Обов’язки щодо повідомлення за Регламентом ЄС про кіберстійкість (Cyber Resilience Act) з 11 вересня 2026 р. та обов’язок щодо проєктування за Регламентом ЄС про дані (Data Act) для під’єднаних продуктів, введених в обіг після 12 вересня

Чому обов’язок щодо повідомлення почав діяти раніше за решту Регламенту

Cyber Resilience Act набрав чинності 10 грудня 2024 р. і застосовується в повному обсязі з 11 грудня 2027 р.: суттєві вимоги до кібербезпеки з Додатка I, оцінка відповідності, маркування CE та механізм ринкового нагляду починають діяти саме тоді (ст. 71(2)). Дві частини було введено раніше. Глава IV про нотифікацію органів з оцінки відповідності застосовується з 11 червня 2026 р., щоб такі органи існували до того, як вони знадобляться виробникам. Стаття 14, обов’язок щодо повідомлення, застосовується з 11 вересня 2026 р. А ст. 69(3) передбачає, що обов’язки, встановлені ст. 14, застосовуються до всіх продуктів з цифровими елементами у сфері дії Регламенту, введених в обіг до 11 грудня 2027 р., тож обов’язок щодо повідомлення не обмежується новими продуктами: продукт, проданий у ЄС у 2024 році, підпадає під нього з 11 вересня 2026 р. так само, як і продукт, який продадуть наступного року.

Для повідомлення не потрібні ні оцінка відповідності, ні маркування CE; потрібні виробник, який знає, що вразливість у його продукті експлуатують або що інцидент порушив безпеку продукту, і канал зв’язку з органами влади. Стаття 16 доручає ENISA створити цей канал, єдину платформу для повідомлень. 11 вересня 2026 р. ENISA повідомило, що розгорнуло платформу на рівні початкової операційної готовності (initial operating capability), а сторінка Комісії щодо повідомлень описує платформу як таку, що працює з цієї дати. 27 липня 2026 р. Комісія опублікувала роз’яснення щодо застосування Регламенту (C(2026) 5252), які розглядають обов’язки щодо повідомлення у своєму розділі 9, а 4 вересня 2026 р. оновила свої відповіді на поширені запитання; обидва документи є роз’ясненнями й за юридичною силою стоять нижче за Регламент.

Чого вимагає ст. 14

Обов’язок покладено на виробника, якого ст. 3 визначає як фізичну або юридичну особу, що розробляє чи виготовляє продукти з цифровими елементами або замовляє їхнє проєктування, розроблення чи виготовлення і реалізує їх на ринку під своїм іменем або торговельною маркою, за плату, з метою монетизації чи безоплатно. Його тригерами є дві події. Згідно зі ст. 14(1) виробник повинен повідомити про будь-яку активно експлуатовану вразливість у продукті, про яку йому стало відомо; згідно зі ст. 14(3) — про будь-який тяжкий інцидент, що впливає на безпеку продукту. Стаття 14(5) встановлює критерій тяжкості: інцидент є тяжким, якщо він негативно впливає або здатний негативно вплинути на спроможність продукту захищати доступність, автентичність, цілісність або конфіденційність чутливих чи важливих даних або функцій, або якщо він призвів або здатний призвести до впровадження чи виконання шкідливого коду в продукті або в мережевих та інформаційних системах користувача. Власну оцінку цих формулювань виробник має зробити протягом кількох годин після виявлення; опублікованою допомогою слугують роз’яснення Комісії та її відповіді на поширені запитання.

Відлік строків починається з моменту, коли виробникові стало відомо, і кожний етап має бути виконаний без невиправданої затримки та в будь-якому разі протягом зазначеного строку. Для активно експлуатованої вразливості ст. 14(2) вимагає раннього попередження протягом 24 годин із зазначенням, де це застосовно, держав-членів, на території яких, як відомо виробникові, продукт було надано на ринку; повідомлення про вразливість протягом 72 годин, якщо інформацію ще не було надано, із загальною інформацією про продукт, характером експлойту та вразливості, будь-якими вжитими коригувальними або пом’якшувальними заходами чи заходами, яких можуть ужити користувачі, і зазначенням того, наскільки чутливою є інформація; та остаточного звіту не пізніше ніж через 14 днів після того, як коригувальний або пом’якшувальний захід стане доступним. Для тяжкого інциденту ст. 14(4) вимагає раннього попередження протягом 24 годин із зазначенням щонайменше того, чи є підозра, що інцидент спричинено протиправними або зловмисними діями, повідомлення про інцидент протягом 72 годин та остаточного звіту протягом одного місяця після подання повідомлення про інцидент. Стаття 14(8) додає обов’язок перед ринком: після того, як виробникові стало відомо про активно експлуатовану вразливість або тяжкий інцидент, він повинен поінформувати користувачів продукту, яких це стосується, а в належних випадках усіх користувачів, про вразливість або інцидент і, за необхідності, про заходи зі зменшення ризику та коригувальні заходи, які вони можуть застосувати, у належних випадках у структурованому машиночитаному форматі; якщо виробник не інформує користувачів своєчасно, це може зробити CSIRT.

Повідомлення надходить одразу двом адресатам: CSIRT, призначеній координатором у відповідній державі-члені, та ENISA, через єдину платформу для повідомлень (ст. 14(1) і (3) у поєднанні зі ст. 16). Яка держава-член є відповідною, визначає ст. 14(7). Для виробника з основним місцем здійснення діяльності (main establishment) в ЄС це держава-член цього основного місця: держава-член, у якій переважно ухвалюють рішення щодо кібербезпеки його продуктів, або, якщо таку державу-член визначити неможливо, держава-член, у якій виробник має підрозділ із найбільшою кількістю працівників у ЄС. Якщо виробник не має основного місця здійснення діяльності в ЄС, стаття проходить перелік по черзі, виходячи з інформації, доступної виробникові: держава-член уповноваженого представника, який діє щодо найбільшої кількості його продуктів, далі імпортера, який вводить в обіг найбільшу кількість, далі розповсюджувача, який надає на ринку найбільшу кількість, і нарешті держава-член із найбільшою кількістю користувачів. Отже, швейцарський, британський або американський виробник без основного місця здійснення діяльності в ЄС на практиці обирає свою CSIRT тоді, коли призначає уповноваженого представника.

Стаття 15 дозволяє виробникам та іншим особам добровільно повідомляти про вразливості, кіберзагрози, інциденти та випадки, що могли призвести до інциденту (near misses). Згідно зі ст. 16(2) CSIRT, яка першою отримує повідомлення, поширює його через платформу серед CSIRT держав-членів, у яких продукт було надано на ринку, а за виняткових обставин може відкласти поширення з обґрунтованих причин, пов’язаних із кібербезпекою; Делегований регламент (ЄС) 2026/881, ухвалений на підставі ст. 14(9), визначає умови застосування цих причин. Жодне з цих положень не змінює строків для виробника.

Хто ще входить до ланцюга

Імпортери та розповсюджувачі не повідомляють за ст. 14, а їхні власні обов’язки застосовуються разом із рештою Регламенту з 11 грудня 2027 р. Відтоді імпортер повинен інформувати виробника та органи ринкового нагляду (market surveillance authorities), якщо продукт становить значний ризик для кібербезпеки, і повинен без невиправданої затримки інформувати виробника про вразливість, про яку йому стало відомо (ст. 19(3) і (5)); ст. 20(3) і (4) покладають паралельні обов’язки на розповсюджувачів. Стаття 18 про уповноважених представників також застосовується лише з цієї дати, хоча ст. 14(7) уже використовує місцезнаходження представника для вибору CSIRT. Із початком її застосування ст. 18(2) виключає з мандата обов’язки виробника, передбачені ст. з 13(1) по (11), першим абзацем ст. 13(12) (складання технічної документації) та ст. 13(14), а ст. 18(3) вимагає, щоб мандат щонайменше дозволяв представникові зберігати декларацію ЄС про відповідність і технічну документацію в розпорядженні органів ринкового нагляду, надавати інформацію на обґрунтований запит і співпрацювати щодо заходів з усунення ризиків. Стаття 14 не належить до виключених обов’язків. На нашу думку, мандат може доручити представникові подання повідомлень, але сам обов’язок і ризик відповідальності за запізніле або неподане повідомлення залишаються за виробником.

Програмне забезпечення з відкритим вихідним кодом (open source) розглядається окремо. Регламент застосовується до продуктів, наданих на ринку, що ст. 3 визначає через постачання у процесі комерційної діяльності, а п. 18 преамбули пояснює, що вільне програмне забезпечення з відкритим вихідним кодом, яке постачають поза комерційною діяльністю, на цій підставі перебуває поза його сферою дії; обов’язки розпорядників програмного забезпечення з відкритим вихідним кодом (open-source software stewards) за ст. 24 застосовуються лише з 11 грудня 2027 р., коли ст. 24(3) поширить на розпорядників окремі частини ст. 14. Компанія, яка інтегрує компонент з відкритим вихідним кодом у продукт, який вона вводить в обіг, є виробником цього продукту, і обов’язок за ст. 14 щодо цього продукту є її власним.

Санкції передбачено ст. 64, яка застосовується з 11 грудня 2027 р. Вона встановлює максимальні адміністративні штрафи в розмірі 15 млн євро або, для підприємства, 2,5 % загального світового річного обороту за попередній фінансовий рік, залежно від того, яка сума більша, за порушення Додатка I та ст. 13 і 14; 10 млн євро або 2 % за порушення обов’язків, перелічених у ст. 64(3), зокрема обов’язків імпортерів і розповсюджувачів; і 5 млн євро або 1 % за неправильну, неповну або оманливу інформацію, надану нотифікованим органам (notified bodies) або органам ринкового нагляду у відповідь на запит. Згідно зі ст. 64(10) у редакції виправлення (corrigendum) від 2 липня 2025 р. виробники, які є мікропідприємствами або малими підприємствами, не штрафуються за пропуск 24-годинного строку раннього попередження. Штрафи накладають органи держав-членів за національними правилами з грудня 2027 р.; обов’язок щодо повідомлення застосовується вже зараз.

Data Act: доступ на рівні проєктування для продуктів, введених в обіг після 12 вересня 2026 р.

Друга дата стосується іншого акта. Data Act, Регламент (ЄС) 2023/2854, застосовується з 12 вересня 2025 р., і передбачені його ст. 4 і 5 права користувачів на доступ до даних, які генерують під’єднані продукти та пов’язані послуги, і на їхнє спільне використання вже є обов’язковими для володільців даних (data holders). Стаття 3(1) — це обов’язок щодо проєктування: під’єднані продукти мають бути спроєктовані та виготовлені, а пов’язані послуги спроєктовані та надані так, щоб дані продукту та дані пов’язаної послуги, включно з відповідними метаданими, необхідними для їхнього тлумачення та використання, були за замовчуванням легко, безпечно, безоплатно, у вичерпному, структурованому, загальновживаному та машиночитаному форматі і, де це доречно й технічно здійсненно, безпосередньо доступними для користувача. Стаття 50 застосовує цей обов’язок до під’єднаних продуктів і пов’язаних із ними послуг, введених в обіг після 12 вересня 2026 р. Продукт, введений в обіг у цю дату або раніше, перебуває поза ст. 3(1), але не поза правами доступу, які поширюються на його дані. Стаття 7(1) обмежує дію всієї глави II, включно зі ст. з 3 по 5: її обов’язки не застосовуються до даних, згенерованих під час використання під’єднаних продуктів, виготовлених або спроєктованих мікропідприємством чи малим підприємством, або пов’язаних послуг, наданих таким підприємством, якщо воно не має партнерського або пов’язаного підприємства, яке не є мікро- чи малим, і не залучене як субпідрядник для виготовлення чи проєктування продукту або для надання послуги. Те саме стосується підприємства, яке є середнім менше одного року, і під’єднаних продуктів протягом одного року після того, як середнє підприємство ввело їх в обіг. Розмір визначають за Додатком до Рекомендації Комісії 2003/361/EC за кількістю працівників разом з оборотом або підсумком балансу, з додаванням даних партнерських і пов’язаних підприємств, тому структуру групи та наявність субпідряду слід перевірити до того, як застосовувати наведені нижче пункти.

Стаття 3(1) — це вимога до продукту, тому вона сягає проєктної документації та ланцюга постачання компонентів, а також умов надання послуг. Практичний наслідок для виробників за межами ЄС випливає зі ст. 1(3), яка поширює Регламент на виробників під’єднаних продуктів, введених в обіг у ЄС, і надавачів пов’язаних послуг незалежно від місця їхнього заснування, а також на володільців даних, які надають дані отримувачам у ЄС. Стаття 2(22) визначає введення в обіг (placing on the market) як перше надання під’єднаного продукту на ринку ЄС, тож за цим визначенням критерій застосовується до кожної одиниці окремо: під’єднаний пристрій, уперше наданий на ринку ЄС у жовтні 2026 року, повинен відповідати ст. 3(1), якщо до нього не застосовується ст. 7(1), а одиниця тієї самої моделі, введена в обіг до 13 вересня 2026 р., не повинна.

Що дві дати змінюють у договорах і процедурах

Змінюються чотири документи. Перший — процедура реагування на інциденти: їй потрібні правило для визначення того, що є «активно експлуатованим» і «тяжким», призначена особа, яка може подати повідомлення на платформі протягом 24 годин, зокрема у вихідні, облікові записи EU Login, яких вимагає платформа, і шаблони для трьох етапів. Другий — мандат уповноваженого представника для виробників за межами ЄС, у якому має бути зазначено, чи подає представник повідомлення за ст. 14, на підставі якої інформації та в який внутрішній строк, а також CSIRT якої держави-члена ця домовленість обирає за ст. 14(7). Третій — договір постачання та дистрибуції: постачальники компонентів мають бути зобов’язані розкривати виробникові вразливості у строк, який залишає запас для 24-годинного раннього попередження, а імпортери та розповсюджувачі мають бути зобов’язані вже зараз передавати далі те, чого з 11 грудня 2027 р. вимагатимуть від них ст. 19 і 20. Четвертий — специфікація продукту для всього, що вводиться в обіг на ринку ЄС після 12 вересня 2026 р., у якій слід зафіксувати, чи застосовується ст. 7(1), а якщо ні, то як виконано ст. 3(1) і як оброблятимуться дані, що є комерційною таємницею, за ст. з 4(6) по (8): їх розкривають лише після запровадження заходів конфіденційності, а притримати їх або відмовити в їхньому наданні можна лише на умовах, передбачених ст. 4(7) і (8).

На нашу думку, обов’язок щодо повідомлення слід закрити першим, оскільки він уже застосовується до продуктів, які компанія продала роки тому, оскільки його строки відлічуються годинами і оскільки згідно зі ст. 16(3) те, про що компанія повідомляє, передають органам ринкового нагляду, які з грудня 2027 р. забезпечуватимуть виконання решти Регламенту.

Що це означає для вас

• Обов’язок щодо повідомлення вже застосовується до того, що ви продали. Стаття 69(3) поширює ст. 14 на всі продукти з цифровими елементами у сфері дії Регламенту, введені в обіг до 11 грудня 2027 р. Складіть перелік продуктів з цифровими елементами на ринку ЄС, старих і нових, і закріпіть за кожним відповідальну особу.
• Забезпечте 24-годинну готовність до того, як вона знадобиться. Створіть облікові записи EU Login із багатофакторною автентифікацією для осіб, які подаватимуть повідомлення, визначте, хто діє від імені виробника на платформі ENISA (ENISA просить виробників реєструватися лише тоді, коли настає строк повідомлення), напишіть правило для визначення активно експлуатованих вразливостей і тяжких інцидентів за критеріями ст. 14(5) і відпрацюйте три етапи, маючи під рукою роз’яснення Комісії від 27 липня 2026 р.
• Виробникам за межами ЄС: знайте, яку CSIRT обирає ст. 14(7). Спершу перевірте, чи не визначає ст. 14(7) ваше основне місце здійснення діяльності як розташоване в ЄС, зокрема через резервне правило про державу-член вашого підрозділу з найбільшою кількістю працівників у ЄС; без основного місця здійснення діяльності там держава-член визначається за уповноваженим представником, який діє щодо найбільшої кількості продуктів, далі за імпортером, далі за розповсюджувачем, далі за користувачами. Включіть до мандата представника завдання подавати повідомлення, порядок передавання інформації та внутрішній строк.
• Прив’яжіть ланцюг постачання до своїх строків. Постачальники компонентів і програмного забезпечення мають бути зобов’язані розкривати вразливості достатньо швидко для раннього попередження; імпортери та розповсюджувачі мають бути зобов’язані вже зараз передавати далі те, чого з 11 грудня 2027 р. вимагатимуть від них ст. 19 і 20. Обом цим положенням місце в договорі, із засобами правового захисту на випадок порушення.
• Розрізняйте дві вересневі дати. Стаття 14 CRA застосовується до продуктів, уже введених в обіг; ст. 3(1) Data Act застосовується до під’єднаних продуктів, введених в обіг після 12 вересня 2026 р., якщо не застосовуються винятки за розміром підприємства, передбачені ст. 7(1). У специфікації продукту для кожної продуктової лінійки має бути зазначено, чи застосовується ст. 7(1), а якщо ні, то з якого моменту одиниці, що вводяться в обіг, відповідають ст. 3(1).

Isak Legal консультує виробників, компанії-розробників програмного забезпечення та їхніх розповсюджувачів з питань Cyber Resilience Act, Data Act, директиви NIS2 і договірних механізмів, які проводять ці обов’язки через ланцюг постачання, для компаній, заснованих у ЄС, Швейцарії, Великій Британії, Сполучених Штатах та Україні. Докладніше на наших сторінках ШІ, дані та технології і Європа, або зв’яжіться з нами.

Цей огляд призначений виключно для загального ознайомлення, відображає стан справ на 15 вересня 2026 р., не є юридичною консультацією та не створює відносин між юристом і клієнтом. Дати початку застосування взято зі ст. 71 і ст. 69(3) Регламенту (ЄС) 2024/2847 та зі ст. 50 Регламенту (ЄС) 2023/2854, а винятки за розміром підприємства — з його ст. 7(1); порядок повідомлення — зі статей з 14 по 16 Регламенту (ЄС) 2024/2847; штрафи — зі ст. 64. Роз’яснення та відповіді Комісії на поширені запитання, а також повідомлення ENISA про платформу є роз’ясненнями та операційними матеріалами й за юридичною силою стоять нижче за Регламент; ст. з 18 по 20 і ст. 64 Регламенту (ЄС) 2024/2847 застосовуються з 11 грудня 2027 р. Перш ніж діяти, перевірте актуальні тексти та дати за офіційними джерелами, посилання на які наведено вище. Щоб отримати консультацію щодо конкретного питання, зв’яжіться з нами.