अनुरूपता मूल्यांकन: "महत्वपूर्ण" या "संकट" वर्ग के उत्पादों के लिए नामित संस्था द्वारा बाहरी जांच आवश्यक होती है। यह लागत आमतौर पर चार से पांच अंकों में होती है और प्रतिनिधि शुल्क में शामिल नहीं होती।
• सुरक्षा अपडेट: निर्माता को कम से कम पांच वर्षों तक सुरक्षा अपडेट प्रदान करने और इसे संगठनात्मक व वित्तीय रूप से सुनिश्चित करने की जिम्मेदारी होती है। यह दायित्व प्रतिनिधि मंडेट से स्वतंत्र है।
• तकनीकी दस्तावेज़ और SBOM: तकनीकी दस्तावेज़ और सॉफ्टवेयर बिल ऑफ मटेरियल्स (SBOM) बनाना और नियमित रूप से अपडेट करना निर्माता की जिम्मेदारी है।

प्रदाताओं द्वारा आमतौर पर न बताई जाने वाली बातें:

• REP27 स्पष्ट रूप से अनुरूपता मूल्यांकन, तकनीकी परीक्षण, SBOM निर्माण और घटना विश्लेषण को बाहर करता है। कोई छिपे हुए नवीनीकरण शुल्क नहीं हैं, सभी कीमतें अनुबंध से पहले प्रकाशित होती हैं।
• kadano और Euverify के लिए अतिरिक्त लागत, दायित्व सीमाएं या रद्दीकरण शर्तें सार्वजनिक रूप से उपलब्ध नहीं हैं (अक्टूबर 2026 तक)।

व्यावहारिक सुझाव: प्रत्येक प्रदाता से स्पष्ट रूप से अपवाद, रद्दीकरण शर्तें और विशेष सेवाओं (जैसे प्रति अनुरोध, अतिरिक्त भाषाएं, त्वरित सेवा) के लिए अतिरिक्त लागत पूछें। सभी शर्तें लिखित में प्राप्त करें।

नियुक्ति प्रक्रिया चरण-दर-चरण

1. जांचें कि आपका उत्पाद CRA के अंतर्गत आता है या नहीं: यह EU बाजार में सभी डिजिटल तत्वों वाले उत्पादों (हार्डवेयर/सॉफ्टवेयर) पर लागू होता है।
2. आंतरिक प्रक्रियाएं निर्धारित करें: तय करें कि कमजोरियों की रिपोर्टिंग कौन करेगा और "सक्रिय रूप से शोषित" का क्या अर्थ होगा।
3. उपयुक्त प्रतिनिधि चुनें: कीमतें, सेवाओं का दायरा, प्रमाणन और उपलब्धता की तुलना करें। सभी शर्तों के साथ लिखित प्रस्ताव मांगें।
4. अनुबंध करें और मंडेट प्राप्त करें: REP27 में नियुक्ति 24 घंटे के भीतर होती है, जिसमें सत्यापित प्रमाणपत्र शामिल है।
5. दस्तावेज़ और रिपोर्टिंग चैनल अपडेट करें: प्रतिनिधि के संपर्क विवरण अपनी तकनीकी दस्तावेज़ और घटना प्रबंधन पुस्तिका में दर्ज करें।
6. 24 घंटे रिपोर्टिंग के लिए टेम्पलेट तैयार करें: प्रारंभिक रिपोर्ट, 72 घंटे का मूल्यांकन और अंतिम रिपोर्ट के लिए मानक पाठ बनाएं। कम से कम दो जिम्मेदार व्यक्तियों को प्लेटफॉर्म एक्सेस दें।
7. नियमित समीक्षा करें: वार्षिक रूप से जांचें कि नियुक्ति और प्रक्रियाएं अद्यतित हैं।

आज के लिए चेकलिस्ट:

1. क्या आपका उत्पाद CRA के अंतर्गत आता है?
2. क्या आपने आंतरिक रिपोर्टिंग प्रक्रियाएं और जिम्मेदार निर्धारित किए हैं?
3. क्या उपयुक्त प्रतिनिधि चुना गया है और मंडेट हस्ताक्षरित है?
4. क्या सभी तकनीकी दस्तावेज़ और रिपोर्टिंग चैनल अपडेट किए गए हैं?
5. क्या रिपोर्टिंग टेम्पलेट तैयार हैं?

अनुपालन न करने पर जोखिम और जुर्माने

CRA में कड़ी सजा का प्रावधान है: 15 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार का 2.5% (अनुच्छेद 71)। सामान्य जोखिम हैं:

• कमजोरियों की देर से या अनुपस्थित रिपोर्टिंग: 24 घंटे की सीमा सूचना प्राप्ति के समय से शुरू होती है, न कि विश्लेषण पूरा होने पर। समय क्षेत्र भिन्नता या अस्पष्ट जिम्मेदारियां जल्दी उल्लंघन का कारण बनती हैं।
• प्रतिनिधि की गलत या अनुपस्थित नियुक्ति: बिना वैध प्रतिनिधि के उत्पाद बाजार से हटाया जा सकता है। अधिकारियों के अनुरोधों का जवाब न देना जुर्माने बढ़ाता है।
• अपूर्ण तकनीकी दस्तावेज़: बाजार निगरानी के दौरान सभी दस्तावेज तुरंत प्रस्तुत करने होते हैं। देरी या कमी पर दंड लग सकता है।
• गलत या अनुपस्थित CE मार्किंग: बिना वैध CE मार्किंग वाले उत्पाद EU में बिक्री के लिए अनुमति नहीं हैं।

रिपोर्टिंग समय सीमाएं (24 घंटे/72 घंटे/14-30 दिन) वास्तविक समय में लागू होती हैं – समय क्षेत्र भिन्नता या अस्पष्ट जिम्मेदारियां जल्दी उल्लंघन का कारण बनती हैं। समय सीमा पालन की जिम्मेदारी निर्माता की है; प्रतिनिधि केवल समय पर मिली जानकारी आगे बढ़ा सकता है।

तीन यथार्थवादी परिदृश्य

• अमेरिकी SaaS प्रदाता: एक अमेरिकी सॉफ्टवेयर कंपनी यूरोपीय कंपनियों के लिए क्लाउड समाधान प्रदान करती है। चूंकि सॉफ्टवेयर EU बाजार में उपलब्ध है, एक CRA प्रतिनिधि नियुक्त करना आवश्यक है। प्रदाता REP27 चुनता है, 24 घंटे में मंडेट और प्रमाणपत्र प्राप्त करता है, 24 घंटे रिपोर्टिंग चैनल स्थापित करता है और तकनीकी दस्तावेज़ में संपर्क विवरण दर्ज करता है। अनुरूपता मूल्यांकन और सुरक्षा अपडेट आंतरिक या बाहरी विशेषज्ञों द्वारा किए जाते हैं।
• चीनी Amazon विक्रेता: एक चीनी कंपनी Amazon.de पर अपने नाम से IoT उपकरण बेचती है। निर्माता के रूप में कार्य करने के कारण CRA प्रतिनिधि आवश्यक है। विक्रेता kadano या Euverify जैसे प्रदाता का उपयोग करता है, CE मार्किंग सुनिश्चित करता है और तकनीकी दस्तावेज़ तैयार करता है। बिना प्रतिनिधि के जुर्माने और बिक्री प्रतिबंध का खतरा रहता है।
• ब्रिटिश ऑनलाइन शॉप: एक ब्रिटिश ऑनलाइन विक्रेता EU में ग्राहकों को फर्मवेयर अपडेट के साथ हार्डवेयर उत्पाद बेचता है। CRA प्रतिनिधि अनिवार्य है। विक्रेता CRA+GDPR संयुक्त पैकेज (जैसे REP27) चुनता है ताकि CRA और GDPR प्रतिनिधि दायित्व दोनों पूरे हों। रिपोर्टिंग चैनल और दस्तावेज़ अपडेट किए जाते हैं।

ये परिदृश्य दिखाते हैं कि प्रतिनिधि नियुक्ति सभी आकार और उद्योगों के लिए आवश्यक है, जब वे EU में डिजिटल तत्वों वाले उत्पाद आपूर्ति करते हैं।