साइबर रेजिलिएंस एक्ट (CRA) के लिए वल्नरेबिलिटी रिपोर्टिंग प्रदाताओं की तुलना

• CRA वल्नरेबिलिटी रिपोर्टिंग 11 सितंबर 2026 से अनिवार्य है
• केवल कुछ प्रदाता कीमतें और शामिल विवरण प्रकाशित करते हैं
• प्रतिनिधित्व रिपोर्टिंग ट्रांसमिशन को कवर करता है, तकनीकी मूल्यांकन नहीं
• अपवाद, नवीनीकरण और सत्यापन प्रक्रियाओं की तुलना करें
• रिपोर्टिंग न करने पर जुर्माना €15 मिलियन या 2.5% राजस्व तक हो सकता है
• प्रतिनिधि का दायित्व आकलन, SBOM या तकनीकी सहायता को कवर नहीं करता

अपडेटेड 21 October 2026 · 12 स्रोत जांचे गए

प्रदाता तुलना

प्रत्येक प्रदाता की वेबसाइट पर 21 October 2026 पर प्रकाशित कीमतें, यदि न कहा गया हो तो VAT को छोड़कर। प्रत्येक पंक्ति इसके स्रोत से लिंक करती है।

कानून क्या मांगता है: दायित्व, अनुच्छेद और समय सीमा

साइबर रेजिलिएंस एक्ट (CRA), विनियम (EU) 2024/2847, उन लोगों के लिए कड़े दायित्व लागू करता है जो यूरोपीय संघ में डिजिटल तत्वों वाले उत्पाद (हार्डवेयर और सॉफ्टवेयर) बाजार में लाते हैं, चाहे उनका स्थान कहीं भी हो। मुख्य दायित्व हैं:

• प्रतिनिधि नियुक्ति (आर्ट. 18): यदि निर्माता ईयू में स्थापित नहीं है, तो उसे लिखित रूप में संघ में एक प्रतिनिधि नियुक्त करना होगा। यह प्रतिनिधि वल्नरेबिलिटी और गंभीर घटनाओं की रिपोर्ट संबंधित प्राधिकरणों (CSIRT, ENISA) को भेजने के लिए जिम्मेदार होगा।
• वल्नरेबिलिटी रिपोर्टिंग (आर्ट. 14): 11 सितंबर 2026 से, प्रत्येक निर्माता को सक्रिय रूप से शोषित वल्नरेबिलिटी या उत्पाद सुरक्षा को प्रभावित करने वाली गंभीर घटना के पता चलने के 24 घंटे के भीतर रिपोर्ट करनी होगी। रिपोर्ट ENISA प्लेटफ़ॉर्म के माध्यम से CSIRT समन्वयक को भेजनी होगी।
• पूर्ण सूचना और अंतिम रिपोर्ट: प्रारंभिक रिपोर्ट के 72 घंटे के भीतर विस्तृत सूचना और प्रारंभिक सुधारात्मक उपाय प्रदान करने होंगे। 14-30 दिनों के भीतर वल्नरेबिलिटी और समाधान का अंतिम विवरण रिपोर्ट करना होगा।
• सभी डिजिटल उत्पादों पर लागू: यह दायित्व नए और पहले से मौजूद उत्पादों दोनों पर लागू होता है, जिसमें अपडेट और समर्थन भी शामिल हैं।
• दंड: अनुपालन न करने पर €15 मिलियन या वैश्विक राजस्व का 2.5% तक का जुर्माना हो सकता है, जो भी अधिक हो।

महत्वपूर्ण है कि CRA रिपोर्टिंग (उत्पाद वल्नरेबिलिटी) को GDPR (व्यक्तिगत डेटा उल्लंघन) या NIS2 (सेवा घटनाएँ) जैसे अन्य दायित्वों से अलग समझा जाए। प्रत्येक नियम के अलग प्राप्तकर्ता, समय सीमा और प्लेटफ़ॉर्म होते हैं।

प्रदाता कैसे चुनें: व्यावहारिक मानदंड और जोखिम

CRA वल्नरेबिलिटी रिपोर्टिंग के लिए प्रदाता चयन पारदर्शी और व्यावहारिक मानदंडों पर आधारित होना चाहिए। मूल्यांकन के मुख्य बिंदु:

• प्रकाशित और पारदर्शी कीमत: ऐसे प्रदाता चुनें जो कीमत और नवीनीकरण लागत स्पष्ट रूप से बताते हैं। "प्रारंभिक" कीमतों या छिपे नवीनीकरण से बचें।
• क्या शामिल है: जांचें कि सेवा केवल प्रतिनिधि मंडल और रिपोर्ट अग्रेषण तक सीमित है या तकनीकी सहायता, दस्तावेज़ीकरण, SBOM या उन्नत वर्कफ़्लो भी शामिल हैं। अधिकांश प्रदाता केवल कानूनी प्रतिनिधित्व प्रदान करते हैं।
• सत्यापनीय प्रमाणपत्र: QR कोड और सार्वजनिक सत्यापन पृष्ठ वाला प्रमाणपत्र ऑडिट या घटनाओं के दौरान विवादों को कम करता है।
• 24/7 डेस्क: रिपोर्टिंग कभी भी संभव होनी चाहिए, जिसमें रात, सप्ताहांत और छुट्टियाँ शामिल हैं। स्पष्ट रूप से पूछें कि डेस्क साल भर सक्रिय है या नहीं।
• भाषा और प्रतिक्रिया समय: सुनिश्चित करें कि प्रदाता अंग्रेज़ी और आवश्यकतानुसार अन्य ईयू भाषाओं में अनुरोध संभाल सकता है। 24 घंटे से अधिक प्रतिक्रिया समय अनुपालन जोखिम बढ़ाता है।
• अपवाद और सीमाएँ: कोई भी प्रतिनिधि तकनीकी आकलन, सुरक्षा परीक्षण, SBOM निर्माण या इंजीनियरिंग सहायता नहीं करता; ये निर्माता या विशेषज्ञ प्रदाताओं की जिम्मेदारी हैं।

हमेशा अपवादों की स्पष्टता का मूल्यांकन करें: जो प्रदाता इन्हें स्पष्ट नहीं करता, वह सेवा की सीमा ठीक से परिभाषित नहीं कर पाया।

कीमत में वास्तव में क्या शामिल है: तुलना तालिका और विश्लेषण

अधिकांश प्रदाता प्रतिनिधि मंडल और रिपोर्ट अग्रेषण प्रदान करते हैं, लेकिन कुछ ही अतिरिक्त तकनीकी सेवाएँ देते हैं। तुलना तालिका:

"क्लासिक" प्रदाता (REP27, kadano, Euverify) केवल न्यूनतम कानूनी दायित्वों तक सीमित हैं, जबकि व्यापक सेवाएँ देने वाले (Attestra AI, Seentrix, Illicium) सुरक्षा वर्कफ़्लो, स्वचालित SBOM या पेंटेस्टिंग भी प्रदान करते हैं। हालांकि, केवल आर्ट. 18 और 14 के अनुपालन के लिए प्रतिनिधि मंडल और समय पर रिपोर्ट अग्रेषण पर्याप्त है।

ध्यान दें: प्रकाशित कीमत केवल स्पष्ट रूप से घोषित सेवाओं को कवर करती है। अतिरिक्त तकनीकी सेवाओं के लिए अक्सर अलग शुल्क होते हैं जो काफी महंगे हो सकते हैं।

छिपे हुए खर्च, अपवाद और प्रदाता जो नहीं बताते

कई प्रदाता नवीनीकरण कीमत प्रकाशित नहीं करते या अतिरिक्त शुल्क लगाते हैं जैसे ऑफ-ऑवर अनुरोध, अतिरिक्त प्रमाणपत्र जारी करना या अंग्रेज़ी के अलावा अन्य भाषाओं में सहायता। ध्यान देने योग्य बातें:

• नवीनीकरण: हस्ताक्षर से पहले लिखित नवीनीकरण कीमत पूछें। REP27 इसे स्पष्ट रूप से (€440) प्रकाशित करता है, अन्य केवल अनुरोध पर बताते हैं।
• अपवाद: कोई भी प्रदाता अनुपालन आकलन, सुरक्षा परीक्षण, SBOM निर्माण या तकनीकी सहायता नहीं करता। ये सेवाएँ अलग और अक्सर प्रतिनिधि मंडल से अधिक महंगी होती हैं।
• जिम्मेदारी की सीमाएँ: प्रदाता तकनीकी त्रुटियों, ग्राहक की रिपोर्टिंग चूक या वल्नरेबिलिटी प्रबंधन के लिए जिम्मेदार नहीं होते।
• नोटिस अवधि: कुछ प्रदाता सेवा समाप्ति या प्रतिनिधि परिवर्तन के लिए पूर्व सूचना मांग सकते हैं। अनुबंध शर्तें हमेशा जांचें।
• प्रति अनुरोध शुल्क: सार्वजनिक जानकारी न होने पर अतिरिक्त अनुरोध, नए प्रमाणपत्र या आपातकालीन सहायता के लिए शुल्क पूछें।

निर्णय तालिका:

संक्षेप में, अपवादों और छिपे खर्चों की स्पष्टता अप्रत्याशितताओं से बचने और पूर्ण अनुपालन सुनिश्चित करने के लिए आवश्यक है।

नियुक्ति कैसे होती है: चरण-दर-चरण और व्यावहारिक चेकलिस्ट

CRA प्रतिनिधि की नियुक्ति के लिए कुछ मुख्य चरण होते हैं। विस्तृत मार्गदर्शिका:

1. दायित्व जांचें: क्या आप ईयू में डिजिटल उत्पाद (हार्डवेयर/सॉफ्टवेयर) के निर्माता हैं और ईयू में स्थापित नहीं हैं? यदि हाँ, तो आप दायित्व के अंतर्गत आते हैं।
2. प्रदाता चुनें: कीमत, शामिल सेवाएँ, अपवाद और सत्यापन प्रक्रियाओं की तुलना करें। 24/7 डेस्क और सार्वजनिक सत्यापन प्रमाणपत्र वाले प्रदाता को प्राथमिकता दें।
3. मंडेट पर हस्ताक्षर करें: मंडेट लिखित होना चाहिए, प्रदाता की कानूनी इकाई द्वारा हस्ताक्षरित (जैसे REP27 के लिए Europe Services, SE) और केवल आर्ट. 18 के दायित्वों तक सीमित। आर्ट. 13 को शामिल करने वाले मंडेट से बचें।
4. प्रमाणपत्र प्राप्त करें: प्रदाता नियुक्ति प्रमाणपत्र जारी करता है, बेहतर होगा QR कोड और ऑनलाइन सत्यापन पृष्ठ के साथ।
5. आंतरिक रनबुक तैयार करें: प्रतिनिधि के विवरण, एस्केलेशन प्रक्रिया और रिपोर्टिंग संपर्क दस्तावेज़ में शामिल करें।
6. रिपोर्टिंग चैनल सेट करें: वल्नरेबिलिटी और घटनाओं की रिपोर्टिंग के लिए आंतरिक चैनल तैयार करें, कम से कम दो व्यक्ति ENISA प्लेटफ़ॉर्म पर सबमिटर के रूप में नामित हों।
7. टीम को प्रशिक्षित करें: सुनिश्चित करें कि कर्मचारी क्या और कब रिपोर्ट करना है जानते हों, और प्रक्रियाओं का सिमुलेशन परीक्षण करें।

व्यावहारिक चेकलिस्ट:

1. क्या आपने उत्पाद वर्ग और उनका ईयू में गंतव्य पहचाना है?
2. क्या आपने सभी बिक्री और वितरण चैनलों का मानचित्रण किया है?
3. क्या आपने 24/7 डेस्क और पारदर्शी नवीनीकरण कीमत वाले प्रदाता का चयन किया है?
4. क्या आपने एस्केलेशन और रिपोर्टिंग प्रक्रियाएँ लिखी हैं?
5. क्या आपने ENISA प्लेटफ़ॉर्म पर कम से कम दो सबमिटर नामित किए हैं?
6. क्या आपने रिपोर्टिंग प्रक्रिया का सिमुलेशन परीक्षण किया है?

इन चरणों का पालन करने से अनुपालन और दंड के जोखिम न्यूनतम हो जाते हैं।

जोखिम, जुर्माना और वास्तविक परिदृश्य: व्यावहारिक उदाहरण

वल्नरेबिलिटी की 24 घंटे में रिपोर्टिंग न करने पर €15 मिलियन या 2.5% वैश्विक राजस्व तक जुर्माना हो सकता है, साथ ही प्रतिष्ठा को नुकसान और ईयू में बिक्री प्रतिबंध भी हो सकते हैं। तीन वास्तविक परिदृश्य:

• यूएसए SaaS: एक अमेरिकी SaaS कंपनी जो ईयू ग्राहकों को सेवा देती है, को CRA प्रतिनिधि नियुक्त करना होगा, 24/7 रिपोर्टिंग चैनल सक्रिय करना होगा और हर शोषित वल्नरेबिलिटी की रिपोर्ट करनी होगी। प्रतिनिधि ENISA के माध्यम से रिपोर्ट भेजता है और प्राधिकरणों के अनुरोधों का जवाब देता है।
• चीन का Amazon विक्रेता: यदि विक्रेता डिजिटल उत्पाद का निर्माता भी है, तो उसे CRA प्रतिनिधि नियुक्त करना होगा और रिपोर्टिंग समय सीमा का पालन करना होगा। यदि केवल पुनर्विक्रेता है, तो दायित्व निर्माता का होगा। रिपोर्टिंग चैनल 11 सितंबर 2026 से तैयार होना चाहिए।
• यूके ऑनलाइन दुकान: एक ब्रिटिश ऑनलाइन स्टोर जो ईयू ग्राहकों को फर्मवेयर वाले उपकरण बेचता है, को CRA प्रतिनिधि नियुक्त करना होगा। यदि केवल गैर-डिजिटल सेवाएँ प्रदान करता है, तो दायित्व नहीं है। घटना होने पर 24 घंटे में रिपोर्टिंग आवश्यक है, भले ही मुख्यालय ईयू के बाहर हो।

सभी मामलों में, तैयारी की कमी (रनबुक का अभाव, रिपोर्टिंग चैनल का परीक्षण न होना, अप्रमाणित प्रतिनिधि) प्रतिक्रिया धीमी कर सकती है और कानूनी व आर्थिक परिणाम बिगाड़ सकती है।