Ημερομηνία είδησης: 2026-10-20 · Έλεγχος πηγών: 2026-10-26

Η συμμόρφωση στην κυβερνοασφάλεια δεν αφορά μόνο τις επιχειρήσεις που υπάγονται στην NIS2. Από τις 11 Σεπτεμβρίου 2026 ισχύουν οι υποχρεώσεις αναφοράς του Cyber Resilience Act (CRA) για κατασκευαστές προϊόντων με ψηφιακά στοιχεία. Η ENISA ενεργοποίησε την ενιαία πλατφόρμα Single Reporting Platform (SRP), ενώ η Εθνική Αρχή Κυβερνοασφάλειας δημοσίευσε σχετικές διευκρινίσεις. Η τεκμηρίωση της ENISA ενημερώθηκε στις 15 Οκτωβρίου 2026.

Ποιους αφορά ο CRA και τι διαφέρει από την NIS2

Ο CRA στοχεύει την ασφάλεια προϊόντων με ψηφιακά στοιχεία που διατίθενται στην ευρωπαϊκή αγορά, όπως λογισμικό και συνδεδεμένες συσκευές, με υποχρεώσεις κυρίως για τους κατασκευαστές. Η NIS2 αφορά την ασφάλεια δικτύων και συστημάτων συγκεκριμένων κατηγοριών φορέων. Ένας οργανισμός μπορεί να χρειάζεται αξιολόγηση και των δύο πλαισίων, αλλά δεν πρέπει να θεωρεί ότι κάθε χρήστης προϊόντος υποβάλλει αναφορές CRA ως κατασκευαστής.

Προσδιορίστε αν η εταιρεία είναι κατασκευαστής προϊόντος εντός πεδίου εφαρμογής.
Καταγράψτε προϊόντα, εκδόσεις, συστατικά τρίτων και υπεύθυνους ασφάλειας.
Συνδέστε product security, τεχνική ομάδα και νομική/κανονιστική λειτουργία.

Ποια περιστατικά αναφέρονται

Οι υποχρεωτικές κοινοποιήσεις αφορούν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά περιστατικά που επηρεάζουν την ασφάλεια προϊόντος με ψηφιακά στοιχεία. Δεν αποτελεί κάθε θεωρητική ευπάθεια αυτομάτως υποχρεωτική αναφορά. Η ΕΑΚ διευκρινίζει ότι δεν απαιτείται αναδρομική αναφορά όταν η ενεργός εκμετάλλευση ήταν ήδη γνωστή στον κατασκευαστή πριν από τις 11/9/2026. Αν η γνώση αποκτηθεί μετά, η υποχρέωση μπορεί να ισχύει ακόμη και για παλαιότερο προϊόν ή ευπάθεια.

Εσωτερικά κριτήρια για το πότε θεωρείται επιβεβαιωμένη ενεργός εκμετάλλευση.
Καταγραφή του χρόνου κατά τον οποίο ο κατασκευαστής έλαβε γνώση.
Αξιολόγηση επιπτώσεων και εμπλοκή υπεύθυνου κανονιστικής συμμόρφωσης.

Προθεσμίες 24 και 72 ωρών

Σύμφωνα με τις οδηγίες της ENISA, η αρχική προειδοποίηση υποβάλλεται χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 24 ωρών από τη γνώση του σχετικού γεγονότος. Ακολουθεί κοινοποίηση εντός 72 ωρών με αρχική αξιολόγηση. Για ενεργά εκμεταλλευόμενη ευπάθεια η τελική αναφορά υποβάλλεται το αργότερο 14 ημέρες μετά τη διαθεσιμότητα διορθωτικού ή μετριαστικού μέτρου· για σοβαρό περιστατικό εντός ενός μήνα από την κοινοποίηση των 72 ωρών. Οι προθεσμίες απαιτούν προετοιμασία πριν από το συμβάν.

24 ώρες: early warning.
72 ώρες: κοινοποίηση και αρχική αποτίμηση.
Τελική αναφορά: διαφορετική προθεσμία για ευπάθεια και σοβαρό περιστατικό.

Πώς χρησιμοποιείται η πλατφόρμα SRP

Οι κατασκευαστές υποβάλλουν την υποχρεωτική κοινοποίηση ηλεκτρονικά στην πλατφόρμα της ENISA και επιλέγουν το αρμόδιο CSIRT συντονισμού. Η ΕΑΚ επισημαίνει ότι άμεση επικοινωνία με το CSIRT δεν αντικαθιστά τη μεταγενέστερη υποβολή μέσω SRP. Η ENISA παρέχει εγχειρίδια, οδηγίες εγγραφής και FAQ. Οι ειδικές υποχρεώσεις open-source software stewards αρχίζουν στις 11 Δεκεμβρίου 2027, όχι τον Σεπτέμβριο 2026. Στις 20 Οκτωβρίου 2026 η SRP αναβαθμίστηκε στην έκδοση 1.2.1 και άλλαξε η διαδικασία πρόσκλησης δευτερευόντων ή αναπληρωματικών Assigned Representatives (ARs). Οι οργανισμοί πρέπει να ακολουθούν την τρέχουσα τεκμηρίωση και όχι παλιές οδηγίες εγγραφής.

Προετοιμάστε πρόσβαση και ρόλους υποβολής στην SRP.
Ορίστε εσωτερικό αναπληρωτή για αργίες και εκτός ωραρίου.
Εξασφαλίστε διαδικασία συλλογής τεχνικών στοιχείων χωρίς καθυστέρηση.
Ελέγξτε τη νέα διαδικασία πρόσκλησης Secondary/Backup AR μετά την αναβάθμιση SRP 1.2.1 της 20/10/2026.

Ελάχιστο λειτουργικό σχέδιο ετοιμότητας

Η επιχείρηση χρειάζεται διαδικασία PSIRT ή ισοδύναμο μηχανισμό λήψης αναφορών ευπαθειών, triage, διατήρησης τεκμηρίων, απόφασης για υποχρεωτική κοινοποίηση και συντονισμού διορθώσεων. Η παρακολούθηση εξαρτήσεων τρίτων είναι σημαντική: η ΕΑΚ επισημαίνει ότι μια ενεργά εκμεταλλευόμενη ευπάθεια ενσωματωμένου component μπορεί να ενεργοποιεί υποχρέωση και για τον κατασκευαστή του τελικού προϊόντος.

Δημιουργήστε λίστα προϊόντων, components και owners.
Ορίστε ροή περιστατικού με 24ωρη δυνατότητα κλιμάκωσης.
Κάντε άσκηση προσομοίωσης αναφοράς και αξιολογήστε ελλείψεις.

Η VALUE360 μπορεί να υποστηρίξει τεχνική αξιολόγηση κινδύνων, διαδικασίες incident readiness και τεκμηρίωση ελέγχων σε συνεργασία με νομικούς συμβούλους. Το άρθρο είναι ενημερωτικό και δεν αποτελεί νομική γνωμοδότηση.

Δείτε τη σχετική υπηρεσία της VALUE360 →

Πηγές

Προτεραιοποίηση αποκατάστασης

Η προτεραιότητα δεν εξαρτάται μόνο από τη σοβαρότητα της είδησης. Καταγράψτε αν χρησιμοποιείτε το επηρεαζόμενο προϊόν, αν είναι προσβάσιμο από το Internet, ποια δικαιώματα διαθέτει και αν υπάρχουν ενδείξεις κακόβουλης δραστηριότητας. Επιβεβαιώστε τις ακριβείς επηρεαζόμενες εκδόσεις και τα διαθέσιμα διορθωτικά μέτρα από την επίσημη ανακοίνωση του κατασκευαστή.

Συχνές ερωτήσεις για την εφαρμογή

Αφορά απαραίτητα τη δική μας υποδομή;

Όχι. Πρώτα πρέπει να επιβεβαιωθεί αν το συγκεκριμένο προϊόν, η έκδοση και η σχετική ρύθμιση υπάρχουν στο περιβάλλον σας.

Αρκεί ένα εργαλείο προστασίας;

Όχι από μόνο του. Χρειάζεται συνδυασμός ενημερώσεων, περιορισμού πρόσβασης, καταγραφής συμβάντων και ελεγμένων αντιγράφων ασφαλείας.

Cyber Resilience Act: υποχρεωτικές αναφορές μέσω ENISA από 11/9/2026