Sebezhetőségi jelentéstételi szolgáltatók összehasonlítása a Cyber Resilience Act (CRA) szerint

• A CRA szerinti sebezhetőségi jelentéstétel 2026. szeptember 11-től kötelező
• Csak néhány szolgáltató teszi közzé az árakat és a szolgáltatás részleteit
• A képviselet a jelentések továbbítását fedi le, nem a technikai értékelést
• Hasonlítsd össze a kizárásokat, megújításokat és ellenőrzési folyamatokat
• A jelentéstétel elmulasztása akár 15 millió € vagy a bevétel 2,5%-ának megfelelő bírságot vonhat maga után
• A képviseleti megbízás nem tartalmaz értékelést, SBOM-ot vagy technikai támogatást

Frissítve 21 October 2026 · 12 ellenőrzött források

Összehasonlított szolgáltatók

Árak a szolgáltatók weboldalán közzétett információk alapján 21 October 2026, áfát nem tartalmazva, hacsak másként nincs feltüntetve. Minden sor a forrásához linkel.

A törvény követelményei: kötelezettségek, cikkek és határidők

A Cyber Resilience Act (CRA), az (EU) 2024/2847 rendelet szigorú kötelezettségeket vezet be az EU piacára digitális elemeket tartalmazó termékeket (hardver és szoftver) forgalmazók számára, függetlenül a telephely helyétől. A fő kötelezettségek:

• Hivatalos képviselő kijelölése (18. cikk): Ha a gyártó nem az EU-ban van bejegyezve, írásban kell kijelölnie egy képviselőt az Unióban. Ez a képviselő felelős a sebezhetőségi és súlyos incidens jelentések továbbításáért a hatóságoknak (CSIRT, ENISA).
• Sebezhetőségek jelentése (14. cikk): 2026. szeptember 11-től minden gyártónak 24 órán belül jelenteni kell az aktívan kihasznált sebezhetőséget vagy súlyos biztonsági incidenst az ENISA platformján keresztül, a koordináló CSIRT felé.
• Teljes értesítés és végső jelentés: Az első jelentést követő 72 órán belül részletes értesítést kell adni az első korrekciós intézkedésekről, 14-30 napon belül pedig végső jelentést a sebezhetőségről és a megoldásról.
• Minden digitális termékre vonatkozik: Az előírás a piacon lévő új és meglévő termékekre is vonatkozik, beleértve az életciklust, frissítéseket és támogatást.
• Bírságok: A szabályok megszegése akár 15 millió € vagy a globális árbevétel 2,5%-ának megfelelő bírságot vonhat maga után, a magasabb összeg szerint.

Fontos megkülönböztetni a CRA szerinti jelentéstételt (termék sebezhetőségek) más kötelezettségektől, mint a GDPR (személyes adatok megsértése) vagy NIS2 (szolgáltatási incidensek). Minden szabályozásnak eltérő címzettjei, határidejei és platformjai vannak.

Hogyan válassz szolgáltatót: gyakorlati szempontok és kockázatok

A CRA szerinti sebezhetőségi jelentéstételi szolgáltató kiválasztását gyakorlati és átlátható szempontok vezéreljék. Íme a legfontosabb pontok:

• Közzétett és átlátható ár: Előnyben részesítsd azokat a szolgáltatókat, akik világosan megadják az árat és a megújítás költségét. Kerüld az „introductory” árakat vagy rejtett megújításokat.
• Mit tartalmaz a szolgáltatás: Ellenőrizd, hogy a szolgáltatás csak a képviseleti megbízást és a jelentések továbbítását fedi-e le, vagy nyújt-e technikai támogatást, dokumentációt, SBOM-ot vagy fejlett munkafolyamatokat. A legtöbb szolgáltató csak a jogi képviseletet biztosítja.
• Ellenőrizhető tanúsítvány: QR-kóddal és nyilvános ellenőrző oldallal rendelkező tanúsítvány csökkenti az auditok és incidensek alatti viták kockázatát.
• 24/7 ügyfélszolgálat: A jelentéstétel bármikor elérhető kell legyen, éjjel, hétvégén és ünnepnapokon is. Kérdezd meg kifejezetten, hogy az ügyfélszolgálat egész évben működik-e.
• Nyelv és válaszidő: Győződj meg róla, hogy a szolgáltató angolul, és szükség esetén más EU nyelveken is tudja kezelni a kéréseket. A 24 óránál hosszabb továbbítási idő veszélyezteti a megfelelést.
• Kizárások és korlátok: Egyetlen képviselő sem vállalja a technikai értékelést, biztonsági teszteket, SBOM generálást vagy mérnöki támogatást: ezek a gyártó vagy szakosodott szolgáltatók feladatai maradnak.

Mindig értékeld a kizárások világosságát: egy szolgáltató, amely nem részletezi azokat, valószínűleg nem határozta meg pontosan a szolgáltatás körét.

Mit tartalmaz valójában az ár: összehasonlító táblázat és elemzés

A legtöbb szolgáltató a képviseleti megbízást és a jelentések továbbítását kínálja, de kevesen nyújtanak további technikai szolgáltatásokat. Íme egy összehasonlító táblázat:

A lényegi különbség a "klasszikus" szolgáltatók (REP27, kadano, Euverify) és a szélesebb szolgáltatásokat nyújtók (Attestra AI, Seentrix, Illicium) között, hogy az előbbiek csak a törvényi minimumot teljesítik, míg az utóbbiak biztonsági munkafolyamatokat, automatizált SBOM-ot vagy pentestinget is kínálnak. Az Art. 18 és 14 CRA szerinti megfeleléshez azonban elegendő a képviseleti megbízás és a gyors jelentéstovábbítás garantálása.

Figyelem: a közzétett ár csak a kifejezetten megadott szolgáltatásokat tartalmazza. A technikai szolgáltatások gyakran külön díjazásúak és jóval drágábbak lehetnek.

Rejtett költségek, kizárások és amit a szolgáltatók nem mondanak el

Sok szolgáltató nem teszi közzé a megújítási díjat, vagy extra díjat számít fel időn túli kérésekért, további tanúsítványok kiadásáért vagy nem angol nyelvű támogatásért. Amit érdemes tudni:

• Megújítások: Mindig kérd írásban a megújítás árát a szerződés aláírása előtt. A REP27 ezt egyértelműen közzéteszi (€440), mások csak kérésre adják meg.
• Kizárások: Egyetlen szolgáltató sem vállalja a megfelelőségi értékelést, biztonsági teszteket, SBOM generálást vagy mérnöki támogatást. Ezek külön szolgáltatások, és általában jóval drágábbak, mint a képviseleti megbízás.
• Felelősség korlátozása: A szolgáltatók nem vállalnak felelősséget technikai hibákért, az ügyfél általi jelentés elmulasztásáért vagy a sebezhetőségek kezeléséért.
• Felmondási idő: Egyes szolgáltatók előzetes értesítést kérhetnek a szolgáltatás megszüntetéséhez vagy a képviselő cseréjéhez. Mindig ellenőrizd a szerződési feltételeket.
• Kérésenkénti díjak: Ha nincs nyilvános információ, kérdezd meg, van-e díj extra kérésekért, új tanúsítványokért vagy sürgősségi támogatásért.

Döntési táblázat:

Összefoglalva: a kizárások és rejtett költségek világos ismerete elengedhetetlen a meglepetések elkerüléséhez és a teljes megfelelőség biztosításához.

A képviselet kinevezésének folyamata: lépésről lépésre és gyakorlati ellenőrző lista

A CRA képviselő kinevezése néhány kulcsfontosságú lépést követ. Íme egy részletes útmutató:

1. Azonosítsd a kötelezettséget: Gyártó vagy digitális termékekkel (hardver/szoftver) az EU-ban, de nincs EU-s telephelyed? Ha igen, kötelezett vagy.
2. Válaszd ki a szolgáltatót: Hasonlítsd össze az árakat, szolgáltatásokat, kizárásokat és ellenőrzési folyamatokat. Előnyben részesíts 24/7 ügyfélszolgálattal és nyilvánosan ellenőrizhető tanúsítvánnyal rendelkező szolgáltatót.
3. Írd alá a megbízást: A megbízásnak írásban kell lennie, a szolgáltató jogi személye (pl. Europe Services, SE a REP27 esetén) által aláírva, és csak az Art. 18 kötelezettségeire kell korlátozódnia. Kerüld az olyan megbízásokat, amelyek az Art. 13-at is lefedik.
4. Kapd meg a tanúsítványt: A szolgáltató kiad egy kinevezési tanúsítványt, lehetőleg QR-kóddal és online ellenőrző oldallal.
5. Készítsd elő a belső eljáráskönyvet: Rögzítsd a képviselő adatait, az eszkalációs eljárást és a jelentési kapcsolatokat a belső dokumentációban.
6. Állítsd be a jelentési csatornát: Hozz létre egy belső csatornát a sebezhetőségi és incidens jelentések fogadására, legalább két személyt nevezve ki submitterként az ENISA platformon.
7. Képezd ki a csapatot: Biztosítsd, hogy a munkatársak tudják, mit és mikor kell jelenteni, és hogy a folyamatokat szimulációval teszteljék.

Gyakorlati ellenőrző lista:

1. Azonosítottad a termékkategóriákat és azok EU-s rendeltetését?
2. Feltérképezted az összes értékesítési és disztribúciós csatornát?
3. Választottál olyan szolgáltatót, amely 24/7 ügyfélszolgálatot és átlátható megújítási árat kínál?
4. Megírtad az eszkalációs és jelentési eljárásokat?
5. Kineveztél legalább két submittert az ENISA platformon?
6. Letesztelted a jelentési folyamatot szimulációval?

Ezekkel a lépésekkel minimalizálhatod a nem megfelelőség és a bírságok kockázatát.

Kockázatok, bírságok és valós helyzetek: mit jelent ez a gyakorlatban

A sebezhetőség 24 órán belüli be nem jelentése akár 15 millió € vagy a globális árbevétel 2,5%-ának megfelelő bírságot vonhat maga után, emellett reputációs károkat és az EU-s értékesítés blokkolását eredményezheti. Három valós példa az előírások alkalmazására:

• USA SaaS cég: Egy amerikai SaaS vállalat, amely EU-s ügyfeleknek nyújt szolgáltatást, köteles CRA képviselőt kinevezni, 24/7 jelentési csatornát működtetni, és minden kihasznált sebezhetőséget jelenteni. A képviselő továbbítja a jelentéseket az ENISA-n keresztül, és válaszol a hatósági megkeresésekre.
• Kínai Amazon eladó: Ha az eladó a digitális termék gyártója is, köteles CRA képviselőt kijelölni és betartani a jelentési határidőket. Ha csak viszonteladó, a kötelezettség a gyártót terheli. A jelentési csatornának 2026. szeptember 11-ig működnie kell.
• Brit online bolt: Egy brit webáruház, amely firmware-rel rendelkező eszközöket értékesít EU-s ügyfeleknek, köteles CRA képviselőt kinevezni. Ha csak nem digitális szolgáltatásokat kínál, nem vonatkozik rá a kötelezettség. Incidens esetén a jelentést 24 órán belül kell megtenni, még ha a székhely az EU-n kívül is van.

Minden esetben a felkészületlenség (hiányzó eljáráskönyv, nem tesztelt jelentési csatorna, nem ellenőrizhető képviselő) lassíthatja a reagálást és súlyosbíthatja a jogi és pénzügyi következményeket.