Nuo rugsėjo 11-osios jau galioja pirmoji Kibernetinio atsparumo akto pareiga – apie rimtas saugumo spragas reikia pranešti per kelias paras
2026 m. rugsėjo 11 d. Europos Sąjungoje pradėta taikyti pirmoji praktiškai reikšminga Kibernetinio atsparumo akto, dar vadinamo CRA pagal anglišką pavadinimą „Cyber Resilience Act“, prievolė. Aparatinės ir programinės įrangos gamintojai nuo šiol privalo pranešti apie aktyviai išnaudojamus savo produktų pažeidžiamumus bei didelius kibernetinius incidentus, darančius poveikį produkto saugumui.
Tai dar nereiškia, kad jau pradėtos taikyti visos Reglamento (ES) 2024/2847 nuostatos. Kibernetinio atsparumo aktas įsigaliojo 2024 m. gruodžio 10 d., tačiau pagrindiniai reikalavimai gamintojams, importuotojams ir platintojams bus privalomi nuo 2027 m. gruodžio 11 d. Išimtys numatytos dviem sritims: nuo 2026 m. birželio 11 d. pradėtos taikyti taisyklės dėl atitikties vertinimo įstaigų, o nuo rugsėjo 11 d. – gamintojų pareiga pranešti apie tam tikrus pažeidžiamumus ir incidentus.
Šis skirtumas svarbus ir Lietuvos verslui. Įmonei dar nereikia šiandien įrodyti visų 2027 m. įsigaliosiančių produkto kibernetinio saugumo reikalavimų, tačiau incidentų stebėjimo ir pranešimų sistema jau turi veikti. Jeigu įmonė sužino, kad jos gaminio ar programos spraga realiai naudojama kibernetinėse atakose, termino skaičiavimas prasideda iš karto.
Kibernetinio atsparumo aktas apima telefonus, maršrutizatorius, išmaniąją buitinę techniką ir atskirai parduodamas programas
Reglamentas vartoja plačią sąvoką „produktas su skaitmeniniais elementais“. Tai gali būti programinės arba aparatinės įrangos produktas, taip pat jo komponentas ar nuotolinio duomenų apdorojimo sprendimas, be kurio produktas negalėtų atlikti vienos iš savo funkcijų. Todėl CRA nėra skirtas vien kompiuterių gamintojams ar didžiosioms technologijų korporacijoms.
Krašto apsaugos ministerija tarp tipinių pavyzdžių nurodo išmaniuosius telefonus, nešiojamuosius kompiuterius, išmaniuosius laikrodžius, namų kameras, kūdikių stebėjimo sistemas, išmaniąsias durų spynas, signalizacijas, išmaniuosius skaitiklius, modemus ir ugniasienes. Į reguliavimo sritį patenka ir atskirai parduodama programinė įranga – pavyzdžiui, finansinės apskaitos programa, operacinė sistema ar mobilioji programėlė.
Praktiškai tai reiškia, kad CRA gali paliesti gerokai daugiau Lietuvos įmonių, nei suponuoja žodis „gamintojas“. Reglamente gamintoju laikomas ne tik tas, kas fiziškai surenka įrenginį. Ši sąvoka apima ir subjektą, kuris produktą sukuria, pagamina arba užsako jo sukūrimą ir pateikia rinkai savo vardu ar prekės ženklu. Todėl Lietuvos bendrovė, užsakanti programos kūrimą iš rangovo ir vėliau parduodanti ją savo vardu, tam tikrais atvejais gali būti laikoma gamintoju CRA prasme.
Aktyviai išnaudojamam pažeidžiamumui taikomas 24 valandų perspėjimo ir 72 valandų išsamesnio pranešimo terminas
Naujoji sistema orientuota ne į kiekvieną aptiktą programavimo klaidą. Privalomas pranešimas pagal dabar taikomą CRA 14 straipsnį pirmiausia reikalingas tada, kai gamintojas sužino apie aktyviai išnaudojamą produkto pažeidžiamumą. Kitaip tariant, kalbama apie spragą, kuri jau naudojama piktavališkam veikimui, o ne vien teoriškai galėtų būti panaudota ateityje.
Pirmasis perspėjimas turi būti pateiktas nepagrįstai nedelsiant ir bet kuriuo atveju ne vėliau kaip per 24 valandas nuo to momento, kai gamintojas sužino apie aktyvų pažeidžiamumo išnaudojimą. Per 72 valandas turi būti pateikta išsamesnė informacija apie produktą, pažeidžiamumo ir jo išnaudojimo pobūdį, jau pritaikytas apsaugos priemones bei veiksmus, kurių gali imtis vartotojai.
Procesas tuo nesibaigia. Kai atsiranda saugumo atnaujinimas arba kita problemai pašalinti skirta priemonė, galutinė pažeidžiamumo ataskaita turi būti pateikta ne vėliau kaip per 14 dienų. Joje turi būti aprašytas pažeidžiamumas, jo sunkumas ir poveikis, taisomoji priemonė, o jeigu tokia informacija turima – ir duomenys apie pažeidžiamumą išnaudojusį subjektą.
Dideliems kibernetiniams incidentams taip pat galioja 24 ir 72 valandų terminai, tačiau galutinė ataskaita teikiama per mėnesį
Atskira pranešimų kategorija – didelis incidentas, turintis poveikį produkto su skaitmeniniais elementais saugumui. Reglamente incidentas laikomas dideliu, jeigu jis neigiamai paveikia arba gali paveikti produkto gebėjimą apsaugoti svarbių duomenų ar funkcijų prieinamumą, autentiškumą, vientisumą ar konfidencialumą.
Dideliu incidentu taip pat gali būti laikomas įvykis, dėl kurio į produktą arba vartotojo tinklų ir informacines sistemas įvedamas ar gali būti įvykdytas kenkėjiškas kodas. Tokiu būdu reglamentas orientuojamas ne tik į gamintojo vidinį saugumo incidentą, bet ir į jo galimą poveikį produkto naudotojams.
Tokio incidento atveju ankstyvasis perspėjimas taip pat pateikiamas per 24 valandas, o išsamesnis pranešimas – per 72 valandas. Galutinė incidento ataskaita turi būti pateikta per mėnesį nuo išsamesnio pranešimo. Be to, gamintojas privalo informuoti paveiktus vartotojus, o prireikus – ir visus produkto naudotojus apie incidentą, pažeidžiamumą bei priemones, kuriomis galima sumažinti riziką.
Lietuvos gamintojų pranešimus koordinuoja NKSC, o visa informacija teikiama per vieną ENISA platformą
Pranešimams Europos Sąjunga sukūrė bendrąją Kibernetinio atsparumo akto pranešimų platformą CRA-SRP. Ją valdo Europos Sąjungos kibernetinio saugumo agentūra ENISA. Platforma oficialiai pradėjo veikti 2026 m. rugsėjo 11 d. kartu su naujųjų pranešimų pareigų įsigaliojimu.
Gamintojui nereikia atskirai siųsti to paties pranešimo kiekvienos valstybės, kurioje parduodamas produktas, institucijoms. Informacija pateikiama vieną kartą per CRA-SRP. Lietuvos teritorijoje pagrindinę buveinę turinčių gamintojų pranešimus koordinuoja Nacionalinis kibernetinio saugumo centras. Pranešimas tuo pačiu tampa prieinamas ENISA, o informacija gali būti perduodama ir kitų ES valstybių nacionalinėms reagavimo į kibernetinius incidentus komandoms, jeigu produktas platinamas jų rinkose.
NKSC taip pat atkreipia dėmesį į praktinę detalę: iš anksto registruotis CRA-SRP nebūtina – tai galima padaryti teikiant pirmąjį ankstyvojo perspėjimo pranešimą. Tačiau įmonei laukti realaus incidento nėra racionalu. 24 valandų terminas reiškia, kad atsakingi darbuotojai, kontaktai ir sprendimų priėmimo tvarka turėtų būti nustatyti dar prieš atsirandant incidentui.
Pranešimų pareiga gali būti taikoma ir produktams, kurie ES rinkoje pasirodė dar iki 2026 metų
Vienas svarbiausių pereinamojo laikotarpio niuansų – naujoji pranešimų pareiga nėra apribota vien naujai kuriamais produktais. CRA nustato, kad 14 straipsnio reikalavimai taikomi ir produktams su skaitmeniniais elementais, kurie į rinką buvo pateikti iki 2027 m. gruodžio 11 d., jeigu jie patenka į reglamento taikymo sritį.
NKSC tai aiškina dar konkrečiau: pranešimų teikimo pareigos taikomos ir anksčiau rinkai pateiktiems produktams, jeigu jie šiuo metu tebėra tiekiami Europos Sąjungos rinkai. Todėl įmonė negali ignoruoti dabar aktyviai išnaudojamo penkerių metų senumo produkto pažeidžiamumo vien todėl, kad pati prekė sukurta gerokai iki CRA priėmimo.
Tačiau retrospektyvi pareiga nėra absoliuti. Gamintojui nereikia dabar pranešinėti apie kiekvieną anksčiau išnaudotą spragą, apie kurios aktyvų išnaudojimą jis jau žinojo iki 2026 m. rugsėjo 11 d. Pareiga atsiranda dėl įvykių, apie kuriuos gamintojas sužino po naujojo režimo taikymo pradžios.
Nuo 2027 metų kibernetinis saugumas turės būti projektuojamas į patį produktą, o ne pridedamas po incidento
Didžiausias CRA pokytis verslui ateis 2027 m. gruodžio 11 d., kai bus pradėtas taikyti pagrindinis reikalavimų paketas. Tada gamintojai turės vertinti produkto kibernetinio saugumo riziką dar prieš pateikdami jį rinkai ir dokumentuoti, kaip tos rizikos buvo suvaldytos.
Reglamento I priede nustatyta, kad produktai turi būti projektuojami, kuriami ir gaminami taip, kad užtikrintų riziką atitinkantį kibernetinio saugumo lygį. Tarp konkrečių principų yra saugi numatytoji konfigūracija, apsauga nuo neteisėtos prieigos, duomenų konfidencialumo ir vientisumo užtikrinimas bei galimybė pašalinti pažeidžiamumus saugumo atnaujinimais. Kai tinkama, automatiniai saugumo atnaujinimai turės būti įjungti pagal numatytuosius nustatymus, vartotojui suteikiant aiškią galimybę jų atsisakyti ar atidėti.
Europos Komisija šį modelį apibūdina kaip atsakomybę per visą produkto gyvavimo ciklą. Gamintojas turės ne tik vieną kartą išleisti saugų produktą, bet ir nustatyti jo palaikymo laikotarpį, valdyti pažeidžiamumus bei teikti saugumo atnaujinimus. Tai iš esmės keičia modelį, pagal kurį nebrangi išmanioji kamera, maršrutizatorius ar kita elektronika po pardavimo neretai lieka beveik be gamintojo priežiūros.
CE ženklas skaitmeniniam produktui reikš ir atitiktį kibernetinio saugumo reikalavimams
Nuo viso CRA taikymo pradžios gamintojai prieš pateikdami produktą rinkai turės atlikti atitikties vertinimą, parengti techninius dokumentus ir ES atitikties deklaraciją. Reikalavimus atitinkantis produktas turės būti pažymėtas CE ženklu. Taigi CE skaitmeninių produktų atveju taps ne vien elektrinės ar fizinės saugos, bet ir kibernetinio saugumo reguliavimo dalimi.
Daugeliui kasdienių produktų – pavyzdžiui, išmaniesiems garsiakalbiams, mobilioms programėlėms ar kompiuteriniams žaidimams – gamintojas galės atlikti savęs vertinimą. Tačiau reglamentas išskiria svarbių ir kritinių produktų kategorijas. Pavyzdžiui, kai kurioms operacinėms sistemoms, antivirusinėms programoms, maršrutizatoriams ar ugniasienėms galios griežtesnė vertinimo tvarka, o daliai produktų bus privalomas nepriklausomos notifikuotosios įstaigos vertinimas.
Lietuva šiam etapui taip pat jau rengiasi. 2026 m. vasario 25 d. Vyriausybės nutarimu Nr. 113 Krašto apsaugos ministerijai pavesta vykdyti CRA notifikuojančiosios institucijos funkcijas ir priimti sprendimus dėl atitikties vertinimo įstaigų paskyrimo. Lietuvos akreditacijos ir standartizacijos agentūrai pavesta vykdyti akredituotų atitikties vertinimo įstaigų priežiūrą. Šios nuostatos įsigaliojo 2026 m. birželio 11 d.
Importuotojai ir platintojai taip pat taps atsakingi už nesaugių skaitmeninių produktų patekimą į ES rinką
CRA neapsiriboja vien Europos gamintojais. Jeigu išmanųjį įrenginį ar programinį produktą pagamina Kinijos, JAV ar kitos trečiosios valstybės įmonė, ES rinkai jį pateikiantis importuotojas turės patikrinti, ar gamintojas įvykdė reglamento reikalavimus. Tai ypač aktualu elektronikos prekybininkams ir bendrovėms, kurios produktus importuoja ir parduoda su savo prekės ženklu.
Prieš pateikdamas produktą rinkai importuotojas turės įsitikinti, kad atlikta tinkama atitikties vertinimo procedūra, parengti techniniai dokumentai, produktas pažymėtas CE ženklu ir pateikiama reikalaujama informacija naudotojui. Jeigu importuotojas turi pagrindo manyti, kad produktas neatitinka CRA, jis negalės jo pateikti rinkai tol, kol neatitiktis nebus pašalinta.
Platintojams taip pat teks tikrinimo pareigos. Dėl to CRA poveikis gali būti juntamas ne vien technologijų kūrėjams, bet ir prekybos tinklams, elektronikos importuotojams bei internetinėms parduotuvėms. Praktinis rezultatas – kibernetinio saugumo reikalavimai palaipsniui taps tokia pat tiekimo grandinės dalimi kaip elektros sauga, produkto ženklinimas ar techninės atitikties dokumentacija.
Atvirojo kodo programinei įrangai ir debesijos paslaugoms numatytos išimtys, tačiau riba priklauso nuo verslo modelio
CRA netaikomas vienodai visam internete prieinamam programiniam kodui. Nekomercinėje veikloje kuriamai ir platinamai laisvajai bei atvirojo kodo programinei įrangai numatyta reikšminga išimtis. ES siekė išvengti situacijos, kai savanoris programuotojas, nemokamai paskelbęs kodą viešoje saugykloje, būtų traktuojamas taip pat kaip komercinis programinės įrangos gamintojas.
Tačiau atvirasis kodas savaime nuo CRA neapsaugo. Reglamentas numato atskirą „atvirojo kodo programinės įrangos valdytojo“ kategoriją organizacijoms, kurios sistemingai ir ilgą laiką remia konkrečių komercinėje veikloje naudojamų atvirojo kodo produktų kūrimą. Šiems subjektams dalis pareigų bus pradėta taikyti nuo 2027 m. gruodžio 11 d.
Įprastos debesijos paslaugos ir programinė įranga kaip paslauga – SaaS – taip pat paprastai nepatenka į CRA vien todėl, kad yra skaitmeninės. Jos daugeliu atvejų reguliuojamos pagal kitą ES kibernetinio saugumo sistemą, pirmiausia TIS 2 direktyvą. Tačiau nuotolinio duomenų apdorojimo sprendimas gali tapti CRA produkto dalimi, jeigu pats produktas yra taip suprojektuotas, kad be šio nuotolinio komponento negalėtų atlikti vienos iš savo funkcijų.
Šaltiniai:
„Europos Sąjungos oficialusis leidinys / EUR-Lex“. (2024). Regulation (EU) 2024/2847 – Cyber Resilience Act. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
„Nacionalinis kibernetinio saugumo centras“. (2026). Keičiasi kibernetinio saugumo taisyklės gamintojams: įsigalioja naujos pranešimų teikimo pareigos pagal Kibernetinio atsparumo aktą. https://nksc.lrv.lt/lt/naujienos/keiciasi-kibernetinio-saugumo-taisykles-gamintojams-isigalioja-naujos-pranesimu-teikimo-pareigos-pagal-kibernetinio-atsparumo-akta-RBA/
„Europos Komisija“. (2026). Cyber Resilience Act – Reporting obligations. https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
DAO narių vertinimas
Straipsnio publikavimą patvirtino 4 iš 5 priskirtų DAO narių
Straipsnis aiškiai ir suprantamai paaiškina Kibernetinio atsparumo akto reikalavimus, kas yra svarbu tiek gamintojams, tiek vartotojams. Informacija yra aktuali ir naudinga Lietuvos skaitytojams, besidomintiems kibernetiniu saugumu.
Straipsnyje pateikiama klaidinga informacija apie Kibernetinio atsparumo akto galiojimo datas, kas gali sukelti dezinformaciją ir painiavą skaitytojams. Be to, trūksta aiškumo dėl konkrečių reikalavimų ir terminų.
Straipsnis yra aktualus, nes Kibernetinio atsparumo aktas tiesiogiai veikia Lietuvos įmones ir jų saugumo praktiką. Informacija apie naujas taisykles ir jų įsigaliojimą yra svarbi verslui, siekiančiam užtikrinti atitiktį ir saugumą.
Straipsnis pateikia svarbią informaciją apie Kibernetinio atsparumo akto reikalavimus, kurie tiesiogiai veikia Lietuvos verslą ir visuomenę, todėl jis yra naudingas ir konstruktyvus.
Straipsnis pateikia aiškią ir objektyvią informaciją apie Kibernetinio atsparumo aktą, nesukeldamas nepagrįsto nerimo. Jame nėra emocinės manipuliacijos, o informacija yra naudinga ir aktuali verslui.
