EU Cyber Resilience Act 2026: rok od 24 sata za prijavu

EU Cyber Resilience Act od 11. septembra 2026. menja neposredne obaveze regionalnih proizvođača hardvera i softvera koji proizvode sa digitalnim elementima stavljaju na tržište Evropske unije. Iako se najveći deo Uredbe primenjuje od 11. decembra 2027, član 14 uvodi raniji operativni rok: početno upozorenje o prijavljivom događaju mora biti poslato bez neopravdanog odlaganja, najkasnije 24 sata od saznanja. To znači da izvoznik već za postojeće proizvode u obuhvatu mora znati ko donosi odluku, ko podnosi prijavu i kojem se EU CSIRT-u događaj usmerava.

Prioritet zato nije samo tehnička usklađenost planirana za 2027, već uspostavljanje incidentnog lanca koji povezuje razvoj, bezbednost, pravnu funkciju, EU ovlašćenog zastupnika, uvoznika ili distributera. Prijava preko ENISA platforme ne zamenjuje obaveštavanje pogođenih korisnika, ugovorene eskalacije ni koordinaciju sa kupcem. Regionalne kompanije moraju pre roka razgraničiti obuhvat proizvoda, pravne uloge i tok informacija, a zatim proveriti da li taj proces može da funkcioniše van radnog vremena i bez automatizovanog slanja.

Šta EU Cyber Resilience Act menja od 11. septembra 2026.

Prema konsolidovanom tekstu Cyber Resilience Acta, Uredba se u celini primenjuje od 11. decembra 2027, dok obaveze prijavljivanja iz člana 14 počinju 11. septembra 2026. Evropska komisija je taj raspored navela i u smernicama za blagovremenu primenu CRA.

Raniji datum nije ograničen samo na proizvode plasirane posle septembra 2026. Obaveza prijavljivanja obuhvata i CRA proizvode stavljene na tržište pre početka pune primene Uredbe. Za izvoznike je zato pogrešno da incidentni proces vežu isključivo za buduće CE i dokumentacione projekte: predmet procene mogu biti i već prodati uređaji, aplikacije i zasebno plasirane komponente.

Postoje dva odvojena okidača. Aktivno iskorišćena ranjivost zahteva pouzdan dokaz da je neovlašćena zlonamerna strana ranjivost zaista eksploatisala. Sam CVE zapis, visoka CVSS ocena ili javno dostupan exploit nisu sami po sebi dovoljni. Ozbiljan incident predstavlja poseban okidač kada ugrožava ili može ugroziti ključna bezbednosna svojstva podataka ili funkcija proizvoda, odnosno kada može dovesti do unošenja ili izvršavanja zlonamernog koda.

Koji proizvodi i izvoznici ulaze u obuhvat

CRA proizvod sa digitalnim elementima može biti hardver ili softver, ali i zasebno plasirana hardverska ili softverska komponenta. Test obuhvata polazi od toga da li namena proizvoda ili njegova razumno predvidiva upotreba uključuje direktnu ili indirektnu logičku ili fizičku vezu sa uređajem ili mrežom.

Samostalni SaaS nije automatski proizvod u obuhvatu CRA. Drugačiji ishod moguć je kada je udaljena obrada podataka povezana sa proizvodom, kada je proizvođač za nju odgovoran i kada bi bez nje proizvod izgubio neku od svojih funkcija. Regionalni dobavljač zato ne bi trebalo da klasifikaciju zasniva samo na komercijalnoj oznaci „cloud“ ili „SaaS“, već na tehničkoj arhitekturi i funkcionalnoj zavisnosti.

Prva poslovna odluka jeste izrada portfolija proizvoda koji se stavljaju na tržište EU, uz beleženje verzija, komponenti, funkcionalnih veza i odgovornih pravnih lica. CRA od proizvođača zahteva dokumentovanje poznatih ranjivosti, relevantnih komponenti i informacija dobijenih od trećih strana. Iz toga sledi praktična urednička procena: bez pouzdanog inventara verzija i komponenti teško je u roku od 24 sata utvrditi koji su proizvodi i kupci pogođeni.

Treba proveriti i stvarnu ulogu uvoznika. Ako ekonomski operater proizvod stavlja na tržište pod svojim imenom ili žigom, ili ga bitno menja, može preuzeti obaveze proizvođača prema pravilima CRA. Ugovor sa EU partnerom zato treba da odražava stvarnu podelu brendiranja, izmena, tehničkih informacija i incidentnih odluka, a ne samo naziv distributivnog odnosa.

Rokovi i tok prijave kroz ENISA platformu

Evropska komisija opisuje CRA kanal prijavljivanja kao jedinstvenu platformu koju vodi ENISA. Single Reporting Platform, odnosno SRP, operativna je od 11. septembra 2026. ENISA je tog dana pokrenula početnu operativnu verziju platforme; prijava se podnosi kroz SRP i usmerava relevantnom CSIRT-u, uz dostupnost podataka ENISA-i u skladu sa pravilima platforme. ENISA FAQ o SRP-u navodi da početna verzija neće imati API, pa kompanije ne bi trebalo da pretpostave da će postojeći automatizovani sistemi za incidente neposredno podnositi prijave bez ljudskog koraka.

Ovi rokovi ne znače da kompanija mora imati sve odgovore u prva 24 sata. Mora, međutim, biti sposobna da događaj prepozna, razlikuje dva okidača, odredi pogođeni proizvod i pokrene ispravan kanal. Evidencija trenutka saznanja posebno je važna jer se rokovi računaju od saznanja o prijavljivom događaju.

EU zastupnik, uvoznik i CSIRT nisu zamenljive uloge

Za proizvođača bez glavnog sedišta u EU odredište prijave određuje se hijerarhijski: prema državi članici u kojoj je ovlašćeni zastupnik, zatim uvoznik, potom distributer, a ako prethodni kriterijumi ne daju rezultat, prema državi sa najvećim brojem korisnika proizvoda. Izbor ovlašćenog zastupnika ili ključnog uvoznika zato nije samo administrativno pitanje; može uticati na CSIRT putanju i operativnu koordinaciju prijave.

Zakonski ovlašćeni zastupnik ima pisani mandat i ulogu definisanu Uredbom. SRP podnosilac je osoba kojoj kompanija operativno poverava unošenje i slanje podataka na platformi. Registracija ili označavanje podnosioca na SRP-u nije isto što i imenovanje ovlašćenog zastupnika. Kompanija može odrediti internog stručnjaka ili drugu operativnu osobu za podnošenje, ali time sama po sebi ne rešava pravno zastupanje u EU.

Jedinstvena SRP prijava takođe ne zamenjuje direktno obaveštavanje pogođenih korisnika. Potrebno je odvojeno planirati bezbednosno upozorenje kupcima, informacije o zakrpi ili ublažavajućoj meri, ugovorene SLA eskalacije i komunikaciju sa distributerom. Ako partner poseduje podatke o krajnjim kupcima, ugovor treba da omogući dovoljno brzu razmenu potrebnih informacija uz jasno određene odgovornosti i kontakte.

Domaći akteri mogu podržati lokalnu koordinaciju incidenta, ali ne zamenjuju CRA prijavu preko SRP-a. U Hrvatskoj je relevantan Nacionalni CERT pri CARNET-u, u Srbiji Nacionalni CERT u okviru RATEL-a, dok je u Crnoj Gori kontaktna tačka CIRT Crne Gore. Regionalni izvoznik treba da razlikuje domaću incidentnu koordinaciju od obavezne EU putanje.

Pet odluka koje treba zatvoriti pre prvog događaja

1. Odrediti obuhvat. Popisati izvozne proizvode, verzije, zasebne komponente i povezane usluge udaljene obrade, uz dokumentovano obrazloženje za uključivanje ili isključivanje iz CRA.
2. Imenovati vlasnika odluke. Utvrditi ko prima tehnički signal, ko ocenjuje da li je nastao zakonski okidač i ko odobrava rano upozorenje u roku od 24 sata. Potrebna je i rezerva za odsustva i događaje van radnog vremena.
3. Definisati EU putanju. Proveriti ovlašćenog zastupnika, uvoznika i distributera, relevantnu državu članicu i odredišni CSIRT. Pisani ugovori treba da urede rokove, potrebne tehničke podatke, kontakte i eskalaciju.
4. Odvojiti prijavu od komunikacije kupcima. Pripremiti SRP tok, ali i procedure za upozorenja korisnicima, zakrpe, distributere i ugovorene obaveze prema kupcima.
5. Voditi dokazivu evidenciju. Beležiti trenutak saznanja, izvore informacija, verzije proizvoda, odluku o prijavljivosti, poslate prijave i korektivne ili ublažavajuće mere.

Najveći rizik nije samo propuštanje roka, već pogrešno projektovan proces: automatsko tretiranje svakog CVE-a kao obavezne prijave, oslanjanje na uvoznika bez ugovorne potvrde ili poistovećivanje SRP podnosioca sa ovlašćenim zastupnikom. Pošto raspoloživi izvori ne daju nacionalna pravila sprovođenja ni kazne po državama članicama, kompanije ih moraju proveravati zasebno. Do 11. septembra 2026. izvoznik treba da testira ručni tok za 24 i 72 sata, potvrdi kontakte EU partnera i prati promene ENISA uputstava i funkcionalnosti platforme.