Cyber Resilience Act: что меняется для производителей и пользователей устройств
Не уверены, что именно сломалось?
Опишите симптомы мастеру — подскажем, с чего начать диагностику и стоит ли нести технику в ремонт.
В сентябре 2026 года в Европейском Союзе вступила в силу первая важная часть Cyber Resilience Act, или CRA. В новостях её часто описывают как правило «производитель должен сообщить о взломе за 24 часа». Формулировка понятна, но неполна: требование касается не каждого владельца телефона или ноутбука, а производителей продуктов с цифровыми элементами, которые продаются на рынке ЕС.
По официальному разъяснению Европейской комиссии, с 11 сентября 2026 года производители обязаны сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах, влияющих на безопасность их продуктов. Для раннего предупреждения предусмотрено 24 часа с момента, когда производитель узнал о проблеме, а для более полного уведомления — 72 часа.
Для пользователя это хорошая новость, но не кнопка, которая мгновенно исправляет каждый ноутбук. Безопасность всё равно зависит от того, выпускает ли производитель патчи, устанавливает ли их система, обновляется ли прошивка роутера и не используется ли устаревшее устройство.
Что такое Cyber Resilience Act
CRA — это регламент ЕС, который устанавливает горизонтальные требования кибербезопасности для продуктов с цифровыми элементами. К ним относятся не только операционные системы, но и телефоны, ноутбуки, роутеры, камеры, умные устройства, промышленное оборудование, программы и компоненты, если они связаны с цифровыми функциями.
Идея закона — перенести часть ответственности за безопасность на весь жизненный цикл продукта. Производитель должен думать об уязвимостях не только в день продажи, но и во время поддержки: принимать сообщения, выпускать исправления, объяснять срок поддержки и информировать пользователя о важных рисках.
Это отличается от обычной новости о новом CVE. Уязвимость — это техническая проблема. CRA добавляет к ней процесс: кто должен её обработать, когда уведомить регуляторов, как подготовить исправление и что сказать пользователям.
Что означают 24, 72 часа и финальный отчёт
Обязанность состоит из нескольких этапов:
- раннее предупреждение об активно эксплуатируемой уязвимости или серьёзном инциденте — в течение 24 часов после того, как производитель узнал об этом;
- более полное уведомление — в течение 72 часов;
- финальный отчёт по активно эксплуатируемой уязвимости — не позднее 14 дней после доступности исправления или корректирующего действия;
- финальный отчёт по серьёзному инциденту — в течение месяца после 72-часового уведомления.
Это не означает, что компания за 24 часа должна полностью найти причину, написать патч и обновить все устройства. Первое сообщение — ранний сигнал для ENISA и определённого CSIRT. Полная техническая информация может появиться позже.
Европейская комиссия объясняет, что уведомления проходят через CRA Single Reporting Platform. Производитель подаёт информацию один раз, а система помогает передать её соответствующим органам. Для пользователя это важно, потому что уведомления о серьёзных проблемах должны быстрее попадать к тем, кто координирует реагирование.
Кого касаются новые обязанности
Непосредственно — производителей продуктов с цифровыми элементами, а также в определённых случаях импортеров и дистрибьюторов. Производитель, который продаёт устройство или программу в ЕС, должен учитывать требования к обработке уязвимостей, документации, оценке соответствия и периоду поддержки.
Разработчик небольшой программы не становится автоматически производителем каждого ноутбука, на котором её установили. Обязанности зависят от того, какой продукт он размещает на рынке, как он продаётся и какую роль играет компания. Для юридической оценки нужна консультация специалиста по соответствию, а не вывод из короткой новости.
Владелец домашнего ноутбука не должен самостоятельно подавать 24-часовой отчёт в ENISA после ошибки браузера. Если вы нашли уязвимость в устройстве, сообщите производителю через официальный канал responsible disclosure или службу поддержки. Если подозреваете реальный инцидент, сохраните доказательства и обратитесь в национальную команду реагирования.
Что меняется для ноутбуков и роутеров
Производитель должен чётче определять период поддержки и информировать, когда закончится выпуск обновлений. Для покупателя это значит, что при выборе ноутбука, роутера или камеры стоит смотреть не только на процессор и цену, но и на политику патчей.
Спросите:
- Как долго производитель выпускает обновления безопасности?
- Где публикуются advisory и уведомления о CVE?
- Обновляется ли прошивка автоматически и как происходит откат?
- Есть ли канал для сообщения об уязвимости?
- Указана ли дата окончания поддержки?
Дешёвое устройство без обновлений может стоить дороже из-за риска замены, потери данных или взломанной домашней сети. CRA не гарантирует, что все производители станут одинаково надёжными, но повышает требования к процессам и прозрачности.
Что делать пользователю уже сейчас
Не нужно ждать отдельной кнопки «CRA» в Windows. Практические шаги остаются обычными:
- включите автоматические обновления Windows, Android, iOS и роутера;
- замените устройства, которые больше не получают патчи;
- измените стандартный пароль маршрутизатора;
- отключите ненужный удалённый доступ и проброс портов;
- используйте двухфакторную защиту для почты и важных аккаунтов;
- делайте резервные копии перед ремонтом или крупными изменениями;
- не устанавливайте прошивки и «патчи» с случайных форумов.
Если обновление не устанавливается, не отключайте защиту навсегда. Проверьте свободное место, состояние SSD, ошибки Windows Update и совместимость драйверов. Для рабочего компьютера полезно записать версию системы, номер KB и код ошибки.
Как распознать важное сообщение производителя
Официальный advisory обычно содержит номер CVE, список затронутых версий, уровень критичности, доступное исправление и рекомендации. Сообщение «ваш ноутбук заражён, нажмите здесь» не является advisory, даже если на странице использован логотип производителя.
Проверяйте адрес вручную через сайт производителя. Не открывайте вложения из неизвестных писем и не вводите пароль в окне, которое появилось после рекламного перенаправления. Если не уверены, перейдите в настройки устройства самостоятельно и проверьте обновления там.
Никогда не передавайте стороннему «мастеру» пароль от почты, банка или администратора роутера. Для диагностики достаточно модели устройства, версии системы, кода ошибки и описания симптомов. Если есть подозрение на взлом, сначала измените доступы с чистого устройства.
Что делать бизнесу и производителям программ
Если компания продаёт программу или подключённое устройство в ЕС, нужен процесс реагирования ещё до получения первого сообщения. Определите ответственного за безопасность, канал для disclosure, журнал инцидентов, порядок оценки эксплуатации и резервный контакт на время отпусков.
Проверьте, есть ли инвентарь компонентов, зависимостей и версий. Без Software Bill of Materials сложно быстро понять, где используется уязвимая библиотека. Подготовьте шаблоны раннего предупреждения, внутренние критерии «активной эксплуатации» и план выпуска исправления.
В то же время не стоит превращать каждый сканерный сигнал в публичное сообщение. Сначала нужно отличить потенциальную ошибку от подтверждённой проблемы, касающейся именно продукта. Но неполные данные не должны быть поводом игнорировать срочный сигнал: его можно дополнить позже.
Вывод
Cyber Resilience Act постепенно меняет ожидания от производителей цифровых продуктов: безопасность должна быть процессом на протяжении всего периода поддержки, а не разовой проверкой перед продажей. С 11 сентября 2026 года для активно эксплуатируемых уязвимостей и серьёзных инцидентов действуют сроки 24 и 72 часа для уведомлений.
Для пользователя лучшая реакция — обновлять устройства, проверять период поддержки, не открывать сомнительные ссылки и иметь резервную копию. Закон не освобождает владельца от осторожности, но должен сделать реакцию производителей быстрее и прозрачнее.
FAQ
Q: Нужно ли мне сообщать ENISA о ошибке на домашнем ноутбуке? A: Нет, сроки CRA касаются производителей и определённых участников цепочки поставок. Пользователь может сообщить производителю через официальный канал, если нашёл уязвимость.
Q: Начинается ли отсчёт 24 часов для каждой CVE? A: Нет. Речь идёт об активно эксплуатируемых уязвимостях и серьёзных инцидентах, о которых производитель узнал. Конкретный юридический порог зависит от обстоятельств и продукта.
Q: Гарантирует ли CRA пожизненные обновления устройства? A: Нет. Производитель должен определять период поддержки и выполнять требования по обработке уязвимостей, но срок поддержки не становится бесконечным.
Q: Что делать, если производитель больше не обновляет роутер? A: Замените его на модель с действующей поддержкой, отключите удалённое администрирование и не используйте старое устройство как основной шлюз для важных данных.
Частые вопросы
Можно ли решить проблему самостоятельно?
Простые шаги — перезагрузка, проверка блока питания, кабелей и резервная копия данных — безопасны. Если проблема повторяется или касается накопителя, питания, залития или материнской платы, безопаснее провести диагностику в сервисе.
Когда стоит обратиться в сервис?
Когда ноутбук или ПК выключается, перегревается, не видит накопитель, показывает ошибки или работает нестабильно. Ранняя диагностика снижает риск потери данных и лишних затрат на запчасти.
Re-Save подтвердит цену перед ремонтом?
Да. Сначала диагностируем причину неисправности, затем согласовываем объём работ, детали и цену до начала ремонта.
