Регламент применяется в полном объёме с декабря 2027 года, и именно так его воспринимает большинство планов. Одна статья не ждёт: с 11 сентября 2026 года производитель обязан сообщить об активно эксплуатируемой уязвимости в течение 24 часов, 72 часа отводится на уведомление и 14 дней на итоговый отчёт — и эта обязанность находится в верхнем уровне санкций.
Часть его уже обязательна
Акт ЕС о киберустойчивости применяется в полном объёме с 11 декабря 2027 года, и большинство планов считает его проблемой 2027 года. Не вполне. Одна его часть — обязанность сообщать — применяется с 11 сентября 2026 года, а глава об органах оценки соответствия — с 11 июня 2026 года.
Значит, обязанность, измеряемая в часах, действует уже сейчас. Обязанности, требующие года инженерной работы, — нет.
Кто считается производителем
Акт распространяется на продукты с цифровыми элементами, продаваемые в ЕС, предполагаемое или предвидимое использование которых включает прямое или косвенное соединение с устройством или сетью. Программное обеспечение, продаваемое под вашим именем, охвачено. Так же и подключаемое оборудование. Так же и продукт, которому вы сменили бренд.
Коротко: если он попадает на рынок ЕС под вашим именем, обязанности производителя — ваши, кто бы на самом деле ни написал код.
О чём надо сообщать и как быстро
Отсчёт запускают две вещи: уязвимость вашего продукта, которая активно эксплуатируется, и серьёзный инцидент, затрагивающий его безопасность. Об обоих одновременно сообщают координирующему национальному CSIRT и ENISA через единую платформу оповещения.
| Шаг | Срок с момента, когда вы узнали |
|---|---|
| Раннее предупреждение | Незамедлительно и в любом случае в течение 24 часов |
| Полное уведомление | Незамедлительно и в любом случае в течение 72 часов |
| Итоговый отчёт | 14 дней после того, как доступно исправление или обходное решение |
В раннем предупреждении указывают, в каких странах продукт, насколько известно, продавался, а для инцидента — есть ли подозрение, что кто-то сделал это умышленно. Уведомление в 72 часа охватывает то, в чём состоит уязвимость и как она эксплуатируется, что вы предприняли, что пользователи могут сделать сами и насколько чувствительной вы считаете информацию. В итоговом отчёте излагают, насколько тяжёлым это было, что известно о том, кто за этим стоял, и что вы выпустили, чтобы это устранить.
Три срока, начинающиеся в момент, когда вы «узнали», — вопрос процесса прежде, чем юридический. Кто-то должен быть способен вне рабочего времени решить, что отсчёт пошёл.
Что приходит в декабре 2027 года
За содержательную обязанность стоит взяться заранее, потому что это не бумажная работа. Продукты надо проектировать, разрабатывать и изготавливать по требованиям безопасности акта. Стоящая за этим оценка рисков безопасности должна быть зафиксирована письменно и поддерживаться в актуальном состоянии. Уязвимости, в том числе в использованных компонентах третьих лиц, надо обрабатывать надлежащим образом.
Затем норма, которая меняет то, как вы планируете продукт. Период поддержки вы определяете сами, исходя из того, как долго продукт реально будет использоваться, — и он должен быть не менее пяти лет, если только у продукта действительно не более короткий срок жизни. Пять лет обработки уязвимостей — обязательство, которое вы принимаете при запуске. Его дёшево заложить в проект и дорого добавить потом.
Чего стоит ошибиться
Санкции устанавливают сами страны, но акт задаёт потолки. За нарушение существенных требований безопасности либо обязанностей по проектированию и оповещению грозит штраф до 15 миллионов EUR или 2,5 % мирового годового оборота, смотря что больше. Второй уровень — 10 миллионов EUR или 2 % — охватывает остальные обязанности.
Обратите внимание, в каком уровне находится обязанность сообщать. Та обязанность, которая уже действует, находится в верхнем.
Что сделать в этом квартале
Решите, производитель ли вы. Если вы меняете бренд или продаёте под своим именем, исходите из того, что да, пока кто-нибудь не покажет обратное.
Запишите 24-часовой путь — кто решает, что уязвимость активно эксплуатируется, кто подаёт сообщение и что происходит в два часа ночи в субботу.
Определите период поддержки до следующего запуска. Пять лет — нижняя граница, и обосновывать цифру вам.
То, какой латвийский орган за этим надзирает и каковы национальные санкции, устанавливается национально, и это стоит подтвердить на месте.