Αναφορές Ευπαθειών κατά CRA (Cyber Resilience Act)

Κυβερνοεπιθέσεις / Αναφορές Ευπαθειών κατά CRA (Cyber Resilience Act)

Cyber Resilience Act (CRA): Από 11 Σεπτεμβρίου 2026 εφαρμόζονται οι υποχρεώσεις αναφοράς ευπαθειών και σοβαρών περιστατικών

Οι κατασκευαστές προϊόντων με ψηφιακά στοιχεία οφείλουν να υποβάλλουν τις προβλεπόμενες αναφορές μέσω της Ενιαίας Πλατφόρμας Αναφοράς του ENISA — Single Reporting Platform (SRP).

Η Εθνική Αρχή Κυβερνοασφάλειας ενημερώνει ότι από τις 11 Σεπτεμβρίου 2026 εφαρμόζονται οι υποχρεώσεις αναφοράς του άρθρου 14 του Κανονισμού (ΕΕ) 2024/2847 για την κυβερνοανθεκτικότητα (Cyber Resilience Act — CRA).
Από την ημερομηνία αυτή, οι κατασκευαστές προϊόντων με ψηφιακά στοιχεία οφείλουν να κοινοποιούν, χωρίς αδικαιολόγητη καθυστέρηση:
• τις ευπάθειες που αποτελούν αντικείμενο ενεργού εκμετάλλευσης και περιέχονται στα προϊόντα τους· και
• τα σοβαρά περιστατικά που έχουν αντίκτυπο στην ασφάλεια των προϊόντων τους.
Οι υποχρεωτικές κοινοποιήσεις πραγματοποιούνται μέσω της Ενιαίας Πλατφόρμας Αναφοράς — Single Reporting Platform (SRP), η οποία έχει αναπτυχθεί και λειτουργεί από τον ENISA.

Υποβολή υποχρεωτικής κοινοποίησης:
CRA Single Reporting Platform – SRP

Τι αλλάζει από τις 11 Σεπτεμβρίου 2026

Ο Κανονισμός (ΕΕ) 2024/2847 έχει τεθεί σε ισχύ από τον Δεκέμβριο του 2024. Ωστόσο, η εφαρμογή του πραγματοποιείται σταδιακά.

Η 11η Σεπτεμβρίου 2026 αφορά ειδικά την έναρξη εφαρμογής των υποχρεώσεων αναφοράς του άρθρου 14. Δεν αρχίζει ακόμη η εφαρμογή του συνόλου των απαιτήσεων της CRA, όπως οι ουσιώδεις απαιτήσεις κυβερνοασφάλειας, η τεχνική τεκμηρίωση, η αξιολόγηση συμμόρφωσης και η σήμανση CE, οι οποίες εφαρμόζονται κατά κανόνα από τις 11 Δεκεμβρίου 2027.

Οι υποχρεώσεις αναφοράς εφαρμόζονται σε όλα τα προϊόντα με ψηφιακά στοιχεία που εμπίπτουν στο πεδίο εφαρμογής της CRA.

Το επίσημο ελληνικό κείμενο του Κανονισμού (ΕΕ) 2024/2847 είναι διαθέσιμο στο EUR-Lex.

Ποιους αφορά η υποχρέωση

Η υποχρέωση αφορά τους κατασκευαστές προϊόντων με ψηφιακά στοιχεία, ανεξάρτητα από το μέγεθος της επιχείρησης ή την κατηγορία του προϊόντος.

Κατά την CRA, ως «κατασκευαστής» νοείται κάθε φυσικό ή νομικό πρόσωπο που:

αναπτύσσει ή κατασκευάζει προϊόντα με ψηφιακά στοιχεία· ή
αναθέτει σε τρίτους τον σχεδιασμό, την ανάπτυξη ή την κατασκευή τους· και
τα διαθέτει στην αγορά υπό τη δική του επωνυμία ή το δικό του εμπορικό σήμα, είτε έναντι πληρωμής ή άλλου οικονομικού οφέλους είτε δωρεάν στο πλαίσιο εμπορικής δραστηριότητας.

Ο όρος δεν αφορά μόνο τους κατασκευαστές φυσικού εξοπλισμού. Μπορεί να περιλαμβάνει, μεταξύ άλλων:

κατασκευαστές συνδεδεμένων συσκευών και προϊόντων Internet of Things·
επιχειρήσεις ανάπτυξης και διάθεσης εμπορικού λογισμικού·
παραγωγούς λειτουργικών συστημάτων, εφαρμογών, λογισμικού ασφαλείας και επιχειρησιακού λογισμικού·
κατασκευαστές ή προμηθευτές αυτοτελώς διατιθέμενων στοιχείων λογισμικού ή υλισμικού·
επιχειρήσεις που αναθέτουν την ανάπτυξη προϊόντος σε τρίτους, αλλά το διαθέτουν με τη δική τους επωνυμία.

Δεν προβλέπεται γενική εξαίρεση από τις υποχρεώσεις αναφοράς για πολύ μικρές, μικρές ή μεσαίες επιχειρήσεις.

Τι πρέπει να αναφέρεται

1. Ευπάθεια που αποτελεί αντικείμενο ενεργού εκμετάλλευσης

Πρόκειται για ευπάθεια για την οποία υπάρχουν αξιόπιστα στοιχεία ότι κακόβουλος παράγοντας την έχει ήδη εκμεταλλευτεί σε σύστημα χωρίς την άδεια του ιδιοκτήτη του.

Δεν υπάγεται σε υποχρεωτική αναφορά κάθε γνωστή, δυνητικά εκμεταλλεύσιμη ή μη διορθωμένη ευπάθεια. Για να ενεργοποιηθεί η υποχρέωση του άρθρου 14 απαιτούνται αξιόπιστα στοιχεία πραγματικής κακόβουλης εκμετάλλευσης.

Μια ευπάθεια «zero-day» υπόκειται σε υποχρεωτική αναφορά όταν υπάρχουν αξιόπιστες ενδείξεις ότι αποτελεί ήδη αντικείμενο κακόβουλης εκμετάλλευσης, ακόμη και αν δεν είναι διαθέσιμη ενημέρωση ασφαλείας ή άλλο διορθωτικό μέτρο.

2. Σοβαρό περιστατικό που έχει αντίκτυπο στην ασφάλεια προϊόντος

Ένα περιστατικό θεωρείται σοβαρό όταν:

επηρεάζει ή είναι ικανό να επηρεάσει αρνητικά την ικανότητα του προϊόντος να προστατεύει τη διαθεσιμότητα, την αυθεντικότητα, την ακεραιότητα ή την εμπιστευτικότητα ευαίσθητων ή σημαντικών δεδομένων ή λειτουργιών· ή
έχει οδηγήσει ή είναι ικανό να οδηγήσει στην εισαγωγή ή εκτέλεση κακόβουλου κώδικα στο προϊόν ή στα συστήματα δικτύου και πληροφοριών χρήστη του προϊόντος.

Δεν αποτελεί υποχρεωτικά αναφερόμενο γεγονός κάθε περιστατικό που επηρεάζει τα εταιρικά πληροφοριακά συστήματα ενός κατασκευαστή. Για την εφαρμογή του άρθρου 14 πρέπει να υπάρχει σοβαρός αντίκτυπος στην ασφάλεια του συγκεκριμένου προϊόντος με ψηφιακά στοιχεία.

Προθεσμίες υποβολής

Οι προθεσμίες υπολογίζονται από τη στιγμή κατά την οποία το γεγονός περιέρχεται σε γνώση του κατασκευαστή.

Στάδιο αναφοράς	Ευπάθεια που αποτελεί αντικείμενο ενεργού εκμετάλλευσης	Σοβαρό περιστατικό
Έγκαιρη προειδοποίηση	Χωρίς αδικαιολόγητη καθυστέρηση και, σε κάθε περίπτωση, εντός 24 ωρών από τη στιγμή που η ευπάθεια περιήλθε σε γνώση του κατασκευαστή	Χωρίς αδικαιολόγητη καθυστέρηση και, σε κάθε περίπτωση, εντός 24 ωρών από τη στιγμή που το περιστατικό περιήλθε σε γνώση του κατασκευαστή
Κοινοποίηση 72 ωρών	Εντός 72 ωρών από τη γνώση της ευπάθειας, με γενικές πληροφορίες για το προϊόν, την ευπάθεια, τον τρόπο εκμετάλλευσης και τα μέτρα που έχουν ληφθεί ή μπορούν να λάβουν οι χρήστες	Εντός 72 ωρών από τη γνώση του περιστατικού, με πληροφορίες για τη φύση και την αρχική αξιολόγησή του, καθώς και για τα διορθωτικά ή μετριαστικά μέτρα
Τελική έκθεση	Το αργότερο εντός 14 ημερών αφότου καταστεί διαθέσιμο διορθωτικό μέτρο ή μέτρο μετριασμού	Εντός ενός μήνα από την υποβολή της κοινοποίησης των 72 ωρών

Οι προθεσμίες των 24 και 72 ωρών αποτελούν ανώτατα χρονικά όρια. Η κοινοποίηση πρέπει σε κάθε περίπτωση να πραγματοποιείται χωρίς αδικαιολόγητη καθυστέρηση.

Η ολοκλήρωση της τεχνικής διερεύνησης δεν αποτελεί προϋπόθεση για την αρχική προειδοποίηση. Ο κατασκευαστής υποβάλλει τις διαθέσιμες πληροφορίες στο αντίστοιχο στάδιο και τις συμπληρώνει καθώς εξελίσσεται η διερεύνηση.

Η ομάδα CSIRT που έχει οριστεί ως συντονιστής μπορεί, εφόσον κριθεί αναγκαίο, να ζητήσει από τον κατασκευαστή την υποβολή ενδιάμεσης έκθεσης σχετικά με την εξέλιξη της ευπάθειας ή του περιστατικού.

Υποχρέωση ενημέρωσης των χρηστών

Η κοινοποίηση μέσω της SRP δεν εξαντλεί τις ενέργειες του κατασκευαστή.

Μετά τη γνώση μιας ευπάθειας που αποτελεί αντικείμενο ενεργού εκμετάλλευσης ή ενός σοβαρού περιστατικού, ο κατασκευαστής ενημερώνει:

τους επηρεαζόμενους χρήστες του προϊόντος· και
όπου ενδείκνυται, όλους τους χρήστες του προϊόντος.

Η ενημέρωση πρέπει να αφορά το σχετικό γεγονός και, όπου απαιτείται, τα διορθωτικά μέτρα ή τα μέτρα μετριασμού που μπορούν να εφαρμόσουν οι χρήστες, όπως ενημερώσεις ασφαλείας, αλλαγές ρυθμίσεων, προσωρινοί περιορισμοί λειτουργιών ή άλλα μέτρα προστασίας.

Η ενημέρωση πρέπει να είναι σαφής, πρακτικά αξιοποιήσιμη και ανάλογη προς τον κίνδυνο, χωρίς να αποκαλύπτει αδικαιολόγητα τεχνικές πληροφορίες που θα μπορούσαν να διευκολύνουν περαιτέρω εκμετάλλευση.

Πώς υποβάλλεται η κοινοποίηση στην πλατφόρμα

Η υποβολή πραγματοποιείται αποκλειστικά μέσω του:

CRA Single Reporting Platform – SRP

Ο αρμόδιος εκπρόσωπος του κατασκευαστή ακολουθεί τα παρακάτω βασικά βήματα:

Εισέρχεται στην πλατφόρμα και επιλέγει τον ρόλο Assigned Representative – AR.
Συνδέεται με προσωπικό λογαριασμό EU Login, στον οποίο πρέπει να έχει ενεργοποιηθεί πολυπαραγοντικός έλεγχος ταυτότητας — MFA.
Επιλέγει την αρμόδια ομάδα CSIRT – Greece.
Καταχωρίζει ή επιλέγει τον κατασκευαστή για λογαριασμό του οποίου ενεργεί.
Επιλέγει Submit new notification.
Δηλώνει εάν η κοινοποίηση αφορά ευπάθεια που αποτελεί αντικείμενο ενεργού εκμετάλλευσης ή σοβαρό περιστατικό.
Συμπληρώνει τα υποχρεωτικά πεδία και όσα προαιρετικά στοιχεία είναι διαθέσιμα στο συγκεκριμένο στάδιο.
Υποβάλλει την έγκαιρη προειδοποίηση και επανέρχεται στην ίδια εγγραφή για την κοινοποίηση των 72 ωρών και την τελική έκθεση.

Η απλή αποθήκευση μιας κοινοποίησης ως Draft δεν συνιστά υποβολή και δεν εκπληρώνει την υποχρέωση εμπρόθεσμης αναφοράς.

Η επικύρωση της σχέσης μεταξύ εκπροσώπου και κατασκευαστή από το αρμόδιο CSIRT πραγματοποιείται παράλληλα και δεν εμποδίζει την υποβολή της αναφοράς όσο η επικύρωση εκκρεμεί.

Η πλατφόρμα είναι κατά την αρχική φάση διαθέσιμη στην αγγλική γλώσσα. Αναλυτικές επεξηγήσεις για τα υποχρεωτικά και προαιρετικά πεδία παρέχονται στο γλωσσάριο της SRP.

Εκπρόσωποι του κατασκευαστή και πρόσβαση στην SRP

Για την πρόσβαση απαιτείται προσωπικός λογαριασμός EU Login με ενεργοποιημένο MFA.

Η πλατφόρμα προβλέπει:

έναν Primary Assigned Representative ανά κατασκευαστή, με δικαιώματα διαχείρισης της συσχέτισης και πρόσκλησης πρόσθετων χρηστών· και
έως 20 Secondary Assigned Representatives, οι οποίοι μπορούν να υποβάλλουν κοινοποιήσεις σύμφωνα με τα δικαιώματά τους.

Ο ENISA συνιστά η εγγραφή και η διαδικασία επικύρωσης στην SRP να ξεκινούν όταν υπάρχει ανάγκη υποβολής συγκεκριμένης κοινοποίησης και όχι μέσω μαζικής προληπτικής εγγραφής. Οι επιχειρήσεις πρέπει, ωστόσο, να έχουν εγκαίρως:

προσδιορίσει τους εσωτερικούς υπευθύνους·
δημιουργήσει προσωπικούς λογαριασμούς EU Login· και
ενεργοποιήσει τον πολυπαραγοντικό έλεγχο ταυτότητας.

Δημιουργία ή πρόσβαση σε λογαριασμό EU Login

Ποιο CSIRT πρέπει να επιλεγεί

Κατά κανόνα, ο κατασκευαστής επιλέγει το CSIRT που έχει οριστεί ως συντονιστής στο κράτος μέλος όπου βρίσκεται η κύρια εγκατάστασή του στην Ευρωπαϊκή Ένωση.

Ως κύρια εγκατάσταση θεωρείται ο τόπος όπου λαμβάνονται κατά κύριο λόγο οι αποφάσεις που αφορούν την κυβερνοασφάλεια των προϊόντων του κατασκευαστή. Εάν αυτό δεν μπορεί να προσδιοριστεί, λαμβάνεται υπόψη η εγκατάσταση με τον μεγαλύτερο αριθμό εργαζομένων στην Ευρωπαϊκή Ένωση.

Για κατασκευαστές των οποίων η κύρια εγκατάσταση βρίσκεται στην Ελλάδα, επιλέγεται το CSIRT – Greece

Για κατασκευαστές χωρίς κύρια εγκατάσταση στην Ευρωπαϊκή Ένωση, το αρμόδιο κράτος μέλος προσδιορίζεται σύμφωνα με τη σειρά κριτηρίων του άρθρου 14 παράγραφος 7 της CRA και τις οδηγίες του ENISA.

Η επιλογή του ορθού CSIRT αποτελεί ευθύνη του κατασκευαστή. Εσφαλμένη επιλογή μπορεί να οδηγήσει σε ακύρωση της αναφοράς και ανάγκη επανυποβολής της.

Πώς διαβιβάζεται η κοινοποίηση

Η κοινοποίηση υποβάλλεται μία φορά μέσω της SRP και καθίσταται ταυτόχρονα διαθέσιμη στο αρμόδιο CSIRT και στον ENISA, με την επιφύλαξη των ιδιαίτερα εξαιρετικών περιστάσεων που προβλέπει η CRA.

Το CSIRT που λαμβάνει αρχικά την κοινοποίηση τη διαβιβάζει μέσω της πλατφόρμας στα αρμόδια CSIRTs των άλλων κρατών μελών στα οποία έχει διατεθεί το προϊόν και παρέχει τις αναγκαίες πληροφορίες στην αρμόδια αρχή εποπτείας της αγοράς.

Ο κατασκευαστής μπορεί να επισημάνει τον ευαίσθητο χαρακτήρα συγκεκριμένων πληροφοριών. Τυχόν καθυστέρηση της περαιτέρω διάδοσης για αιτιολογημένους λόγους κυβερνοασφάλειας αποφασίζεται από το αρμόδιο CSIRT και όχι μονομερώς από τον κατασκευαστή.

Η πράξη της κοινοποίησης αυτή καθαυτή δεν συνεπάγεται αυξημένη ευθύνη για τον κοινοποιούντα.

Τι πρέπει να οργανώσουν άμεσα οι κατασκευαστές

Οι κατασκευαστές καλούνται να διασφαλίσουν ότι διαθέτουν:

σαφή κατάλογο των προϊόντων και εκδόσεων που διαθέτουν στην ενωσιακή αγορά·
εικόνα των κρατών μελών στα οποία έχει διατεθεί κάθε προϊόν·
διαδικασία άμεσης αρχικής αξιολόγησης ευπαθειών και περιστατικών·
εσωτερικό μηχανισμό κλιμάκωσης που επιτρέπει την τήρηση της προθεσμίας των 24 ωρών·
προκαθορισμένους κύριους και αναπληρωματικούς εκπροσώπους για την SRP·
ενεργούς προσωπικούς λογαριασμούς EU Login με MFA·
διαδικασία συλλογής των στοιχείων που απαιτούνται για την κοινοποίηση των 72 ωρών και την τελική έκθεση·
σχέδιο έγκαιρης και ασφαλούς ενημέρωσης των επηρεαζόμενων χρηστών·
εσωτερικό συντονισμό μεταξύ τεχνικών, νομικών και διοικητικών στελεχών, καθώς και μεταξύ εταιρειών του ίδιου ομίλου, όπου απαιτείται.

Οι εσωτερικές εγκρίσεις ή η αναμονή ολοκλήρωσης της διερεύνησης δεν πρέπει να οδηγούν σε υπέρβαση των προβλεπόμενων προθεσμιών.

Εάν η πλατφόρμα είναι προσωρινά μη διαθέσιμη

Σε περίπτωση προσωρινής μη διαθεσιμότητας της SRP, ο κατασκευαστής πρέπει να υποβάλει την κοινοποίηση μόλις αποκατασταθεί η λειτουργία της.

Εάν, στο μεταξύ, κρίνεται απαραίτητη η άμεση επικοινωνία, ο κατασκευαστής μπορεί να επικοινωνήσει με το αρμόδιο CSIRT. Για την Ελλάδα, τα στοιχεία επικοινωνίας είναι διαθέσιμα στη σελίδα του EL-CSIRT.

Η απευθείας επικοινωνία με το CSIRT δεν αντικαθιστά την υποχρέωση μεταγενέστερης υποβολής της κοινοποίησης μέσω της SRP.

Χρήσιμες διευκρινίσεις

Δεν απαιτείται αναδρομική αναφορά ευπάθειας της οποίας η ενεργός εκμετάλλευση ήταν ήδη γνωστή στον κατασκευαστή πριν από τις 11 Σεπτεμβρίου 2026.
Εάν ο κατασκευαστής λάβει γνώση της ενεργού εκμετάλλευσης μετά την ημερομηνία αυτή, η υποχρέωση εφαρμόζεται ακόμη και αν η ευπάθεια ή το προϊόν προϋπήρχαν.
Εάν ευπάθεια προέρχεται από ενσωματωμένο δομοστοιχείο τρίτου και αποτελεί αντικείμενο ενεργού εκμετάλλευσης στο προϊόν του κατασκευαστή, ο κατασκευαστής του τελικού προϊόντος οφείλει επίσης να την κοινοποιήσει.
Δεν απαιτείται υποχρεωτική αναφορά όταν το ευάλωτο δομοστοιχείο δεν μπορεί να αποτελέσει αντικείμενο εκμετάλλευσης μέσα στο συγκεκριμένο προϊόν.
Οι ειδικές υποχρεώσεις αναφοράς των υποστηρικτών λογισμικού ανοικτού κώδικα — open-source software stewards αρχίζουν στις 11 Δεκεμβρίου 2027. Αυτό δεν σημαίνει ότι εξαιρείται κάθε εμπορικά διατιθέμενο προϊόν ανοικτού κώδικα που προσφέρεται από φορέα ο οποίος πληροί ήδη τον ορισμό του κατασκευαστή.
Κατά την αρχική λειτουργία της, η SRP υποστηρίζει τις υποχρεωτικές αναφορές του άρθρου 14. Η δυνατότητα εθελοντικών αναφορών θα προστεθεί σε μεταγενέστερη φάση.
Οι οργανισμοί πρέπει να εξετάζουν χωριστά εάν το ίδιο γεγονός ενεργοποιεί και άλλες υποχρεώσεις αναφοράς βάσει της NIS2, του ΓΚΠΔ, της DORA ή άλλης εφαρμοστέας τομεακής νομοθεσίας.

Χρήσιμοι σύνδεσμοι

Οι κατασκευαστές προϊόντων με ψηφιακά στοιχεία καλούνται να επικαιροποιήσουν άμεσα τις διαδικασίες διαχείρισης ευπαθειών και περιστατικών και να διασφαλίσουν ότι μπορούν να ενεργοποιήσουν τη διαδικασία αναφοράς εντός της προθεσμίας των 24 ωρών.

Η παρούσα ανακοίνωση έχει ενημερωτικό χαρακτήρα. Για την ακριβή έκταση και εφαρμογή των υποχρεώσεων πρέπει να λαμβάνονται υπόψη το επίσημο κείμενο του Κανονισμού, οι κατευθυντήριες γραμμές της Ευρωπαϊκής Επιτροπής και οι επικαιροποιούμενες οδηγίες του ENISA.