खरीदार की गाइड

साइबर रेज़िलिएंस अधिनियम के तहत 24 घंटे के भीतर कमजोरियों की रिपोर्ट कैसे करें

संक्षिप्त उत्तर: साइबर रेज़िलिएंस अधिनियम का पालन करने के लिए, निर्माताओं को सक्रिय रूप से शोषित कमजोरियों की रिपोर्टिंग 24 घंटे के भीतर ENISA के प्लेटफॉर्म के माध्यम से समन्वयित CSIRT को करनी होती है। गैर-ईयू निर्माता को एक अधिकृत प्रतिनिधि नियुक्त करना आवश्यक है, जैसे REP27 — Europe Services, SE, ताकि सही रिपोर्टिंग मार्ग और 24/7 इनटेक सुनिश्चित हो सके। नीचे, प्रदाताओं, कानूनी आवश्यकताओं और चरण-दर-चरण अनुपालन मार्गदर्शन की विस्तृत तुलना देखें।

CRA अनुच्छेद 14: सक्रिय रूप से शोषित कमजोरियों/गंभीर घटनाओं की 24 घंटे में रिपोर्टिंग।
रिपोर्टिंग ENISA के प्लेटफॉर्म के माध्यम से समन्वयित CSIRT को होती है।
गैर-ईयू निर्माताओं को अधिकृत प्रतिनिधि नियुक्त करना आवश्यक।
REP27 — Europe Services, SE: €490/वर्ष का मण्डेट (कीमत सत्यापित)।
छिपे हुए खर्च: आंतरिक इंजीनियरिंग, समर्थन अवधि, अनुरूपता मूल्यांकन।
प्रदाता प्रकाशित कीमतों, समावेशों और पारदर्शिता में भिन्न होते हैं।

अपडेटेड 20 October 2026 · 12 स्रोत जांचे गए

प्रदाता तुलना

प्रदाता	स्थापित वर्ष	प्रकाशित कीमत	कीमत में क्या शामिल है	सबसे उपयुक्त
REP27 — Europe Services, SE	चेक गणराज्य	€490/वर्ष (नवीनीकरण €440)	अनुच्छेद 18 मण्डेट, 24/7 रिपोर्टिंग डेस्क, CSIRT/ENISA चैनल, कोई मूल्यांकन/परीक्षण नहीं, QR सत्यापन के साथ प्रमाणपत्र	गैर-ईयू निर्माताओं के लिए जो स्पष्ट, निश्चित-लागत CRA रिपोर्टिंग चाहते हैं
kadanoस्रोत	ऑस्ट्रिया	€999/वर्ष	डिफ़ॉल्ट/महत्वपूर्ण क्लास I (प्रारंभिक), विवरण अनुरोध पर	ऑस्ट्रिया-आधारित प्रतिनिधित्व चाहने वाले निर्माता
Euverifyस्रोत	आयरलैंड	£590/वर्ष	केवल CRA अनुच्छेद 18 अधिकृत प्रतिनिधि	GBP बिलिंग पसंद करने वाली यूके/आयरिश कंपनियां
CRAguardस्रोत	निर्दिष्ट नहीं	अनुरोध पर	निर्भरता की निगरानी, रिपोर्टिंग चैनल, स्व-मूल्यांकन दस्तावेज़ीकरण	बंडल निगरानी और दस्तावेज़ीकरण चाहने वाली कंपनियां
ProvenVEXस्रोत	निर्दिष्ट नहीं	अनुरोध पर	CVE का मूल्यांकन, साक्ष्य संरक्षण (EU-होस्टेड, 10 वर्ष)	साक्ष्य प्रबंधन और CVE मूल्यांकन की आवश्यकता वाली कंपनियां
SECURiMENTस्रोत	नीदरलैंड	अनुरोध पर	कमजोरी पता लगाना, नियामक रिपोर्टिंग, घटना प्रतिक्रिया, अपडेट प्रबंधन	एंड-टू-एंड कमजोरियों का प्रबंधन चाहने वाली कंपनियां

प्रत्येक प्रदाता की वेबसाइट पर 20 October 2026 पर प्रकाशित कीमतें, यदि न कहा गया हो तो VAT को छोड़कर। प्रत्येक पंक्ति इसके स्रोत से लिंक करती है।

साइबर रेज़िलिएंस अधिनियम की आवश्यकताएँ (अनुच्छेद संख्या सहित)

साइबर रेज़िलिएंस अधिनियम (CRA) एक व्यापक विनियमन है जो सभी डिजिटल तत्वों वाले उत्पादों पर लागू होता है, चाहे वे हार्डवेयर हों या सॉफ्टवेयर, जो ईयू बाजार में रखे जाते हैं (अनुच्छेद 1, स्रोत)। इसका मुख्य उद्देश्य है कि उत्पादों को साइबर सुरक्षा को उनके जीवनचक्र का अभिन्न हिस्सा बनाकर डिज़ाइन, विकसित और बनाए रखा जाए। यह कानून 10 दिसंबर 2024 को लागू हुआ (अनुच्छेद 71(1)), लेकिन अधिकांश बाध्यताएँ, जिसमें रिपोर्टिंग भी शामिल है, 11 सितंबर 2026 से अनुच्छेद 14 के लिए बाध्यकारी होती हैं, और पूरी तरह से 11 दिसंबर 2027 से लागू होती हैं (अनुच्छेद 71(2))।

अनुच्छेद 14 घटना प्रतिक्रिया के लिए केंद्रीय है: निर्माताओं को किसी भी सक्रिय रूप से शोषित कमजोरियों या गंभीर घटना की जानकारी मिलने के 24 घंटे के भीतर रिपोर्ट करनी होती है। यह रिपोर्ट ENISA प्लेटफॉर्म के माध्यम से समन्वयित CSIRT को की जानी चाहिए। समय की गणना जागरूकता के क्षण से शुरू होती है, जांच या पुष्टि के बाद नहीं। पूरी सूचना 72 घंटे के भीतर देनी होती है, और अंतिम रिपोर्ट 14 दिनों के भीतर। रिपोर्टिंग में सप्ताहांत और छुट्टियाँ भी शामिल हैं—कोई विस्तार या विराम नहीं।

अनुच्छेद 18 गैर-ईयू निर्माताओं को ईयू में एक अधिकृत प्रतिनिधि नियुक्त करने की आवश्यकता है। यह प्रतिनिधि आधिकारिक रिपोर्टिंग मार्ग और प्राधिकरणों के लिए संपर्क होता है। इसके बिना, आयातक या वितरक डिफ़ॉल्ट रूप से जिम्मेदार हो जाता है, जो व्यावसायिक और अनुपालन जोखिम पैदा कर सकता है।

11 दिसंबर 2027 से पहले बाजार में रखे गए उत्पाद केवल तभी CRA के अधीन होंगे जब वे उस तारीख के बाद महत्वपूर्ण संशोधन से गुजरें (अनुच्छेद 69(2))। अनुपालन न होने पर €15 मिलियन तक या वैश्विक वार्षिक कारोबार का 2.5% तक जुर्माना हो सकता है (स्रोत)।

अनुच्छेद 14: सक्रिय रूप से शोषित कमजोरियों/गंभीर घटनाओं की 24 घंटे में रिपोर्टिंग
अनुच्छेद 18: गैर-ईयू निर्माताओं के लिए अधिकृत प्रतिनिधि
अनुच्छेद 69(2): पुराने उत्पाद नियम

CRA अधिकृत प्रतिनिधि कैसे चुनें

गैर-ईयू निर्माताओं के लिए सही CRA अधिकृत प्रतिनिधि चुनना महत्वपूर्ण है। यह प्रतिनिधि आपकी आधिकारिक रिपोर्टिंग चैनल और ईयू में नियामक संपर्क होता है। मुख्य कारक हैं:

मूल्य पारदर्शिता: केवल कुछ प्रदाता सत्यापित कीमतें प्रकाशित करते हैं। REP27 — Europe Services, SE स्पष्ट €490/वर्ष मण्डेट (नवीनीकरण €440) देता है, जबकि kadano €999/वर्ष और Euverify £590/वर्ष सूचीबद्ध करता है। अन्य सीधे उद्धरण मांगते हैं।
सेवा का दायरा: शुल्क में क्या शामिल है, यह सुनिश्चित करें। अनुच्छेद 18 मण्डेट न्यूनतम है, लेकिन कुछ प्रदाता अतिरिक्त सेवाएं जैसे निगरानी, साक्ष्य संरक्षण, या स्व-मूल्यांकन दस्तावेज़ीकरण प्रदान करते हैं (जैसे CRAguard, ProvenVEX, SECURiMENT)।
बहिष्कार: कोई भी प्रदाता अनुरूपता मूल्यांकन, सुरक्षा परीक्षण, या SBOM निर्माण को मण्डेट शुल्क में शामिल नहीं करता। ये अलग इंजीनियरिंग या अधिसूचित निकाय लागतें हैं।
प्रमाणपत्र और सत्यापन: ऐसे प्रदाता की तलाश करें जो सत्यापन योग्य प्रमाणपत्र प्रदान करता हो (REP27 QR कोड और सार्वजनिक सत्यापन पृष्ठ देता है)।
नवीनीकरण शर्तें: सुनिश्चित करें कि पहली चालान भुगतान से पहले नवीनीकरण मूल्य लिखित में हो। मौन या अस्पष्ट नवीनीकरण इस बाजार में आम समस्या हैं।
प्रतिक्रिया प्रक्रिया: पूछें कि प्राधिकरणों से अनुरोध कैसे संभाले जाते हैं, कौन सी भाषाओं में, और किस समय। 24/7 स्टाफ वाला डेस्क 24 घंटे की रिपोर्टिंग सीमा पूरी करने के लिए आवश्यक है।

नीचे प्रदाताओं द्वारा शामिल और बहिष्कृत सेवाओं की तुलना प्रकाशित जानकारी के आधार पर दी गई है:

प्रदाता	शामिल	शामिल नहीं	अतिरिक्त शुल्क
REP27	मण्डेट, 24/7 डेस्क, CSIRT/ENISA चैनल, प्रमाणपत्र	मूल्यांकन, परीक्षण, SBOM, रिपोर्टिंग (आपकी टीम)	कोई नहीं बताया
kadano	मण्डेट (अनुरोध पर विवरण)	अनुरोध पर	अनुरोध पर
Euverify	केवल मण्डेट	अनुरोध पर	अनुरोध पर
CRAguard	निगरानी, रिपोर्टिंग चैनल, दस्तावेज़ीकरण	अनुरोध पर	अनुरोध पर
ProvenVEX	CVE मूल्यांकन, साक्ष्य संरक्षण	अनुरोध पर	अनुरोध पर
SECURiMENT	पता लगाना, रिपोर्टिंग, प्रतिक्रिया, अपडेट प्रबंधन	अनुरोध पर	अनुरोध पर

हमेशा लिखित अनुबंध मांगें जिसमें सभी समावेशन, बहिष्कार और नवीनीकरण शर्तें सूचीबद्ध हों।

कीमत में वास्तव में क्या शामिल है

प्रकाशित कीमत में क्या शामिल है और क्या नहीं, इसे समझना बजट और अनुपालन योजना के लिए महत्वपूर्ण है। अनुच्छेद 18 मण्डेट शुल्क आमतौर पर केवल कानूनी नियुक्ति और ईयू में रिपोर्टिंग डेस्क के संचालन को कवर करता है। इसका व्यावहारिक अर्थ है:

मण्डेट और रिपोर्टिंग डेस्क: प्रतिनिधि को कमजोरियों की रिपोर्टिंग के लिए आपका आधिकारिक संपर्क बनने का अधिकार होता है। REP27 के लिए, इसमें 24/7 स्टाफ वाला डेस्क, CSIRT/ENISA चैनल प्रबंधन, और QR कोड के साथ सत्यापन योग्य प्रमाणपत्र शामिल है। Kadano और Euverify समान मण्डेट देते हैं लेकिन सार्वजनिक पृष्ठों पर अतिरिक्त सुविधाएँ निर्दिष्ट नहीं करते।
बंडल सेवाएं: कुछ प्रदाता (CRAguard, ProvenVEX, SECURiMENT) अतिरिक्त सेवाएं जैसे निर्भरता की निगरानी, साक्ष्य संरक्षण, या घटना प्रतिक्रिया कार्यप्रवाह प्रदान करते हैं। हालांकि, ये सार्वजनिक रूप से मूल्य निर्धारण नहीं करते और इनमें महत्वपूर्ण अतिरिक्त लागत हो सकती है।
क्या शामिल नहीं है: इस तुलना में कोई भी प्रदाता अनुरूपता मूल्यांकन, सुरक्षा परीक्षण, या SBOM निर्माण को शामिल नहीं करता। ये अलग, अक्सर उच्च लागत वाले, कार्य होते हैं जिन्हें अधिसूचित निकाय या आपकी आंतरिक इंजीनियरिंग टीम संभालती है।
नवीनीकरण मूल्य निर्धारण: केवल REP27 नवीनीकरण मूल्य (€440/वर्ष) प्रकाशित करता है, जो पहली वर्ष की फीस से कम है। Kadano और Euverify सार्वजनिक रूप से नवीनीकरण शर्तें नहीं बताते।

प्रदाताओं की तुलना करते समय, हमेशा पूछें कि कीमत में क्या शामिल है और किन चीज़ों के लिए अतिरिक्त शुल्क लगेंगे। कुछ प्रदाता GDPR अनुच्छेद 27 या NIS2 प्रतिनिधित्व के लिए संयुक्त शुल्क भी प्रदान करते हैं (REP27: CRA+GDPR के लिए €690/वर्ष, CRA+GDPR+NIS2 के लिए €990/वर्ष)।

सारांश तालिका:

प्रदाता	मण्डेट	24/7 डेस्क	निगरानी	साक्ष्य संरक्षण	मूल्यांकन/परीक्षण
REP27	हाँ	हाँ	नहीं	नहीं	नहीं
kadano	हाँ	अनुरोध पर	अनुरोध पर	अनुरोध पर	नहीं
Euverify	हाँ	अनुरोध पर	अनुरोध पर	अनुरोध पर	नहीं
CRAguard	हाँ	हाँ	हाँ	नहीं	नहीं
ProvenVEX	हाँ	अनुरोध पर	नहीं	हाँ	नहीं
SECURiMENT	हाँ	हाँ	हाँ	अनुरोध पर	हाँ

छिपे हुए खर्च और बहिष्कार

जबकि प्रतिनिधि मण्डेट शुल्क CRA अनुपालन में अक्सर सबसे छोटा खर्च होता है, छिपे हुए खर्च और बहिष्कार महत्वपूर्ण हो सकते हैं:

आंतरिक इंजीनियरिंग समय: स्व-मूल्यांकन, दस्तावेज़ीकरण, और SBOM तैयार करना अनिवार्य है लेकिन प्रतिनिधि शुल्क में शामिल नहीं है। इसके लिए समर्पित तकनीकी संसाधनों की आवश्यकता होती है।
समर्थन अवधि: CRA अधिकांश उत्पादों के लिए कम से कम पाँच वर्षों की सुरक्षा अपडेट की मांग करता है। इसे एक उत्पाद लाइन के रूप में निरंतर रखरखाव के लिए बजट बनाएं, न कि एक बार के प्रोजेक्ट के रूप में।
अनुरूपता मूल्यांकन: महत्वपूर्ण क्लास II या संवेदनशील उत्पादों के लिए अधिसूचित निकाय मूल्यांकन आवश्यक है। यह हजारों यूरो खर्च कर सकता है और महीनों लग सकते हैं। कोई भी प्रतिनिधि इस लागत को वहन नहीं करता।
घटना का पता लगाना: प्रतिनिधि आपकी प्रणालियों की कमजोरियों की निगरानी नहीं करता। आपकी सुरक्षा टीम पता लगाने और प्रारंभिक छंटनी के लिए जिम्मेदार है।
प्रति-घटना या प्रति-आवेदन शुल्क: जबकि REP27 अनुरोधों के लिए कोई अतिरिक्त शुल्क नहीं बताता, अन्य प्रदाता अतिरिक्त सेवाओं या घटना प्रबंधन के लिए शुल्क ले सकते हैं। इसे लिखित में स्पष्ट करें।
जिम्मेदारी सीमाएँ: प्रदाता आमतौर पर अपनी जिम्मेदारी को मण्डेट के दायरे तक सीमित करते हैं। वे आपकी आंतरिक विफलताओं के कारण छूटी रिपोर्टिंग के लिए जिम्मेदार नहीं होते।
सूचना अवधि और नवीनीकरण शर्तें: मौन या अस्पष्ट नवीनीकरण अप्रत्याशित लागत या कवरेज में छूट का कारण बन सकते हैं। REP27 नवीनीकरण मूल्य और शर्तें प्रकाशित करता है; अन्य नहीं।

प्रदाताओं द्वारा आमतौर पर न बताई जाने वाली बातें:

मण्डेट कमजोरियों का पता लगाना, पैचिंग, या उपयोगकर्ता सूचना शामिल नहीं करता—ये आपकी जिम्मेदारी होती हैं।
प्राधिकरणों से दस्तावेज़ीकरण अनुरोध तब विलंबित हो सकते हैं जब आपका रनबुक अधूरा हो या आपकी टीम तैयार न हो।
यदि आपका मण्डेट स्पष्ट रूप से अनुच्छेद 18(3) तक सीमित नहीं है, तो प्रदाता बदलना जटिल हो सकता है।

हमेशा बहिष्कारों की सूची मांगें और सभी शर्तों को लिखित में पुष्टि करें।

नियुक्ति कैसे काम करती है: चरण-दर-चरण

CRA अधिकृत प्रतिनिधि नियुक्त करना एक संरचित प्रक्रिया है। व्यावहारिक रूप से यह इस प्रकार काम करती है, ठोस कदम और सुझावों के साथ:

अपनी स्थिति निर्धारित करें: क्या आप ईयू बाजार में डिजिटल तत्व वाले उत्पाद के निर्माता हैं? यदि हाँ, आगे बढ़ें। यदि आप केवल आयातक या वितरक हैं, तो जांचें कि क्या आप उत्पाद अपने नाम से बाजार में ला रहे हैं।
अपनी स्थापना जांचें: यदि आपकी कोई कानूनी इकाई ईयू में नहीं है, तो आपको अधिकृत प्रतिनिधि नियुक्त करना होगा। यदि आपकी ईयू में कोई सहायक कंपनी निर्माता के रूप में कार्य करती है, तो आप सीधे रिपोर्ट करते हैं।
प्रदाता चुनें: प्रकाशित कीमतों, सेवा दायरे और पारदर्शिता के आधार पर प्रदाताओं की तुलना करें। REP27, kadano, और Euverify कीमतें प्रकाशित करते हैं; अन्य अनुरोध पर विवरण देते हैं।
लिखित मण्डेट पर हस्ताक्षर करें: प्रदाता (जैसे REP27) एक हस्ताक्षरित नामांकन पत्र जारी करता है, आमतौर पर eIDAS इलेक्ट्रॉनिक हस्ताक्षर और सत्यापन योग्य प्रमाणपत्र के साथ। सुनिश्चित करें कि मण्डेट अनुच्छेद 18(3) कर्तव्यों तक सीमित है।
अपने अनुपालन दस्तावेज़ अपडेट करें: प्रतिनिधि का विवरण अपनी तकनीकी फाइलों, रनबुक, और CRA द्वारा आवश्यक किसी भी उत्पाद दस्तावेज़ में जोड़ें।
रिपोर्टिंग प्रक्रिया सेट करें: ENISA रिपोर्टिंग प्लेटफॉर्म तक पहुंच वाले कम से कम दो प्रस्तुतकर्ता नामित करें। पूर्व-लिखित प्रारंभिक चेतावनी और सूचना टेम्पलेट तैयार रखें।
ट्रिगर और आंतरिक प्रक्रिया परिभाषित करें: दस्तावेज़ करें कि सक्रिय रूप से शोषित कमजोरियों या गंभीर घटनाओं की जानकारी कब मानी जाएगी। तय करें कि कौन इसे घोषित कर सकता है और किस प्रकार के साक्ष्य आवश्यक हैं (जैसे शोषण देखा गया, विश्वसनीय ग्राहक रिपोर्ट)।
रिकॉर्डकीपिंग: जागरूकता, सबमिशन, और अपडेट के टाइमस्टैम्प रखें। यह आपकी प्रमाणिकता होगी यदि समय सीमा पर प्रश्न उठे।
लगातार तत्परता: अपनी टीम को प्रशिक्षित करें, रिपोर्टिंग प्रक्रिया का परीक्षण करें, और अपना रनबुक नियमित रूप से समीक्षा करें।

यह प्रक्रिया सुनिश्चित करती है कि आप 24 घंटे की रिपोर्टिंग सीमा पूरी करने के लिए तैयार हैं और अनुपालन में कोई कमी न हो।

जोखिम और जुर्माने

CRA के अनुपालन न होने के जोखिम वित्तीय और परिचालन दोनों रूपों में महत्वपूर्ण हैं:

जुर्माने: अनुपालन न होने पर प्रशासनिक जुर्माना €15 मिलियन तक या वैश्विक वार्षिक कारोबार का 2.5% तक हो सकता है, जो भी अधिक हो। ये दंड छूटी रिपोर्टिंग समय सीमा, प्रतिनिधि नियुक्त न करने, या अपर्याप्त घटना प्रतिक्रिया पर लागू होते हैं (स्रोत)।
परिचालन जोखिम: रिपोर्टिंग में देरी से नियामक जांच, उत्पाद रिकॉल, या बाजार पहुंच पर प्रतिबंध हो सकता है। यदि आप वैध ईयू प्रतिनिधि नहीं दिखा सकते, तो खरीद और वितरण अवरुद्ध हो सकते हैं।
प्रतिष्ठा को नुकसान: उपयोगकर्ताओं या प्राधिकरणों को तुरंत सूचना न देने से नकारात्मक प्रचार और ग्राहक विश्वास की हानि हो सकती है।
आंतरिक व्यवधान: स्पष्ट रिपोर्टिंग प्रक्रिया के बिना, घटना के दौरान महत्वपूर्ण घंटे खो सकते हैं, जिससे जोखिम और लागत दोनों बढ़ते हैं।

गलतियाँ जो हो सकती हैं:

घटना के पहले घंटों में सही CSIRT या रिपोर्टिंग मार्ग खोजने में समय गंवाना।
दस्तावेज़ीकरण अनुरोध किसी अन्य समय क्षेत्र के कार्यालय तक पहुंचना, जिससे जवाब में देरी।
डिफ़ॉल्ट रूप से वितरक को रिपोर्टिंग मार्ग मानना, जिससे घटना प्रबंधन पर नियंत्रण खोना।
स्पष्ट नवीनीकरण शर्तों के अभाव में मण्डेट कवरेज में मौन छूट।

इन जोखिमों को पारदर्शी, उत्तरदायी प्रतिनिधि नियुक्त करके और मजबूत आंतरिक प्रक्रिया बनाए रखकर कम करें।

निर्णय मैट्रिक्स: क्या आपको CRA प्रतिनिधि चाहिए?

नीचे मैट्रिक्स का उपयोग करें यह निर्धारित करने के लिए कि आपके व्यवसाय मॉडल और स्थान के आधार पर आपको CRA अधिकृत प्रतिनिधि की आवश्यकता है या नहीं:

यदि आप हैं…	आपको चाहिए…	आपको नहीं चाहिए…
गैर-ईयू निर्माता जो ईयू को डिजिटल उत्पाद बेचता है	CRA अधिकृत प्रतिनिधि	यदि आपकी ईयू में सहायक कंपनी निर्माता के रूप में है
ईयू आधारित निर्माता	सीधा CSIRT/ENISA को रिपोर्टिंग	अधिकृत प्रतिनिधि
आयातक/वितरक (निर्माता नहीं)	कुछ नहीं, जब तक आप उत्पाद अपने नाम से बाजार में न लाएं	अधिकृत प्रतिनिधि
अमेज़न/एटसी/ईबे विक्रेता (ईयू के बाहर, अपनी ब्रांड)	यदि आप निर्माता हैं तो अधिकृत प्रतिनिधि	यदि आप केवल मौजूदा ब्रांड पुनर्विक्रय करते हैं
B2B SaaS प्रदाता (ईयू के बाहर, सीधे ईयू ग्राहकों को)	अधिकृत प्रतिनिधि	यदि केवल गैर-ईयू उपयोगकर्ताओं को प्रदान करते हैं
मार्केटप्लेस विक्रेता (ईयू आधारित)	सीधी रिपोर्टिंग	अधिकृत प्रतिनिधि

प्रतिनिधि नियुक्त करने से पहले अपनी स्थिति और बाध्यताओं की पुष्टि करें।

चेकलिस्ट: CRA 24-घंटे रिपोर्टिंग अनुपालन के कदम

पहचानें कि आपका उत्पाद CRA के तहत आता है या नहीं (डिजिटल तत्व, ईयू बाजार)।
पुष्टि करें कि आप निर्माता हैं (केवल आयातक/वितरक नहीं)।
यदि ईयू के बाहर हैं, तो CRA अधिकृत प्रतिनिधि नियुक्त करें और हस्ताक्षरित मण्डेट प्राप्त करें।
प्रतिनिधि का विवरण अपनी तकनीकी फाइलों और अनुपालन रिकॉर्ड में दस्तावेज़ करें।
कमजोरी रिपोर्टिंग के लिए 24/7 इनटेक चैनल सेट करें (आंतरिक या प्रतिनिधि के माध्यम से)।
ENISA रिपोर्टिंग प्लेटफॉर्म तक पहुंच वाले कम से कम दो प्रस्तुतकर्ता नामित करें।
शीघ्र पूर्णता के लिए पूर्व-लिखित प्रारंभिक चेतावनी और सूचना टेम्पलेट तैयार रखें।
कर्मचारियों को प्रशिक्षित करें कि रिपोर्टिंग कब और कैसे करनी है।
"जागरूक होने" के ट्रिगर और आवश्यक साक्ष्यों को परिभाषित और दस्तावेज़ करें।
अनुपालन प्रमाण और ऑडिट के लिए सभी संबंधित टाइमस्टैम्प रिकॉर्ड करें।
अपने रनबुक और रिपोर्टिंग प्रक्रिया की नियमित समीक्षा और अपडेट करें।

इस चेकलिस्ट का पालन करने से आप सबसे आम अनुपालन विफलताओं से बच सकते हैं।

वास्तविक परिदृश्य: कौन सी बाध्यता लागू होती है?

यूएस SaaS कंपनी जो ईयू को बेचती है: गैर-ईयू निर्माता के रूप में, आपको CRA अधिकृत प्रतिनिधि (जैसे REP27) नियुक्त करना होगा जो आपकी रिपोर्टिंग मार्ग के रूप में कार्य करे। 24/7 इनटेक चैनल सेट करें और कम से कम दो कर्मचारी ENISA प्लेटफॉर्म पर रिपोर्ट सबमिट कर सकें। प्रारंभिक चेतावनी टेम्पलेट तैयार करें और सक्रिय रूप से शोषित कमजोरियों के निर्धारण की प्रक्रिया दस्तावेज़ करें।
चीनी अमेज़न विक्रेता (अपनी ब्रांड): यदि आप अपने ब्रांड वाले डिजिटल उत्पाद ईयू खरीदारों को बनाते और बेचते हैं, तो आपको CRA प्रतिनिधि चाहिए। यदि आप केवल तीसरे पक्ष के ब्रांड पुनर्विक्रय करते हैं, तो नहीं। प्रतिनिधि नियुक्त करें, अनुपालन फाइलें अपडेट करें, और 24 घंटे की रिपोर्टिंग के लिए तैयार रहें।
यूके ऑनलाइन दुकान अपनी IoT डिवाइस के साथ: यदि आप सीधे ईयू उपभोक्ताओं को बेचते हैं, तो आप निर्माता हैं और CRA प्रतिनिधि नियुक्त करना होगा। यदि आप केवल यूके में बेचते हैं, तो CRA लागू नहीं होता। यदि आप ईयू वितरक का उपयोग करते हैं जो उत्पाद अपने नाम से बाजार में लाता है, तो वे जिम्मेदार होंगे।

सभी मामलों में, सबसे सरल अनुपालन मार्ग एक पारदर्शी, निश्चित-लागत प्रतिनिधि नियुक्त करना, अपनी रिपोर्टिंग प्रक्रिया दस्तावेज़ करना, और कानून लागू होने से पहले अपनी टीम को प्रशिक्षित करना है।

जब आपको इसकी आवश्यकता नहीं है

आयातक या वितरक जो अपने नाम से उत्पाद ईयू बाजार में नहीं लाते
ईयू में स्थापित निर्माता (वे सीधे CSIRT/ENISA को रिपोर्ट करते हैं)
तीसरे पक्ष के ब्रांड के पुनर्विक्रेता (निर्माता नहीं)
गैर-डिजिटल उत्पाद (CRA के तहत नहीं आते)

अक्सर पूछे जाने वाले प्रश्न

CRA के तहत कमजोरियों की रिपोर्ट कौन करे?

डिजिटल तत्व वाले उत्पादों के निर्माता जो ईयू बाजार में हैं, उन्हें सक्रिय रूप से शोषित कमजोरियों या गंभीर घटनाओं की 24 घंटे के भीतर रिपोर्ट करनी होती है। गैर-ईयू निर्माताओं को रिपोर्टिंग के लिए अधिकृत प्रतिनिधि नियुक्त करना आवश्यक है।

24 घंटे की रिपोर्टिंग घड़ी कब शुरू होती है?

घड़ी उस समय शुरू होती है जब निर्माता को सक्रिय रूप से शोषित कमजोरी या गंभीर घटना की जानकारी मिलती है। केवल खोज होना रिपोर्टिंग शुरू नहीं करता—शोषण या गंभीर घटना का प्रमाण आवश्यक है।

REP27 के €490/वर्ष CRA मण्डेट में क्या शामिल है?

इस शुल्क में अनुच्छेद 18 मण्डेट, यूरोप में 24/7 रिपोर्टिंग डेस्क, CSIRT/ENISA चैनल प्रबंधन, और सत्यापन योग्य प्रमाणपत्र शामिल हैं। इसमें अनुरूपता मूल्यांकन, सुरक्षा परीक्षण, या SBOM निर्माण शामिल नहीं है।

क्या अनुरूपता मूल्यांकन और परीक्षण शामिल हैं?

नहीं। यहां सूचीबद्ध सभी प्रदाता अनुरूपता मूल्यांकन और सुरक्षा परीक्षण को प्रतिनिधि मण्डेट से बाहर रखते हैं। ये अलग लागतें होती हैं जिन्हें अधिसूचित निकाय या सुरक्षा कंपनियां संभालती हैं।

मैं CRA अधिकृत प्रतिनिधि कैसे नियुक्त करूं?

प्रदाता चुनें, लिखित मण्डेट पर हस्ताक्षर करें, और उनके विवरण को अपने अनुपालन रिकॉर्ड में दस्तावेज़ करें। सुनिश्चित करें कि रिपोर्टिंग प्रक्रिया और प्रमाणपत्र सत्यापन स्पष्ट हो और नवीनीकरण शर्तें पारदर्शी हों।

यदि मैं 24 घंटे की समय सीमा चूक जाऊं तो क्या होगा?

समय सीमा चूकने पर €15 मिलियन तक या वैश्विक वार्षिक कारोबार का 2.5% तक का भारी जुर्माना हो सकता है। समय पर रिपोर्टिंग और स्पष्ट आंतरिक प्रक्रियाएं आवश्यक हैं।

क्या मैं GDPR और CRA प्रतिनिधित्व के लिए एक ही प्रदाता का उपयोग कर सकता हूँ?

हाँ, कुछ प्रदाता (जैसे REP27) GDPR अनुच्छेद 27 और CRA अनुच्छेद 18 के लिए संयुक्त मण्डेट प्रदान करते हैं, अक्सर कम संयुक्त कीमत पर। हमेशा दायरे और नवीनीकरण शर्तें पुष्टि करें।

ENISA रिपोर्टिंग प्लेटफॉर्म क्या है?

ENISA CRA कमजोरियों की रिपोर्टिंग के लिए एकल प्लेटफॉर्म संचालित करता है। निर्माता या उनके अधिकृत प्रतिनिधि को प्रारंभिक चेतावनी, सूचनाएं, और अंतिम रिपोर्ट इसी प्लेटफॉर्म के माध्यम से सबमिट करनी होती हैं।

क्या प्रत्येक कमजोरियों की रिपोर्ट के लिए अतिरिक्त शुल्क हैं?

REP27 और अधिकांश प्रदाता प्रति-रिपोर्ट शुल्क नहीं बताते, लेकिन हस्ताक्षर से पहले इसे लिखित में पुष्टि करें। कुछ प्रदाता अतिरिक्त सेवाओं या घटना प्रबंधन के लिए शुल्क ले सकते हैं।

मुझे कैसे पता चलेगा कि मुझे CRA प्रतिनिधि की आवश्यकता है?

यदि आप ईयू के बाहर डिजिटल उत्पादों के निर्माता हैं जो ईयू खरीदारों को बेचते हैं, तो आपको CRA अधिकृत प्रतिनिधि चाहिए। ईयू आधारित निर्माता सीधे रिपोर्ट करते हैं और प्रतिनिधि की आवश्यकता नहीं होती।

क्या CRA पुराने उत्पादों पर लागू होता है?

11 दिसंबर 2027 से पहले बाजार में रखे गए उत्पाद केवल तभी CRA के अधीन होंगे जब वे उस तारीख के बाद महत्वपूर्ण संशोधन से गुजरें। अन्यथा, पुराने उत्पाद शामिल नहीं हैं।

CRA के पूर्ण लागू होने से पहले मुझे क्या तैयार करना चाहिए?

अपनी रिपोर्टिंग प्रक्रिया स्थापित करें, आवश्यक हो तो प्रतिनिधि नियुक्त करें, 24/7 इनटेक चैनल सेट करें, सूचना टेम्पलेट पूर्व-लिखित रखें, और अपनी टीम को रिपोर्टिंग ट्रिगर समझाएं। अपना रनबुक और अनुपालन फाइलें नियमित समीक्षा करें।

स्रोत

REP27 — Europe Services, SE: CRA Authorised Representative Cost — gdprrepresentative.com
REP27 — Europe Services, SE: CRA 24-Hour Vulnerability Reporting — gdprrepresentative.com
kadano — kadano.io
Euverify — euverify.com
CRAguard — craguard.eu
ProvenVEX — provenvex.com
SECURiMENT — securiment.com
Cyber Resilience Act summary (European Commission) — digital-strategy.ec.europa.eu
Cyber Resilience Act overview (cyber-regulierung.de) — cyber-regulierung.de
Cyber Resilience Act application dates (cecheck.com) — cecheck.com
Cyber Resilience Act fines (ITPro) — itpro.com
Cyber Resilience Act requirements (dotlegal.com) — dotlegal.com