Уведомления по Закону о киберустойчивости (Cyber Resilience Act) с 11 сентября 2026 г. и требование Закона о данных (Data Act) к проектированию подключенных продуктов, размещенных на рынке после 12 сентября

Почему обязанность по уведомлению начала применяться раньше остальной части Регламента

Регламент о киберустойчивости вступил в силу 10 декабря 2024 г. и применяется в целом с 11 декабря 2027 г.: основные требования кибербезопасности, предусмотренные Приложением I, оценка соответствия, маркировка CE и механизм надзора за рынком (market surveillance) начинают действовать с этой даты (ст. 71(2)). Две части были введены раньше. Глава IV о нотификации органов по оценке соответствия применяется с 11 июня 2026 г., чтобы такие органы существовали до того, как они понадобятся производителям. Статья 14, то есть обязанность по уведомлению, применяется с 11 сентября 2026 г. А ст. 69(3) предусматривает, что обязанности, установленные ст. 14, применяются ко всем продуктам с цифровыми элементами, входящим в сферу применения Регламента, которые были размещены на рынке до 11 декабря 2027 г., поэтому обязанность по уведомлению не ограничивается новыми продуктами: продукт, проданный в ЕС в 2024 году, подпадает под нее с 11 сентября 2026 г. так же, как и продукт, который будет продан в следующем году.

Для уведомления не нужны ни оценка соответствия, ни маркировка CE; нужны производитель, которому известно, что уязвимость в его продукте эксплуатируется или что инцидент нарушил безопасность продукта, и канал связи с органами власти. Статья 16 возлагает на ENISA задачу создать этот канал — единую платформу для уведомлений. 11 сентября 2026 г. ENISA объявило, что развернуло платформу в начальной эксплуатационной готовности (initial operating capability), а страница Европейской комиссии об уведомлениях описывает платформу как работающую с этой даты. 27 июля 2026 г. Комиссия опубликовала разъяснения о применении Регламента (C(2026) 5252), в которых обязанностям по уведомлению посвящен раздел 9, а 4 сентября 2026 г. обновила свои часто задаваемые вопросы; оба документа являются разъяснениями и по юридической силе стоят ниже Регламента.

Что требует ст. 14

Обязанность лежит на производителе, которого ст. 3 определяет как физическое или юридическое лицо, которое разрабатывает или изготавливает продукты с цифровыми элементами либо заказывает их проектирование, разработку или изготовление и реализует их на рынке под своим именем или товарным знаком, будь то за плату, с целью монетизации или бесплатно. Ее вызывают два события. По ст. 14(1) производитель обязан уведомить о любой активно эксплуатируемой уязвимости, содержащейся в продукте, о которой ему стало известно; по ст. 14(3) — о любом тяжелом инциденте, влияющем на безопасность продукта. Статья 14(5) устанавливает критерий тяжести: инцидент является тяжелым, если он негативно влияет или способен негативно повлиять на способность продукта защищать доступность, подлинность, целостность или конфиденциальность чувствительных или важных данных или функций либо если он привел или способен привести к внедрению или исполнению вредоносного кода в продукте или в сетевых и информационных системах пользователя. Производитель должен сам оценить эти формулировки в течение нескольких часов после обнаружения, и опубликованной помощью при этом служат разъяснения и часто задаваемые вопросы Комиссии.

Срок отсчитывается с момента, когда производителю стало об этом известно, и каждый этап должен быть выполнен без неоправданной задержки и в любом случае в течение указанного периода. Для активно эксплуатируемой уязвимости ст. 14(2) требует раннего предупреждения (early warning) в течение 24 часов с указанием, где это применимо, государств-членов, на территории которых, насколько известно производителю, продукт был предоставлен; уведомления об уязвимости в течение 72 часов, если информация еще не была предоставлена, с общими сведениями о продукте, о характере эксплойта и уязвимости, о принятых корректирующих или смягчающих мерах или мерах, которые могут принять пользователи, и с указанием степени чувствительности информации; и итогового отчета не позднее 14 дней после того, как корректирующая или смягчающая мера стала доступна. Для тяжелого инцидента ст. 14(4) требует раннего предупреждения в течение 24 часов с указанием как минимум того, есть ли подозрение, что инцидент вызван противоправными или злонамеренными действиями, уведомления об инциденте в течение 72 часов и итогового отчета в течение одного месяца после подачи уведомления об инциденте. Статья 14(8) добавляет обязанность перед рынком: узнав об активно эксплуатируемой уязвимости или тяжелом инциденте, производитель обязан проинформировать затронутых пользователей продукта, а где это уместно — всех пользователей, об уязвимости или инциденте и, где это необходимо, о мерах по снижению риска и корректирующих мерах, которые они могут применить, при необходимости в структурированном машиночитаемом формате; если производитель не информирует пользователей своевременно, это может сделать CSIRT.

Уведомление направляется сразу двум адресатам: CSIRT, назначенной координатором в соответствующем государстве-члене, и ENISA — через единую платформу для уведомлений (ст. 14(1) и (3) во взаимосвязи со ст. 16). Какое государство-член является соответствующим, определяет ст. 14(7). Для производителя, основное учреждение (main establishment) которого находится в ЕС, это государство-член такого учреждения: государство-член, в котором преимущественно принимаются решения, касающиеся кибербезопасности его продуктов, или, если такое государство-член определить невозможно, государство-член, в котором находится учреждение производителя с наибольшим числом работников в ЕС. Если у производителя нет основного учреждения в ЕС, статья последовательно перебирает перечень вариантов, исходя из информации, имеющейся у производителя: государство-член уполномоченного представителя (authorised representative), действующего в отношении наибольшего числа его продуктов, затем импортера (importer), размещающего на рынке наибольшее число продуктов, затем дистрибьютора (distributor), предоставляющего на рынке наибольшее число продуктов, и, наконец, государство-член с наибольшим числом пользователей. Поэтому швейцарский, британский или американский производитель без основного учреждения в ЕС на практике выбирает свою CSIRT в момент назначения уполномоченного представителя.

Статья 15 позволяет производителям и иным лицам добровольно сообщать об уязвимостях, киберугрозах, инцидентах и потенциальных инцидентах (near misses). Согласно ст. 16(2) CSIRT, первой получившая уведомление, распространяет его через платформу среди CSIRT государств-членов, в которых продукт был предоставлен на рынке, а в исключительных обстоятельствах может отложить распространение по обоснованным причинам, связанным с кибербезопасностью; Делегированный регламент (ЕС) 2026/881, принятый на основании ст. 14(9), конкретизирует условия применения таких причин. Ни одно из этих положений не меняет сроков, установленных для производителя.

Кто еще входит в цепочку

Импортеры и дистрибьюторы не направляют уведомления по ст. 14, а их собственные обязанности применяются вместе с остальной частью Регламента с 11 декабря 2027 г. С этой даты импортер обязан информировать производителя и органы надзора за рынком (market surveillance authorities), если продукт представляет значительный риск для кибербезопасности, и обязан без неоправданной задержки информировать производителя об уязвимости, о которой ему стало известно (ст. 19(3) и (5)); ст. 20(3) и (4) возлагают параллельные обязанности на дистрибьюторов. Статья 18 об уполномоченных представителях также применяется только с этой даты, хотя ст. 14(7) уже использует местонахождение представителя для выбора CSIRT. После начала применения ст. 18(2) исключает из мандата (mandate) обязанности производителя, предусмотренные пунктами с 1 по 11 ст. 13, первым абзацем ст. 13(12) (составление технической документации) и ст. 13(14), а ст. 18(3) требует, чтобы мандат как минимум позволял представителю хранить декларацию соответствия ЕС и техническую документацию в распоряжении органов надзора за рынком, предоставлять информацию по обоснованному запросу и сотрудничать в принятии мер по устранению рисков. Статья 14 не входит в число исключенных обязанностей. По нашей оценке, мандат может возложить на представителя подачу уведомлений, но сама обязанность, как и риск ответственности за несвоевременное или ненаправленное уведомление, остается на производителе.

Программное обеспечение с открытым исходным кодом регулируется отдельно. Регламент применяется к продуктам, предоставленным на рынке, что ст. 3 определяет через поставку в ходе коммерческой деятельности, а п. 18 преамбулы поясняет, что свободное программное обеспечение с открытым исходным кодом, поставляемое вне коммерческой деятельности, на этом основании находится за пределами Регламента; обязанности стюардов программного обеспечения с открытым исходным кодом (open-source software stewards) по ст. 24 применяются только с 11 декабря 2027 г., когда ст. 24(3) распространит на стюардов отдельные части ст. 14. Компания, которая интегрирует компонент с открытым исходным кодом в продукт, размещаемый ею на рынке, является производителем этого продукта, и обязанность по ст. 14 в отношении этого продукта лежит на ней самой.

Меры ответственности предусмотрены ст. 64, которая применяется с 11 декабря 2027 г. Она устанавливает максимальные административные штрафы в размере 15 млн евро или, для предприятия, 2,5 % совокупного годового оборота по всему миру за предшествующий финансовый год, в зависимости от того, какая сумма больше, за нарушения Приложения I и ст. 13 и 14; 10 млн евро или 2 % за нарушение обязанностей, перечисленных в ст. 64(3), включая обязанности импортеров и дистрибьюторов; и 5 млн евро или 1 % за неверную, неполную или вводящую в заблуждение информацию, представленную нотифицированным органам или органам надзора за рынком в ответ на запрос. Согласно ст. 64(10) в редакции исправления (corrigendum) от 2 июля 2025 г. производители, которые относятся к микропредприятиям или малым предприятиям, не подвергаются штрафу за несоблюдение 24-часового срока раннего предупреждения. Штрафы налагаются органами государств-членов по национальным правилам с декабря 2027 г.; обязанность по уведомлению применяется уже сейчас.

Data Act: доступ на уровне проектирования для продуктов, размещенных на рынке после 12 сентября 2026 года

Вторая дата касается другого акта. Регламент о данных, Регламент (ЕС) 2023/2854, применяется с 12 сентября 2025 г., и предусмотренные его ст. 4 и 5 права пользователей на доступ к данным, генерируемым подключенными продуктами и связанными услугами, и на их передачу уже связывают держателей данных (data holders). Статья 3(1) — это требование к проектированию: подключенные продукты должны проектироваться и изготавливаться, а связанные услуги проектироваться и оказываться таким образом, чтобы данные продукта и данные связанной услуги, включая соответствующие метаданные, необходимые для их интерпретации и использования, были по умолчанию легко, безопасно, бесплатно, в полном, структурированном, широко используемом и машиночитаемом формате и, где это уместно и технически осуществимо, напрямую доступны пользователю. Статья 50 применяет это требование к подключенным продуктам и связанным с ними услугам, размещенным на рынке после 12 сентября 2026 г. Продукт, размещенный на рынке в эту дату или ранее, находится за пределами ст. 3(1), но не за пределами прав доступа, которые привязаны к его данным. Статья 7(1) ограничивает действие всей главы II, включая статьи с 3 по 5: ее обязанности не применяются к данным, генерируемым при использовании подключенных продуктов, изготовленных или спроектированных микропредприятием или малым предприятием, либо связанных услуг, оказываемых таким предприятием, если у него нет предприятия-партнера или связанного предприятия (partner or linked enterprise), не отвечающего критериям микро- или малого предприятия, и оно не является субподрядчиком по изготовлению или проектированию продукта либо по оказанию услуги. То же применяется к предприятию, которое отвечает критериям среднего предприятия менее одного года, и к подключенным продуктам в течение одного года после того, как среднее предприятие разместило их на рынке. Размер определяется по Приложению к Рекомендации Комиссии 2003/361/EC по численности персонала вместе с оборотом или итогом баланса, с прибавлением данных предприятий-партнеров и связанных предприятий, поэтому положение в группе и субподрядные отношения необходимо проверить, прежде чем применять изложенные ниже пункты.

Статья 3(1) — это требование к продукту, поэтому она затрагивает проектную документацию и цепочку поставок компонентов наряду с условиями оказания услуг. Практическое следствие для производителей за пределами ЕС вытекает из ст. 1(3), которая распространяет Регламент на производителей подключенных продуктов, размещаемых на рынке в ЕС, и поставщиков связанных услуг независимо от места их учреждения, а также на держателей данных, которые предоставляют данные получателям в ЕС. Статья 2(22) определяет размещение на рынке (placing on the market) как первое предоставление подключенного продукта на рынке ЕС, так что по этому определению критерий применяется к каждой единице продукции отдельно: подключенное устройство, впервые предоставленное на рынке ЕС в октябре 2026 года, должно соответствовать ст. 3(1), если к нему не применяется ст. 7(1), а единица той же модели, размещенная на рынке до 13 сентября 2026 г., соответствовать ей не обязана.

Что две даты меняют в договорах и процедурах

Меняются четыре документа. Первый — процедура реагирования на инциденты: ей нужны правило принятия решения о том, что считать «активно эксплуатируемой» уязвимостью и «тяжелым» инцидентом, назначенное лицо, способное подать уведомление на платформе в течение 24 часов, в том числе в выходные, учетные записи EU Login, которых требует платформа, и шаблоны для трех этапов. Второй — мандат уполномоченного представителя для производителей за пределами ЕС, в котором должно быть указано, подает ли представитель уведомления по ст. 14, на основании какой информации и в какой внутренний срок, а также CSIRT какого государства-члена выбирается при такой схеме в силу ст. 14(7). Третий — договор поставки и дистрибуции: поставщики компонентов должны быть обязаны раскрывать производителю уязвимости в срок, оставляющий время для 24-часового раннего предупреждения, а импортеры и дистрибьюторы должны уже сейчас быть обязаны передавать то, чего с 11 декабря 2027 г. потребуют от них ст. 19 и 20. Четвертый — спецификация продукта для всего, что размещается на рынке ЕС после 12 сентября 2026 г.; в ней должно быть зафиксировано, применяется ли ст. 7(1), а если нет, то как выполняется ст. 3(1) и как будут обрабатываться данные, составляющие коммерческую тайну, согласно пунктам с 6 по 8 ст. 4: они раскрываются только после введения мер по обеспечению конфиденциальности, а приостановить их раскрытие или отказать в нем можно только на условиях ст. 4(7) и (8).

По нашей оценке, обязанность по уведомлению следует закрыть первой, потому что она уже применяется к продуктам, которые компания продала годы назад, потому что ее сроки исчисляются часами и потому что то, о чем компания уведомляет, в силу ст. 16(3) передается органам надзора за рынком, которые с декабря 2027 г. будут обеспечивать исполнение остальной части Регламента.

Что это означает для вас

• Обязанность по уведомлению уже применяется к тому, что вы продали. Статья 69(3) распространяет ст. 14 на все входящие в сферу применения продукты с цифровыми элементами, размещенные на рынке до 11 декабря 2027 г. Составьте перечень продуктов с цифровыми элементами на рынке ЕС, старых и новых, и назначьте ответственного за каждый.
• Обеспечьте 24-часовую готовность до того, как она понадобится. Создайте учетные записи EU Login с многофакторной аутентификацией для тех, кто будет подавать уведомления, определите, кто действует от имени производителя на платформе ENISA (ENISA просит производителей регистрироваться только тогда, когда наступает срок уведомления), напишите правило принятия решения об активно эксплуатируемых уязвимостях и тяжелых инцидентах по критериям ст. 14(5) и отрепетируйте три этапа, имея под рукой разъяснения Комиссии от 27 июля 2026 г.
• Производителям за пределами ЕС: знайте, какую CSIRT выбирает ст. 14(7). Сначала проверьте, не помещает ли ст. 14(7) ваше основное учреждение в ЕС, в том числе через резервное правило о государстве-члене вашего учреждения с наибольшим числом работников в ЕС; при отсутствии там основного учреждения государство-член определяется по уполномоченному представителю, действующему в отношении наибольшего числа продуктов, затем по импортеру, затем по дистрибьютору, затем по пользователям. Включите в мандат представителя задачу подачи уведомлений, порядок передачи информации и внутренний срок.
• Привяжите цепочку поставок к вашим срокам. Поставщики компонентов и программного обеспечения должны быть обязаны раскрывать уязвимости достаточно быстро для раннего предупреждения; импортеры и дистрибьюторы должны уже сейчас быть обязаны передавать то, чего с 11 декабря 2027 г. потребуют от них ст. 19 и 20. И то и другое должно быть закреплено в договоре, с мерами ответственности за нарушение.
• Разделяйте две сентябрьские даты. Статья 14 CRA применяется к продуктам, уже размещенным на рынке; ст. 3(1) Data Act применяется к подключенным продуктам, размещенным на рынке после 12 сентября 2026 г., если не применяются исключения по размеру предприятия по ст. 7(1). В спецификации продукта по каждой продуктовой линейке должно быть указано, применяется ли ст. 7(1), а если нет, то с какого момента размещаемые на рынке единицы соответствуют ст. 3(1).

Isak Legal консультирует производителей, компании-разработчиков программного обеспечения и их дистрибьюторов по вопросам Cyber Resilience Act, Data Act, директивы NIS2 и договорных механизмов, которые проводят эти обязанности через цепочку поставок, для компаний, учрежденных в ЕС, Швейцарии, Великобритании, США и Украине. Подробнее на наших страницах ИИ, данные и технологии и Европа, или свяжитесь с нами.

Настоящий обзор предназначен исключительно для общего ознакомления, отражает положение дел по состоянию на 15 сентября 2026 г., не является юридической консультацией и не создает отношений между юристом и клиентом. Даты начала применения взяты из ст. 71 и ст. 69(3) Регламента (ЕС) 2024/2847 и из ст. 50 Регламента (ЕС) 2023/2854, а исключения по размеру предприятия — из его ст. 7(1); порядок уведомления — из статей с 14 по 16 Регламента (ЕС) 2024/2847; штрафы — из ст. 64. Разъяснения и часто задаваемые вопросы Комиссии, а также сообщения ENISA о платформе являются разъяснениями и операционными материалами и по юридической силе стоят ниже Регламента; статьи с 18 по 20 и ст. 64 Регламента (ЕС) 2024/2847 применяются с 11 декабря 2027 г. Прежде чем действовать, проверьте актуальные тексты и даты по официальным источникам, ссылки на которые приведены выше. Для получения консультации по конкретному вопросу свяжитесь с нами.