Az Európai Bizottság 2026. július 27-én új gyakorlati útmutatót tett közzé a Cyber Resilience Act, röviden CRA alkalmazásához. A dokumentum elsősorban azoknak a gyártóknak, szoftverfejlesztőknek, importőröknek és kereskedőknek segít, amelyek digitális elemeket tartalmazó termékeket értékesítenek az Európai Unióban.
A változás azért különösen aktuális, mert a rendelet első szélesebb körű vállalati kötelezettsége már 2026. szeptember 11-én alkalmazandóvá válik. Ettől a naptól a gyártóknak rövid határidőn belül jelenteniük kell az aktívan kihasznált sérülékenységeket és a digitális termékek biztonságát súlyosan érintő incidenseket.
Az új útmutató 67 gyakorlati példával, folyamatábrákkal és különböző vállalati helyzetek bemutatásával igyekszik tisztázni a leggyakoribb kérdéseket. Kiemelten foglalkozik a mikro-, kis- és középvállalkozásokkal, hogy a megfelelés ne váljon indokolatlanul bonyolult adminisztratív útvesztővé.
Mi az a Cyber Resilience Act?
A Cyber Resilience Act az Európai Unió horizontális kiberbiztonsági rendelete. A szabályozás az uniós piacon forgalmazott, digitális elemeket tartalmazó hardver- és szoftvertermékekre vonatkozik.
A rendelet célja, hogy a digitális termékek:
- már a tervezésük során megfelelő biztonsági védelemmel rendelkezzenek;
- ismert sérülékenységeket lehetőleg ne tartalmazzanak;
- megfelelő biztonsági frissítéseket kapjanak;
- teljes támogatási időszakuk alatt védhetők legyenek;
- incidens esetén gyors és szabályozott eljárás alapján kezelhetők legyenek.
A CRA 2024. december 10-én lépett hatályba. A legtöbb követelménye 2027. december 11-től lesz teljes körűen alkalmazandó, az incidens- és sérülékenységjelentési szabályok azonban már 2026. szeptember 11-én életbe lépnek.
A szabályozás azért is jelentős, mert sok magyar vállalkozás még az alapvető digitalizációs és információbiztonsági folyamatok kialakításában is lemaradásban van. A helyzetről korábban a magyar kkv-k digitális lemaradását bemutató cikkünkben írtunk részletesebben.
Milyen termékek tartozhatnak a rendelet hatálya alá?
A CRA nem kizárólag számítógépekre vagy informatikai biztonsági termékekre vonatkozik.
Digitális elemet tartalmazó termék lehet például:
- egy üzleti vagy lakossági szoftver;
- mobilalkalmazás;
- operációs rendszer;
- router vagy modem;
- hálózati adattároló;
- okosóra;
- internethez csatlakozó kamera;
- intelligens riasztórendszer;
- okosotthon-eszköz;
- ipari vezérlőberendezés;
- digitális játék vagy játékvezérlő;
- számítógépes hardveralkatrész;
- külön értékesített szoftverkomponens;
- olyan felhőalapú háttérszolgáltatás, amely nélkül a termék egyik funkciója nem működne.
A rendelet hatálya főszabály szerint akkor merülhet fel, ha a termék rendeltetése vagy észszerűen előrelátható használata közvetlen vagy közvetett adatkapcsolatot feltételez egy eszközzel vagy hálózattal.
Ez azt jelenti, hogy egy látszólag hagyományos termék is érintetté válhat, ha internetkapcsolattal, alkalmazással, távoli vezérléssel vagy hálózati funkcióval rendelkezik.
Nemcsak a gyártókat érintheti
A CRA szempontjából gyártónak nemcsak az számíthat, aki saját üzemében fizikai terméket állít elő.
Gyártói kötelezettsége keletkezhet annak a vállalkozásnak is, amely:
- saját szoftvert fejleszt és értékesít;
- más céggel fejlesztet terméket, majd saját neve alatt hozza forgalomba;
- külföldi terméket saját márkanévvel értékesít;
- jelentős módosítást hajt végre egy már forgalomba hozott digitális terméken;
- egy szoftver vagy eszköz eredeti célját lényegesen megváltoztatja.
Az importőr vagy forgalmazó gyártónak minősülhet, ha a digitális terméket saját neve vagy védjegye alatt hozza forgalomba, illetve olyan jelentős módosítást hajt végre rajta, amely befolyásolja a termék megfelelőségét vagy kiberbiztonsági kockázatát.
Ez különösen fontos lehet a saját márkás, úgynevezett white-label termékeket forgalmazó webáruházak számára. Attól, hogy az eszközt eredetileg egy ázsiai vagy amerikai gyártó készítette, a saját márkanév alatt értékesítő uniós vállalkozás kötelezettsége nem feltétlenül korlátozódik egyszerű kereskedői feladatokra.
Mit tisztáz az új uniós útmutató?
Az Európai Bizottság új útmutatója nem helyettesíti a rendeletet, és jogilag nem kötelező erejű. Ugyanakkor fontos gyakorlati segítséget nyújt a bizonytalan fogalmak értelmezéséhez.
A dokumentum többek között az alábbi kérdésekkel foglalkozik:
- mely termékek tartoznak a CRA hatálya alá;
- hogyan kezelendők a távoli adatfeldolgozási szolgáltatások;
- mikor érintett a nyílt forráskódú szoftver;
- mi számít jelentős módosításnak;
- hogyan kell meghatározni a támogatási időszakot;
- hogyan kell kiberbiztonsági kockázatértékelést végezni;
- miként teljesíthető a szeptemberi jelentési kötelezettség.
A felhőszolgáltatás is a termék része lehet
A CRA a digitális termékhez kapcsolódó távoli adatfeldolgozási megoldásokat is figyelembe veheti.
Ez akkor lehet lényeges, ha:
- a távoli szolgáltatást maga a gyártó fejlesztette;
- a szolgáltatást a gyártó felelőssége alatt működtetik;
- a szolgáltatás nélkül a termék egyik alapvető funkciója nem működne.
Például egy internetkapcsolattal rendelkező biztonsági kamera felhőalapú képtárolása vagy távoli vezérlése a termék működésének olyan részét képezheti, amelyet a megfelelés vizsgálatánál nem lehet egyszerű külső szolgáltatásként félretenni.
Egy hagyományos, általános célú felhőszolgáltatás azonban nem válik automatikusan CRA-köteles digitális termékké csak azért, mert egy érintett gyártó használja.
Mi számít jelentős módosításnak?
Az új útmutató egyik központi kérdése a jelentős módosítás fogalma.
Egy szoftverfrissítés vagy termékmódosítás akkor lehet jelentős, ha:
- megváltoztatja a termék eredeti rendeltetését;
- olyan új funkciót ad hozzá, amellyel a gyártó eredetileg nem számolt;
- megváltoztatja a fennálló kiberbiztonsági veszély jellegét;
- jelentősen növeli a kockázat szintjét;
- új támadási felületet hoz létre.
Egy ismert sérülékenységet kijavító biztonsági frissítés vagy kisebb vizuális módosítás önmagában általában nem számít jelentős módosításnak. Egy új adatbeviteli felület, távoli hozzáférési funkció vagy más lényeges képesség hozzáadása azonban már új megfelelőségértékelést tehet szükségessé.
Ez azért kritikus, mert a jelentős módosítást végző vállalkozás bizonyos esetekben gyártónak minősülhet, még akkor is, ha eredetileg csak forgalmazó vagy szolgáltató volt.
Legalább öt évig kezelni kellhet a sérülékenységeket
A gyártónak meg kell határoznia a digitális termék támogatási időszakát.
A támogatási időszak alatt biztosítania kell többek között:
- a sérülékenységek fogadását és kivizsgálását;
- a biztonsági frissítések elkészítését;
- a szükséges javítások elérhetővé tételét;
- a felhasználók megfelelő tájékoztatását;
- az incidensek és kockázatok dokumentálását.
A támogatási időszak főszabály szerint legalább öt év. Ennél rövidebb csak akkor lehet, ha a termék várható élettartama is öt évnél rövidebb. Ha egy router, operációs rendszer vagy ipari berendezés várhatóan ennél hosszabb ideig marad használatban, hosszabb támogatás is indokolt lehet.
A támogatás lejáratának legalább a hónapját és évét már a vásárláskor világosan és könnyen hozzáférhető módon közölni kell a felhasználóval.
Ez kapcsolódik az online kereskedelemben megjelenő új tájékoztatási követelményekhez is. A tartósságról, javíthatóságról és szoftverfrissítésekről szóló szabályokat az új webáruházi tájékoztatási előírásokról készített összefoglalónkban mutattuk be.
Szeptember 11-től indul az incidensjelentés
A CRA legközelebbi vállalati határideje 2026. szeptember 11.
Ettől a naptól a gyártóknak jelenteniük kell:
- az aktívan kihasznált sérülékenységeket;
- a termék biztonságára súlyos hatást gyakorló incidenseket.
Az aktívan kihasznált sérülékenység olyan biztonsági hiba, amelyről a gyártó tudja, hogy azt támadók már ténylegesen felhasználták vagy felhasználják.
Súlyos incidens lehet például, ha:
- támadók jogosulatlan hozzáférést szereznek a termékhez;
- bizalmas adatok kerülnek veszélybe;
- a termék biztonsági funkciója működésképtelenné válik;
- egy sérülékenység több felhasználót vagy eszközt érint;
- az incidens jelentős szolgáltatáskiesést okoz.
A jelentést az ENISA által működtetett egységes CRA-bejelentési platformon kell majd teljesíteni. Az értesítés a gyártó fő letelepedési helye szerinti nemzeti incidenskezelő szervezethez, vagyis CSIRT-hez kerül, és az információ főszabály szerint az ENISA számára is elérhetővé válik.
Milyen határidőkkel kell számolni?
A jelentési folyamat több szakaszból áll.
24 órás korai figyelmeztetés
A gyártónak a tudomásszerzéstől számított 24 órán belül előzetes figyelmeztetést kell küldenie.
Ebben még nem feltétlenül kell minden technikai részletnek szerepelnie. A vállalkozás azonban nem várhat addig, amíg a teljes belső vizsgálat lezárul.
72 órás részletes értesítés
A tudomásszerzéstől számított 72 órán belül részletesebb értesítést kell benyújtani.
Ez többek között tartalmazhatja:
- az érintett termék azonosítását;
- az incidens vagy sérülékenység jellegét;
- az ismert hatásokat;
- a megtett vagy tervezett intézkedéseket;
- az érintett piacokat vagy felhasználói csoportokat.
Végső jelentés
Aktívan kihasznált sérülékenység esetén a javító vagy kockázatcsökkentő intézkedés rendelkezésre állásától számított legfeljebb 14 napon belül kell végső jelentést benyújtani.
Súlyos incidens esetén a végső jelentés határideje a 72 órás értesítést követő egy hónap.
A 24 órás határidő különösen szoros. Aki csak az első komoly incidens napján kezdi keresni, hogy ki jogosult a bejelentésre, annak a megfelelési órája már turbófokozaton ketyeg.
A régebbi termékekre is kiterjedhet a jelentési kötelezettség
Fontos részlet, hogy a szeptemberi incidensjelentési kötelezettség nem kizárólag a 2027 után forgalomba hozott termékekre vonatkozik.
A jelentési szabályokat azokra a CRA hatálya alá tartozó digitális termékekre is alkalmazni kell, amelyeket már 2027. december 11. előtt forgalomba hoztak az Európai Unióban.
Egy szoftverfejlesztő vagy okoseszköz-gyártó ezért nem indulhat ki abból, hogy a jelenlegi termékportfólióval csak 2027 végén kell foglalkoznia.
Már most célszerű felmérni:
- mely korábban értékesített termékek vannak még használatban;
- melyek kapnak jelenleg frissítéseket;
- ki kezeli a beérkező sérülékenységi jelzéseket;
- miként lehet gyorsan azonosítani az érintett verziókat;
- hogyan értesíthetők a felhasználók.
Mit kell tenniük az importőröknek?
Az importőrnek ellenőriznie kell, hogy az Európai Unión kívüli gyártó teljesítette-e az alkalmazandó CRA-követelményeket.
Ez többek között magában foglalhatja annak ellenőrzését, hogy:
- megtörtént-e a kiberbiztonsági kockázatértékelés;
- rendelkezésre áll-e a műszaki dokumentáció;
- elvégezték-e a megfelelőségértékelést;
- a terméken szerepel-e a megfelelő CE-jelölés;
- feltüntették-e a gyártó és az importőr elérhetőségeit;
- közölték-e a támogatási időszak végét;
- működik-e a sérülékenységek fogadására szolgáló kapcsolattartási pont.
Ha az importőr tudja vagy észszerűen feltételezi, hogy a termék nem felel meg a követelményeknek, nem helyezheti azt egyszerűen forgalomba, majd bízhat abban, hogy a probléma nem bukkan fel.
A beszállítói és importőri szerződésekben ezért érdemes rendezni:
- a biztonsági frissítések biztosítását;
- az incidensek továbbítását;
- a dokumentáció átadását;
- a gyártó együttműködési kötelezettségét;
- a termékvisszahívás költségeit;
- a hibás vagy hiányos információkért való felelősséget.
A webáruházak sem maradhatnak teljesen kívül
Egy webáruház nem feltétlenül lesz gyártó, de forgalmazóként kötelezettségei lehetnek.
A kereskedőnek ellenőriznie kellhet többek között:
- a CE-jelölés meglétét;
- a gyártó és az importőr adatainak feltüntetését;
- a felhasználói és biztonsági tájékoztatás rendelkezésre állását;
- a támogatási időszak közlését;
- az ismert sérülékenységekre vonatkozó információkat.
Ha a webáruház tudomást szerez arról, hogy a termék komoly kiberbiztonsági kockázatot jelenthet, nem feltétlenül folytathatja változatlanul az értékesítést.
Az online értékesítés elindításának általános jogi és üzleti kérdéseit a hogyan fogjon hozzá egy online vállalkozáshoz című cikkünkben, a fogyasztói tájékoztatás és panaszkezelés kérdéseit pedig a kkv-knak szóló fogyasztóvédelmi útmutatónkban foglaltuk össze.
Mi a különbség a CRA és a NIS2 között?
A CRA és a NIS2 egyaránt kiberbiztonsági szabályozás, de eltérő kérdéseket kezelnek.
A CRA elsősorban a terméket vizsgálja
A Cyber Resilience Act azt szabályozza, hogy egy digitális termék:
- biztonságosan legyen megtervezve;
- megfelelő frissítéseket kapjon;
- rendelkezzen kezelhető sérülékenységi folyamattal;
- megfeleljen az uniós piacra helyezés követelményeinek.
A NIS2 elsősorban a szervezet működését vizsgálja
A NIS2 az érintett vállalkozások és intézmények teljes információbiztonsági irányítására koncentrál.
Ide tartozhat:
- a szervezeti kockázatkezelés;
- az incidenskezelés;
- az üzletmenet-folytonosság;
- a beszállítói biztonság;
- a vezetői felelősség;
- az információbiztonsági audit.
Egy vállalkozás egyszerre lehet a NIS2 és a CRA hatálya alatt. Például egy digitális terméket gyártó, nagyobb technológiai vállalkozásnak a saját szervezetét a NIS2, az általa értékesített terméket pedig a CRA alapján is vizsgálnia kellhet.
A szervezeti megfelelésről a NIS2-határidőt és vezetői felelősséget bemutató cikkünkben, illetve a kiberbiztonsági audit gyakorlati feladatairól írtunk részletesebben.
Mi történik, ha AI is működik a termékben?
Egy digitális termék egyszerre több uniós szabályozás hatálya alá is kerülhet.
Ha például egy kamera, robot, szoftver vagy egészségügyi eszköz mesterséges intelligenciát használ, a vállalkozásnak vizsgálnia kellhet:
- a Cyber Resilience Act kiberbiztonsági előírásait;
- az AI Act kockázati és átláthatósági szabályait;
- az adatvédelmi követelményeket;
- az ágazati termékbiztonsági szabályokat.
A CRA kiberbiztonsági, az AI Act pedig elsősorban a mesterséges intelligencia használatából eredő biztonsági és alapjogi kockázatokra összpontosít.
Az AI-val működő chatbotok, generált tartalmak és más rendszerek új kötelezettségeit az AI Act 2026-os átláthatósági szabályairól szóló cikkünkben mutattuk be.
Mekkora bírságot kockáztathat egy vállalkozás?
A CRA alapvető kiberbiztonsági követelményeinek és a gyártói kötelezettségeknek a megsértése esetén a bírság felső határa akár:
- 15 millió euró;
- vagy vállalkozásnál az előző pénzügyi év teljes világpiaci árbevételének 2,5 százaléka
lehet, attól függően, melyik összeg magasabb.
Más kötelezettségek megsértése esetén 10 millió euró vagy az éves világpiaci árbevétel 2 százaléka, megtévesztő vagy hiányos hatósági adatszolgáltatásnál pedig 5 millió euró vagy az árbevétel 1 százaléka lehet a felső határ. A konkrét szankció megállapításakor figyelembe kell venni a vállalkozás méretét és a jogsértés súlyát is.
A mikro- és kisvállalkozások külön könnyítést kapnak: pusztán a 24 órás korai értesítési határidő elmulasztása miatt meghatározott esetben nem alkalmazható velük szemben pénzbírság. Ez azonban nem mentesíti őket a jelentés és a későbbi részletes kötelezettségek teljesítése alól.
Mit tegyenek most a magyar vállalkozások?
1. Készüljön termékleltár
Össze kell gyűjteni minden olyan hardvert, szoftvert, alkalmazást és komponenst, amelyet a vállalkozás:
- fejleszt;
- saját márkanév alatt értékesít;
- importál;
- forgalmaz;
- jelentősen módosít.
2. Határozzák meg a vállalkozás szerepét
Minden terméknél külön meg kell vizsgálni, hogy a cég:
- gyártó;
- importőr;
- forgalmazó;
- meghatalmazott képviselő;
- vagy a terméket jelentősen módosító szereplő.
3. Legyen sérülékenység-bejelentési csatorna
Ki kell jelölni egy olyan kapcsolattartási pontot, ahol:
- ügyfelek;
- etikus hackerek;
- partnerek;
- informatikai szolgáltatók;
- munkavállalók
jelezhetik a biztonsági hibákat.
4. Alakuljon incidensjelentési csapat
Előre meg kell határozni:
- ki értékeli a bejelentett hibát;
- ki dönt arról, hogy jelentésköteles-e;
- ki küldi be a 24 órás figyelmeztetést;
- ki kommunikál a hatósággal;
- ki tájékoztatja az ügyfeleket;
- ki koordinálja a javítást.
5. Vizsgálják felül a fejlesztési folyamatot
A termékbiztonságot már a tervezés és fejlesztés során figyelembe kell venni.
Érdemes ellenőrizni:
- a hozzáférés-kezelést;
- az alapértelmezett biztonsági beállításokat;
- a titkosítás használatát;
- a külső szoftverkomponenseket;
- a frissítési mechanizmust;
- a naplózást;
- a sérülékenységvizsgálatot;
- a biztonsági tesztelést.
6. Dokumentálják a külső komponenseket
Egy modern szoftver gyakran több száz külső könyvtárból és nyílt forráskódú komponensből épül fel.
A vállalkozásnak tudnia kell:
- mely komponenseket használja;
- milyen verzióban;
- ki tartja karban azokat;
- ismert-e bennük sérülékenység;
- milyen gyorsan cserélhetők vagy frissíthetők.
7. Ellenőrizzék a támogatási időszakot
Minden terméknél meg kell határozni:
- a várható használati időt;
- a biztonsági frissítések időtartamát;
- a támogatás végét;
- a felhasználók tájékoztatásának módját;
- a támogatás megszűnése utáni kockázatokat.
8. Vizsgálják felül a beszállítói szerződéseket
A szerződéseknek érdemes rendezniük:
- a sérülékenységek továbbítását;
- a biztonsági frissítések biztosítását;
- az incidensjelentéshez szükséges adatok átadását;
- a külső komponensek dokumentációját;
- az alvállalkozók bevonását;
- a felelősségi és kártérítési szabályokat.
9. Tervezzék meg a szükséges beruházásokat
A megfeleléshez szükség lehet:
- sérülékenységvizsgálatra;
- behatolási tesztre;
- fejlesztési folyamatok átalakítására;
- naplózó és incidenskezelő rendszerre;
- munkatársi képzésre;
- külső kiberbiztonsági szakértőre.
A fejlesztések finanszírozásához érdemes áttekinteni a kkv-knak elérhető kiberbiztonsági pályázati lehetőségeket is.
Összefoglaló
A Cyber Resilience Act teljes követelményrendszere csak 2027. december 11-től alkalmazandó, a vállalkozások felkészülése azonban nem halasztható eddig.
A 2026. szeptember 11-én induló jelentési kötelezettség már a jelenleg forgalomban lévő digitális termékeket is érintheti. A gyártóknak 24 órán belül előzetes figyelmeztetést, 72 órán belül részletesebb értesítést kellhet küldeniük az aktívan kihasznált sérülékenységekről és súlyos incidensekről.
Az új uniós útmutató segítséget ad annak megítéléséhez, hogy:
- mely termékek tartoznak a rendelet hatálya alá;
- ki minősül gyártónak;
- mi számít jelentős módosításnak;
- hogyan kell meghatározni a támogatási időszakot;
- milyen folyamat szükséges az incidensek jelentéséhez.
A technológiai vállalkozások számára a CRA nem pusztán új dokumentációt jelent. A termék tervezésétől az utolsó biztonsági frissítésig újra kell rajzolni a felelősségi térképet. A szeptemberi határidő pedig már ott villog a műszerfalon.
Jelen cikk általános tájékoztatást tartalmaz, és nem minősül jogi, informatikai, kiberbiztonsági vagy megfelelési tanácsadásnak. Egyedi termék vagy szolgáltatás CRA-besorolásához célszerű szakértő segítségét kérni.