Raportimi i Aktit të Rezilience Kibernetike është tashisht aktiv: Çfarë duhet të bëjnë prodhuesit e vegjël

Më 11 shtator 2026, filloi të zbatohet pjesa e parë detyruese e Aktit të BE-së për Rezistencën Kibernetike. Që nga ajo datë, prodhuesit e pajisjeve dhe softuerëve të lidhur duhet të raportojnë dobësitë e shfrytëzuara në mënyrë aktive dhe incidentet e rënda të sigurisë përmes një kanali të ri të BE-së, sipas afateve të shkurtra të përcaktuara nga Komisioni Evropian. Për shumë kompani të vogla softuerësh dhe pajisjesh, detyrimi për raportim sipas Aktit të Rezistencës Kibernetike është hera e parë që ligji i produkteve të BE-së u kërkon atyre të veprojnë brenda disa orësh në vend të muajve.

Çfarë ndryshoi me raportimin e Aktit të Rezistencës Kibernetike

Akti i Rezistencës Kibernetike (Rregullorja (BE) 2024/2847) hyri në fuqi më 10 dhjetor 2024 dhe shumica e kërkesave të tij për produktet zbatohen vetëm nga 11 dhjetori 2027, sipas... Përmbledhje e rregullores nga Komisioni. Detyrimet e raportimit në Nenin 14 u sollën qëllimisht përpara. Që nga 11 shtatori 2026, një prodhues që bëhet i vetëdijshëm për një dobësi të shfrytëzuar në mënyrë aktive në një nga produktet e tij, ose një incident të rëndë që ndikon në sigurinë e atij produkti, duhet ta njoftojë atë.

Afati kohor është i rreptë. Nën Neni 14 i rregullores, një paralajmërim i hershëm duhet të jepet brenda 24 orëve nga njoftimi për problemin, një njoftim më i plotë brenda 72 orëve dhe një raport përfundimtar jo më vonë se 14 ditë pasi të jetë në dispozicion një rregullim ose zbutje për dobësitë, ose brenda një muaji për incidente të rënda. Raportet kalojnë përmes Platformës së Vetme të Raportimit të ENISA-s, e cila u transmetua drejtpërdrejt më 11 shtator 2026. Njoftimi arrin në CSIRT-in kombëtar që vepron si koordinator në shtetin anëtar ku prodhuesi ka selinë e tij kryesore, me ENISA-n të informuar në të njëjtën kohë. Për një kompani me seli në Danimarkë, kjo do të thotë CSIRT-i koordinues danez.

Dy detaje janë të lehta për t'u humbur. Së pari, pasi Shënime nga Hogan Lovells Cadwalader, detyrimi i raportimit mbulon gjithashtu produktet e vendosura në tregun e BE-së përpara se CRA të zbatohet plotësisht, dhe vazhdon pasi të ketë mbaruar periudha e mbështetjes së një produkti. Së dyti, prodhuesit duhet gjithashtu të informojnë përdoruesit e prekur rreth një dobësie të shfrytëzuar në mënyrë aktive ose një incidenti të rëndë dhe, kur është e përshtatshme, të gjithë përdoruesit.

Pse është e rëndësishme për një biznes të vogël

CRA mbulon "produktet me elementë dixhitalë", një kategori e gjerë që Komisioni e ilustron me shembuj të tillë si monitorë për fëmijë, ora inteligjente, aplikacione dhe programe kompjuterike. Një startup danez që shet një pajisje të lidhur, një aplikacion për desktop ose celular, ose softuer që klientët instalojnë mund të jetë një prodhues në kuptimin ligjor, pavarësisht nga madhësia. Nëse një produkt, komponent ose element specifik i cloud-it bie brenda fushëveprimit nuk është gjithmonë e qartë, prandaj Komisioni publikoi udhëzime të reja më 27 korrik 2026 që mbulon fushëveprimin, modifikimin thelbësor, periudhat e mbështetjes, vlerësimin dhe raportimin e riskut, me atë që e përshkruan si vëmendje të veçantë ndaj mikrondërmarrjeve dhe NVM-ve.

Korniza e ndëshkimeve është e rëndësishme. Neni 64(2) lejon gjoba administrative deri në 15 milionë euro ose 2.5% të xhiros vjetore në mbarë botën, cilado qoftë më e lartë, për shkelje të kërkesave thelbësore dhe të detyrimeve në nenet 13 dhe 14. Ka disa lehtësime për firmat më të vogla: sipas Kohët e Teknologjisë dhe ISMS Copilot, Neni 64(10)(a) do të thotë që mikrondërmarrjet dhe ndërmarrjet e vogla nuk mund të gjobiten për mosrespektimin e afatit 24-orësh të paralajmërimit të hershëm. Detyrimi për të raportuar ende vlen për to, dhe ky lehtësim nuk shtrihet në njoftimin dhe raportin përfundimtar të mëvonshëm.

Në praktikë, pjesa më e vështirë për një ekip të vogël rrallë është vetë formulari. Është të dish, me një njoftim të shkurtër, se një dobësi po shfrytëzohet në mënyrë aktive, kush në kompani vendos që koha ka filluar dhe kush ka qasje në platformën e raportimit kur kjo ndodh të premten në mbrëmje.

Hapat e ardhshëm praktikë

Filloni duke hartuar produktet tuaja. Renditni ato që keni vendosur në tregun e BE-së, duke përfshirë versionet më të vjetra që janë ende në përdorim, dhe bëni një vlerësim të parë të dokumentuar se cilat artikuj ka të ngjarë të jenë produkte me elementë dixhitalë. Përdorni udhëzimet e Komisionit si pikë referimi dhe merrni këshilla ligjore për situatën tuaj kur përgjigjja është e paqartë.

Pastaj, vendosni se kush e zotëron orën 24-orëshe. Emëroni një person përgjegjës dhe një zëvendës, bini dakord se si u arrin atyre një raport për shfrytëzim të mundshëm aktiv dhe konfiguroni paraprakisht aksesin në Platformën e Vetme të Raportimit. Përgatitni shabllone të shkurtra për paralajmërimin e hershëm, njoftimin 72-orësh dhe komunikimin me përdoruesin, në mënyrë që askush të mos hartojë nga e para nën presion.

Pastaj shikoni se si arrijnë dobësitë tek ju. Një pikë kontakti e publikuar për studiuesit e sigurisë, monitorimi i komponentëve të palëve të treta dhe me burim të hapur nga të cilët varet produkti juaj, dhe një rrugë e qartë e brendshme nga biletat e mbështetjes tek ekipi i inxhinierisë, të gjitha shkurtojnë kohën midis shfaqjes së një problemi dhe njoftimit të kompanisë për të. Shtoni pritjet e njoftimit në kontratat me furnizuesit kryesorë, në mënyrë që një defekt në një komponent që ata ofrojnë të mos ju arrijë me javë vonesë.

Së fundmi, trajtojeni detyrimin e raportimit si një provë për dhjetorin 2027, kur kërkesat e CRA-së për sigurinë sipas dizajnit, dokumentacionin dhe konformitetin zbatohen plotësisht. Komisioni Faqja e SME-ve për CRA-në pikë për mbështetje përmes Programit të Evropës Dixhitale dhe për mundësinë e trajnimit kombëtar, aktiviteteve ndërgjegjësuese dhe sandbox-eve rregullatore për prodhuesit më të vegjël. Këto ia vlen të ndiqen kur të bëhen të disponueshme në Danimarkë.

Perspektiva e Brenvard

Për Brenvardin, CRA ka dy anë. Ne ndërtojmë faqe interneti, aplikacione web dhe aplikacione, kështu që duhet të jemi të qartë, projekt pas projekti, se kush është prodhuesi sipas CRA-së dhe kush trajton dobësitë pasi një produkt është në përdorim. Kjo do të thotë të bien dakord për përgjegjësitë, periudhat e mbështetjes dhe kontaktet e raportimit me shkrim në fillim të punës së zhvillimit, jo pasi diçka shkon keq. Rregullorja shton hapa në procesin tonë të dorëzimit dhe në çdo ekip produkti që mbështesim, dhe mund t'i bëjë disa projekte të vogla më të shtrenjta. Fitimi është se siguria sipas dizajnit dhe rutinat e qarta të incidenteve bëhen pjesë e detyrës që nga dita e parë, gjë që tenton të prodhojë softuer më të mirë dhe më pak surpriza për të gjithë të përfshirët.

Një Përgjigje e Matur

Pikë referimi e 11 shtatorit 2026 nuk kërkon një program të madh pajtueshmërie brenda natës, por kërkon një proces pune që mund të veprojë brenda një dite. Prodhuesit e vegjël që sqarojnë fushëveprimin e produktit të tyre, caktojnë përgjegjësi dhe testojnë rrugën e tyre të raportimit tani do të jenë në një pozicion shumë më të mirë kur të zbatohet rregullorja e plotë. Brenvard ndihmon startup-et dhe bizneset më të vogla të vendosin atë lloj procesi si pjesë të punës së saj në siguria kibernetike dhe mbrojtja e të dhënave, krahas këshillave ligjore dhe teknike që secila kompani ka nevojë për produktet e veta.

Burimet

Komisioni Evropian – Akti i Rezistencës Kibernetike: Detyrimet e raportimit (qasur më 1 tetor 2026)
Komisioni Evropian – Akti i Rezistencës Kibernetike (qasur më 1 tetor 2026)
Komisioni Evropian – Komisioni publikon udhëzime të reja për të mbështetur zbatimin e Aktit të Rezistencës Kibernetike nga bizneset (27 korrik 2026)
Komisioni Evropian – Akti i Rezistencës Kibernetike: Ndërmarrjet e Vogla dhe të Mesme (përditësuar më 31 korrik 2026)
EUR-Lex – Rregullorja (BE) 2024/2847 (Akti i Rezistencës Kibernetike)
Hogan Lovells Cadwalader – Akti i BE-së për Rezistencën Kibernetike: Detyrimet për raportimin e cenueshmërisë dhe incidenteve tani zbatohen dhe Platforma e Vetme e Raportimit e ENISA-s është aktive (11 shtator 2026)
Tech Times – Akti i BE-së për Rezistencën Kibernetike hyn në fuqi: Prodhuesit tani përballen me një afat 24-orësh për të raportuar të metat e shfrytëzuara (11 shtator 2026)
ISMS Copilot – Akti i Rezistencës Kibernetike: çfarë zbatohet nga 11 shtatori 2026 (11 shtator 2026)