Υποχρεώσεις Cyber Resilience Act για Κατασκευαστές εκτός ΕΕ

• Το CRA εφαρμόζεται σε κατασκευαστές εκτός ΕΕ που πωλούν στην ΕΕ από 11 Σεπτεμβρίου 2026
• Άρθρο 18: Απαιτείται εξουσιοδοτημένος εκπρόσωπος στην ΕΕ αν δεν υπάρχει παρουσία στην ΕΕ
• Υποχρέωση αναφοράς εντός 24 ωρών για εκμεταλλευόμενες ευπάθειες (Άρθρο 14)
• Η διαδικασία αξιολόγησης συμμόρφωσης εξαρτάται από την κατηγορία προϊόντος
• Πρόστιμα έως €15 εκατ. ή 2,5% του κύκλου εργασιών για παραβάσεις

Ενημερωμένο 18 October 2026 · 7 πηγές ελεγμένες

Πάροχοι συγκριμένοι

Τιμές όπως δημοσιεύονται στον ιστότοπο κάθε παρόχου στις 18 October 2026, χωρίς ΦΠΑ εκτός αν αναφέρεται. Κάθε γραμμή συνδέεται με την πηγή της.

Τι Απαιτεί ο Νόμος (με Αριθμούς Άρθρων)

Ο Cyber Resilience Act (CRA) είναι ο νέος κανονισμός της ΕΕ για προϊόντα με ψηφιακά στοιχεία, συμπεριλαμβανομένου υλικού, λογισμικού και εξαρτημάτων. Εφαρμόζεται σε κάθε κατασκευαστή — ανεξαρτήτως τοποθεσίας — εάν τα προϊόντα του διατίθενται στην αγορά της ΕΕ. Ο νόμος τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024. Οι υποχρεώσεις αναφοράς ξεκινούν στις 11 Σεπτεμβρίου 2026, ενώ η πλήρης συμμόρφωση (συμπεριλαμβανομένης της σήμανσης CE και της αξιολόγησης συμμόρφωσης) απαιτείται από 11 Δεκεμβρίου 2027.

• Άρθρο 18: Οι κατασκευαστές εκτός ΕΕ πρέπει να διορίσουν εξουσιοδοτημένο εκπρόσωπο στην ΕΕ για κάθε γραμμή προϊόντων, εκτός εάν διαθέτουν εγκατάσταση στην ΕΕ. Ο εκπρόσωπος αυτός λειτουργεί ως επίσημο σημείο επαφής για τις αρχές και την επιτήρηση της αγοράς.
• Άρθρο 14: Οι κατασκευαστές πρέπει να αναφέρουν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά περιστατικά που επηρεάζουν την ασφάλεια του προϊόντος. Το χρονοδιάγραμμα είναι αυστηρό: προειδοποίηση εντός 24 ωρών, πλήρης ειδοποίηση εντός 72 ωρών και τελική αναφορά εντός 14 ημερών μετά την αντιμετώπιση ή την ειδοποίηση. Η πλατφόρμα αναφοράς διαχειρίζεται από την ENISA και ο παραλήπτης καθορίζεται από το κράτος μέλος του εκπροσώπου.
• Παράρτημα I & II: Οι κατασκευαστές πρέπει να πληρούν βασικές απαιτήσεις κυβερνοασφάλειας, όπως διαχείριση ευπαθειών, ανάπτυξη secure-by-design και σαφείς οδηγίες χρήσης σε γλώσσα κατανοητή από χρήστες και αρχές.
• Αξιολόγηση Συμμόρφωσης: Η απαιτούμενη διαδικασία εξαρτάται από την κατηγορία προϊόντος. Τα προεπιλεγμένα προϊόντα μπορούν να αυτοαξιολογηθούν· τα σημαντικά κατηγορίας I πρέπει να χρησιμοποιούν εναρμονισμένα πρότυπα ή τρίτη αξιολόγηση· τα σημαντικά κατηγορίας II και κρίσιμα απαιτούν αξιολόγηση από κοινοποιημένο οργανισμό ή σύστημα πιστοποίησης.
• Περίοδος Υποστήριξης: Οι κατασκευαστές πρέπει να παρέχουν ενημερώσεις ασφαλείας και διαχείριση ευπαθειών καθ’ όλη τη διάρκεια της δηλωμένης περιόδου υποστήριξης (τουλάχιστον πέντε χρόνια).
• Εξαιρέσεις: Οι μικρομεσαίες επιχειρήσεις και οι διαχειριστές ανοιχτού κώδικα απαλλάσσονται από πρόστιμα για καθυστερημένες αναφορές, αλλά πρέπει να τηρούν τις τεχνικές και αναφορικές υποχρεώσεις.

Οι εισαγωγείς και διανομείς γίνονται κατασκευαστές αν διαθέτουν προϊόντα με δικό τους όνομα ή τα τροποποιούν ουσιαστικά. Διαφορετικά, ο αρχικός κατασκευαστής παραμένει υπεύθυνος για τη συμμόρφωση και την αναφορά CRA.

Πώς να Επιλέξετε Εκπρόσωπο CRA ή Πάροχο Συμμόρφωσης

Η επιλογή του κατάλληλου εκπροσώπου Άρθρου 18 ή παρόχου συμμόρφωσης είναι κρίσιμη για κατασκευαστές εκτός ΕΕ. Η αγορά ποικίλλει σημαντικά σε τιμές, διαφάνεια και παρεχόμενες υπηρεσίες. Τι να λάβετε υπόψη:

• Νομικό Πρόσωπο και Έδρα: Επαληθεύστε το νομικό πρόσωπο και την εγκατάσταση στην ΕΕ του παρόχου. Για παράδειγμα, η REP27 είναι Europe Services, SE, με έδρα την Πράγα και καταχωρημένη στο εμπορικό μητρώο Τσεχίας. Ελέγξτε πάντα πριν πληρώσετε.
• Πεδίο Εντολής: Ορισμένοι πάροχοι προσφέρουν μόνο την εντολή Άρθρου 18 (όπως απαιτεί ο νόμος), ενώ άλλοι συνδυάζουν επιπλέον υπηρεσίες όπως εκπροσώπηση GDPR ή NIS2. Επιβεβαιώστε ότι η εντολή περιορίζεται στο Άρθρο 18(3) (όπως πρέπει) και δεν καλύπτει καθήκοντα απαγορευμένα από το Άρθρο 18(2).
• Διαφάνεια Τιμολόγησης: Αναζητήστε παρόχους που δημοσιεύουν τιμές πρώτου έτους και ανανέωσης. Προσέξτε τιμές εισαγωγής με χαμηλό κόστος που ακολουθούνται από αθόρυβες, υψηλότερες ανανεώσεις. Η REP27, για παράδειγμα, αναφέρει ξεκάθαρα τις τιμές ανανέωσης μαζί με τις αρχικές.
• Επαλήθευση και Υποστήριξη: Βεβαιωθείτε ότι ο πάροχος προσφέρει επαληθεύσιμο πιστοποιητικό, δημόσια μέθοδο επαλήθευσης και προσωπικό για διαχείριση αιτημάτων. Ρωτήστε για τη διαδικασία προώθησης αιτημάτων αρχών ή CSIRT, τις υποστηριζόμενες γλώσσες και τους χρόνους απόκρισης.
• Συνδυασμένες Υπηρεσίες: Αν χρειάζεστε επίσης εκπροσώπηση GDPR Άρθρου 27 ή GPSR Άρθρου 16, ορισμένοι πάροχοι (π.χ. REP27) προσφέρουν πακέτα σε μειωμένη τιμή.

Μήτρα Αποφάσεων:

Ζητήστε πάντα γραπτή εντολή και πιστοποιητικό πριν διαθέσετε προϊόντα στην αγορά της ΕΕ.

Τι Περιλαμβάνει Πραγματικά η Τιμή: Σύγκριση Παρόχων

Οι τιμές και οι παρεχόμενες υπηρεσίες ποικίλλουν σημαντικά. Οι εντολές Άρθρου 18 είναι συνήθως το χαμηλότερο εξωτερικό κόστος στη συμμόρφωση CRA, αλλά πολλοί πάροχοι δεν δημοσιεύουν πλήρεις λεπτομέρειες. Παρακάτω σύγκριση του τι περιλαμβάνεται, τι δεν περιλαμβάνεται ή τι μπορεί να επιβαρύνει επιπλέον για κάθε πάροχο (Οκτώβριος 2026):

Για τους περισσότερους κατασκευαστές, η εντολή Άρθρου 18 είναι ένα έγγραφο μίας σελίδας συν την υποχρέωση προώθησης αιτημάτων. Η αξιολόγηση συμμόρφωσης, οι τεχνικές δοκιμές και η δημιουργία SBOM είναι ξεχωριστά κόστη και δεν περιλαμβάνονται στα βασικά τέλη εκπροσώπησης.

Κρυφά Κόστη και Εξαιρέσεις

Ενώ η εντολή Άρθρου 18 είναι νομική αναγκαιότητα, αποτελεί μόνο μικρό μέρος του συνολικού κόστους συμμόρφωσης CRA. Τα πιο ακριβά στοιχεία — αξιολόγηση συμμόρφωσης, τέλη κοινοποιημένων οργανισμών, τεχνική τεκμηρίωση και περίοδος υποστήριξης — δεν περιλαμβάνονται στα περισσότερα πακέτα εκπροσώπησης. Τι να προσέξετε:

• Τέλη Αξιολόγησης Συμμόρφωσης: Για σημαντικά κατηγορίας II ή κρίσιμα προϊόντα, τα κόστη κοινοποιημένων οργανισμών ή συστημάτων πιστοποίησης μπορεί να είναι χιλιάδες ευρώ και να απαιτούν μήνες. Προϋπολογίστε τα ξεχωριστά.
• Τεχνική Τεκμηρίωση: Πάροχοι όπως Reglyze και EmberKat προσφέρουν δημιουργία τεχνικών φακέλων, εισαγωγή SBOM και ανάλυση κενών, αλλά αυτά δεν περιλαμβάνονται στις βασικές εντολές εκπροσώπησης.
• Ανανεώσεις και Χρεώσεις ανά Αίτημα: Ορισμένοι πάροχοι μπορεί να χρεώνουν υψηλότερες ανανεώσεις ή χρεώσεις ανά αίτημα/αναφορά. Ζητήστε πάντα γραπτή επιβεβαίωση τιμών ανανέωσης και τυχόν επιπλέον χρεώσεων πριν υπογράψετε.
• Προθεσμίες και Περιορισμοί Ευθύνης: Οι αθόρυβες ανανεώσεις και ασαφείς πολιτικές ακύρωσης μπορεί να οδηγήσουν σε απρόβλεπτα έξοδα. Η ευθύνη για αποτυχίες συμμόρφωσης συχνά εξαιρείται ή περιορίζεται από τον εκπρόσωπο.
• Κόστη Περιόδου Υποστήριξης: Ο νόμος απαιτεί τουλάχιστον πέντε χρόνια ενημερώσεων ασφαλείας και διαχείρισης ευπαθειών, που πρέπει να προϋπολογιστούν και να διατεθούν πόροι ανά γραμμή προϊόντων.

Η REP27 είναι διαφανής για όσα δεν περιλαμβάνει: νομική συμβουλή, τεχνική αξιολόγηση και δημιουργία SBOM είναι εκτός εντολής. Ζητήστε πάντα πλήρη λίστα εξαιρέσεων και διευκρινίσεις πριν υπογράψετε με οποιονδήποτε πάροχο.

Πώς Λειτουργεί ο Διορισμός: Βήμα προς Βήμα

Ο διορισμός εκπροσώπου Άρθρου 18 και η επίτευξη συμμόρφωσης CRA περιλαμβάνουν αρκετά συγκεκριμένα βήματα. Ακολουθεί πρακτική, εφαρμόσιμη διαδικασία για κατασκευαστές εκτός ΕΕ:

1. Καθορίστε αν τα Προϊόντα σας Εμπίπτουν στο Πεδίο Εφαρμογής: Εντοπίστε όλα τα προϊόντα με ψηφιακά στοιχεία (υλικό, λογισμικό, εξαρτήματα ή λύσεις απομακρυσμένης επεξεργασίας δεδομένων) που διατίθενται στην αγορά της ΕΕ.
2. Κατηγοριοποιήστε τα Προϊόντα σας: Χρησιμοποιήστε τους ορισμούς του CRA για να προσδιορίσετε αν τα προϊόντα σας είναι προεπιλεγμένα, σημαντικά κατηγορίας I/II ή κρίσιμα. Αυτό επηρεάζει τη διαδρομή αξιολόγησης συμμόρφωσης.
3. Επιλέξτε Εκπρόσωπο: Επιλέξτε εκπρόσωπο Άρθρου 18 με επαληθεύσιμη νομική οντότητα στην ΕΕ. Επιβεβαιώστε το πεδίο, τις τιμές και τους όρους ανανέωσης γραπτώς.
4. Υπογράψτε την Εντολή: Εκτελέστε γραπτή εντολή (Άρθρο 18(3)) με τον επιλεγμένο πάροχο. Αποκτήστε πιστοποιητικό και δημόσια μέθοδο επαλήθευσης.
5. Ετοιμάστε Τεκμηρίωση: Συγκεντρώστε τεχνική τεκμηρίωση (Παράρτημα VII), SBOM, Δήλωση Συμμόρφωσης ΕΕ και οδηγίες χρήσης στις απαιτούμενες γλώσσες.
6. Δημιουργήστε Κανάλι Αναφοράς 24 Ωρών: Διασφαλίστε ότι έχετε προσωπικό για τη διαχείριση ευπαθειών και περιστατικών. Προετοιμάστε πρότυπα προειδοποίησης και ειδοποίησης.
7. Εγγραφείτε στην ENISA: Εγγράψτε τους υποβάλλοντες στην πλατφόρμα αναφοράς ENISA. Αναθέστε τουλάχιστον δύο άτομα με πρόσβαση σε διαφορετικές ζώνες ώρας.
8. Προϋπολογίστε Συνεχή Συμμόρφωση: Σχεδιάστε τα κόστη περιόδου υποστήριξης (τουλάχιστον πέντε χρόνια ενημερώσεων), αξιολόγησης συμμόρφωσης (αν απαιτείται) και συντήρησης τεκμηρίωσης.
9. Επανεξετάζετε και Ενημερώνετε Τακτικά: Προγραμματίστε περιοδικές αναθεωρήσεις της συμμόρφωσης, της τεκμηρίωσης και των διαδικασιών αναφοράς.

Η τήρηση αυτής της λίστας ελέγχου εξασφαλίζει ότι είστε έτοιμοι για τις νομικές και πρακτικές απαιτήσεις της συμμόρφωσης CRA.

Κίνδυνοι και Πρόστιμα για Μη Συμμόρφωση

Το CRA εισάγει σημαντικά πρόστιμα για τη μη συμμόρφωση. Παραβάσεις βασικών απαιτήσεων κυβερνοασφάλειας ή υποχρεώσεων κατασκευαστή μπορεί να επιφέρουν πρόστιμα έως €15 εκατομμύρια ή 2,5% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι μεγαλύτερο. Αυτές οι ποινές ισχύουν για κατασκευαστές εντός και εκτός ΕΕ που διαθέτουν προϊόντα στην αγορά της ΕΕ.

• Αποτυχίες Αναφοράς: Η μη τήρηση της προθεσμίας 24 ωρών για αναφορά ευπαθειών εκθέτει σε επιβολή κυρώσεων. Οι μικρομεσαίες επιχειρήσεις και οι διαχειριστές ανοιχτού κώδικα απαλλάσσονται από πρόστιμα για καθυστερημένη αναφορά, όχι όμως από την υποχρέωση αναφοράς.
• Κίνδυνοι Προμηθειών και Πρόσβασης στην Αγορά: Χωρίς εκπρόσωπο Άρθρου 18, οι διαδικασίες προμηθειών μπορεί να καθυστερήσουν και μπορεί να αποκλειστείτε από πωλήσεις σε επιχειρήσεις ή δημόσιους διαγωνισμούς.
• Ενέργειες Επιτήρησης Αγοράς: Οι αρχές μπορεί να λάβουν μέτρα κατά μη συμμορφούμενων κατασκευαστών, συμπεριλαμβανομένης της ανάκλησης ή απόσυρσης προϊόντων.
• Κίνδυνοι Διανομέων/Εισαγωγέων: Αν δεν διορίσετε εκπρόσωπο, οι εισαγωγείς ή διανομείς της ΕΕ μπορεί να θεωρηθούν ως η διαδρομή αναφοράς σας, οδηγώντας σε απώλεια ελέγχου των επικοινωνιών συμμόρφωσης.
• Αθόρυβες Παραλείψεις: Η μη ανανέωση εντολών ή η μη ενημέρωση τεκμηρίωσης μπορεί να οδηγήσει σε αθέατες παραβάσεις, αφήνοντάς σας εκτεθειμένους χωρίς προειδοποίηση.

Η αποτελεσματική συμμόρφωση δεν αφορά μόνο την αποφυγή προστίμων αλλά και τη διασφάλιση αδιάλειπτης πρόσβασης στην αγορά και τη διατήρηση εμπιστοσύνης με πελάτες και συνεργάτες.

Τι Συνήθως Δεν Λένε οι Πάροχοι

Πολλοί πάροχοι εστιάζουν στην νομική αναγκαιότητα της εντολής Άρθρου 18 αλλά μπορεί να μην αποκαλύπτουν την πλήρη εικόνα. Τι συχνά παραλείπεται:

• Πεδίο Εντολής: Η εντολή Άρθρου 18 περιορίζεται στην προώθηση αιτημάτων και την λειτουργία ως σημείο επαφής. Δεν περιλαμβάνει νομική συμβουλή, τεχνική αξιολόγηση ή δημιουργία SBOM εκτός αν δηλώνεται ρητά.
• Αξιολόγηση Συμμόρφωσης: Για σημαντικά κατηγορίας II και κρίσιμα προϊόντα, τα κόστη κοινοποιημένων οργανισμών ή συστημάτων πιστοποίησης είναι πολύ υψηλότερα από το τέλος εκπροσώπησης και μπορεί να απαιτούν μήνες. Δεν περιλαμβάνονται ποτέ στις βασικές εντολές.
• Περίοδος Υποστήριξης: Η απαίτηση για τουλάχιστον πέντε χρόνια ενημερώσεων ασφαλείας και διαχείρισης ευπαθειών αποτελεί μεγάλο λειτουργικό κόστος, που δεν καλύπτεται από καμία υπηρεσία εκπροσώπησης.
• Όροι Ανανέωσης και Ειδοποίησης: Ορισμένοι πάροχοι χρησιμοποιούν χαμηλές τιμές πρώτου έτους με πολύ υψηλότερες ανανεώσεις ή απαιτούν μακρές προθεσμίες ειδοποίησης για ακύρωση. Πάντα λάβετε γραπτούς όρους ανανέωσης.
• Ευθύνη: Οι εκπρόσωποι συνήθως εξαιρούνται από ευθύνη για αποτυχίες συμμόρφωσης. Ο κατασκευαστής παραμένει υπεύθυνος για όλες τις υποχρεώσεις βάσει του CRA.

Η διαφάνεια για όσα δεν περιλαμβάνονται είναι εξίσου σημαντική με όσα περιλαμβάνονται. Ζητήστε πάντα πλήρη λίστα εξαιρέσεων και διευκρινίσεις πριν υπογράψετε.

Ρεαλιστικά Σενάρια: Ποια Διαδρομή Ισχύει;

• Αμερικανική Εταιρεία SaaS: Πάροχος SaaS με έδρα τις ΗΠΑ που πουλά λογισμικό απευθείας σε πελάτες ΕΕ. Η εταιρεία πρέπει να διορίσει εκπρόσωπο Άρθρου 18, να ετοιμάσει τεχνική τεκμηρίωση και SBOM, και να δημιουργήσει κανάλι αναφοράς 24 ωρών. Αν το προϊόν είναι προεπιλεγμένης κατηγορίας, μπορεί να αρκεί αυτοαξιολόγηση· αν είναι σημαντικό ή κρίσιμο, απαιτείται κοινοποιημένος οργανισμός. Η απλούστερη διαδρομή είναι διορισμός εκπροσώπου (π.χ. REP27), προετοιμασία τεκμηρίωσης και εγγραφή στην ENISA.
• Κινέζος Πωλητής Amazon: Κατασκευαστής στην Κίνα που πουλά συσκευές IoT με δικό του όνομα στο Amazon σε πελάτες ΕΕ. Ο πωλητής πρέπει να διορίσει εκπρόσωπο Άρθρου 18 και να συμμορφωθεί με όλες τις απαιτήσεις CRA. Αν το προϊόν διατίθεται από εισαγωγέα με έδρα ΕΕ, ο εισαγωγέας μπορεί να αναλάβει τις υποχρεώσεις. Διαφορετικά, ο αρχικός κατασκευαστής πρέπει να διαχειρίζεται αναφορές και τεκμηρίωση.
• Βρετανικό Ηλεκτρονικό Κατάστημα: Λιανοπωλητής με έδρα το Ηνωμένο Βασίλειο που στέλνει συνδεδεμένες συσκευές σε πελάτες ΕΕ. Ο λιανοπωλητής πρέπει να διορίσει εκπρόσωπο Άρθρου 18, να ετοιμάσει τεχνικούς φακέλους και να διασφαλίσει διαδικασία αναφοράς ευπαθειών 24 ωρών. Αν πουλά μέσω διανομέα ΕΕ που διαθέτει το προϊόν με δικό του όνομα, ο διανομέας αναλαμβάνει τις υποχρεώσεις· αλλιώς, ο λιανοπωλητής παραμένει υπεύθυνος.

Σε όλα τα σενάρια, το κλειδί είναι να χαρτογραφήσετε τα κανάλια πωλήσεων, να προσδιορίσετε ποιος διαθέτει το προϊόν στην αγορά και να διορίσετε εκπρόσωπο αν απαιτείται. Αυτό αποτρέπει καθυστερήσεις προμηθειών, διασφαλίζει συμμόρφωση και αποφεύγει πρόστιμα.

Λίστα Ελέγχου: Πώς να Συμμορφωθείτε Σήμερα

1. Χαρτογραφήστε τα κανάλια πωλήσεων στην ΕΕ και εντοπίστε όλα τα προϊόντα με ψηφιακά στοιχεία.
2. Κατηγοριοποιήστε κάθε προϊόν (προεπιλεγμένο, σημαντικό I/II, κρίσιμο) βάσει ορισμών CRA.
3. Καθορίστε αν χρειάζεστε εκπρόσωπο Άρθρου 18 (απαιτείται για κατασκευαστές εκτός ΕΕ).
4. Ζητήστε γραπτή εντολή και πιστοποιητικό από τον επιλεγμένο πάροχο (π.χ. REP27, kadano, Euverify).
5. Ετοιμάστε τεχνική τεκμηρίωση: φάκελο Παραρτήματος VII, SBOM, Δήλωση Συμμόρφωσης ΕΕ, οδηγίες χρήσης σε γλώσσες ΕΕ.
6. Δημιουργήστε προσωπικό, 24ωρο κανάλι αναφοράς ευπαθειών. Προετοιμάστε πρότυπα προειδοποίησης και ειδοποίησης.
7. Εγγράψτε τουλάχιστον δύο υποβάλλοντες στην πλατφόρμα αναφοράς ENISA (σε διαφορετικές ζώνες ώρας αν είναι δυνατόν).
8. Προϋπολογίστε κοινοποιημένο οργανισμό ή σύστημα πιστοποίησης αν το προϊόν είναι σημαντικό κατηγορίας II ή κρίσιμο.
9. Δηλώστε και διασφαλίστε πόρους για περίοδο υποστήριξης τουλάχιστον πέντε ετών για ενημερώσεις ασφαλείας και διαχείριση ευπαθειών.
10. Προγραμματίστε τακτικές αναθεωρήσεις συμμόρφωσης και ενημερώσεις τεκμηρίωσης.

Η τήρηση αυτών των βημάτων θα σας προετοιμάσει για τις προθεσμίες επιβολής CRA 2026-2027 και θα αποφύγει δαπανηρά κενά συμμόρφωσης.