Kibernoturības akts (CRA): ceļvedis ražotājiem un importētājiem

Kas ir Kibernoturības akts

Regula (ES) 2024/2847 pieņemta 2024. gada 23. oktobrī, un tās oficiālais latviskais nosaukums ir “Kibernoturības akts”. Angļu saīsinājums CRA (Cyber Resilience Act) ir plaši lietots arī Latvijā. Regula ir horizontāla: tā attiecas uz produktiem neatkarīgi no nozares un darbojas kā produktu drošuma tiesības ar CE zīmi, atbilstības deklarāciju un tirgus uzraudzību.

Regulu piemēro produktiem ar digitāliem elementiem, kas darīti pieejami tirgū un kuru paredzētais vai pamatoti paredzamais lietojums ietver tiešu vai netiešu loģisku vai fizisku datu savienojumu ar ierīci vai tīklu (2. panta 1. punkts). Produkts ar digitāliem elementiem ir programmatūras vai aparatūras produkts un tā attālinātās datu apstrādes risinājumi, arī komponenti, kas tiek laisti tirgū atsevišķi (3. panta 1. punkts). Tvērumā ir operētājsistēmas, mobilās lietotnes, maršrutētāji, rūpnieciskie kontrolieri, viedās ierīces un komerciāli pārdota programmatūra.

Kibernoturības akta termiņi: no 2024. līdz 2028. gadam

Kibernoturības akta piemērošanas posmi

Datums	Kas sākas	Pamats
10.12.2024	Regula stājas spēkā	71. panta 1. punkts
11.06.2026	IV nodaļa – atbilstības novērtēšanas struktūru paziņošana (35.–51. pants)	71. panta 2. punkts
11.09.2026	Ražotāju ziņošanas pienākums par aktīvi izmantotām ievainojamībām un nopietniem incidentiem (14. pants)	71. panta 2. punkts
11.12.2027	Visa regula, arī pamatprasības, CE zīme un sodi; atvērtā pirmkoda pārziņu ziņošana; RED Deleģētās regulas 2022/30 atcelšana	71. panta 2. punkts; Deleģētā regula (ES) 2026/339
11.06.2028	Beidzas citu saskaņošanas aktu ES tipa pārbaudes sertifikātu derīgums kiberdrošības prasībām, ja tajos nav noteikts citādi	69. panta 1. punkts

Būtiski pārejas noteikumi ir 69. pantā. Produktiem, kas laisti tirgū pirms 2027. gada 11. decembra, regulas prasības piemēro tikai tad, ja pēc šī datuma tajos izdarīta būtiska modifikācija. Taču ziņošanas pienākums pēc 14. panta attiecas arī uz šiem produktiem. Tātad ražotājam, kura ierīce pārdota 2022. gadā un joprojām tiek lietota, par aktīvi izmantotu ievainojamību jāziņo jau tagad. Visus ES datumus vienuviet rāda sākumlapas laika līnija.

Kas nav tvērumā

Regulu nepiemēro produktiem, uz kuriem attiecas medicīnisko ierīču regulas (ES) 2017/745 un 2017/746 vai transportlīdzekļu tipa apstiprināšanas regula (ES) 2019/2144. To nepiemēro arī produktiem, kas sertificēti pēc civilās aviācijas regulas (ES) 2018/1139, jūras iekārtām pēc Direktīvas 2014/90/ES, identiskām rezerves daļām un produktiem, kas izstrādāti vienīgi valsts drošības vai aizsardzības vajadzībām (2. panta 2.–7. punkts). Deleģētā regula (ES) 2025/1535 izslēdz arī noteiktus L kategorijas transportlīdzekļu produktus.

Brīvi pieejama atvērtā pirmkoda programmatūra, kas nav darīta pieejama komercdarbības gaitā, ražotāja pienākumus nerada. Ja to iekļauj komerciālā produktā, ražotājam jāveic uzticamības pārbaude, lai komponents neapdraudētu produkta drošību (13. panta 5. punkts).

Lomas un pienākumi

Regula pienākumus sadala starp uzņēmējiem piegādes ķēdē. Viens uzņēmums var būt vairākās lomās: piemēram, importētājs, kas produktu pārdod ar savu preču zīmi, ir arī ražotājs.

Kibernoturības akta uzņēmēji un galvenie pienākumi

Loma	Kas tā ir	Galvenie pienākumi
Ražotājs	Izstrādā vai ražo produktu vai liek to izstrādāt un tirgo ar savu vārdu vai preču zīmi, par maksu vai bez maksas	Riska novērtējums, pamatprasības, ievainojamību novēršana atbalsta periodā, tehniskā dokumentācija, atbilstības novērtēšana, ES atbilstības deklarācija, CE zīme, ziņošana (13. un 14. pants)
Pilnvarotais pārstāvis	ES iedibināta persona ar ražotāja rakstisku pilnvaru	Glabā deklarāciju un dokumentāciju, sadarbojas ar uzraudzības iestādēm; nevar pārņemt ražotāja projektēšanas pienākumus (18. pants)
Importētājs	ES iedibināta persona, kas laiž tirgū produktu ar ārpus ES iedibinātas personas vārdu vai preču zīmi	Pārbauda atbilstības novērtēšanu, dokumentāciju, CE zīmi un instrukcijas; norāda savu kontaktinformāciju; informē ražotāju par ievainojamībām; glabā deklarāciju 10 gadus vai atbalsta periodā (19. pants)
Izplatītājs	Cits piegādes ķēdes dalībnieks, kas dara produktu pieejamu, neietekmējot tā īpašības	Pārbauda CE zīmi un dokumentus; neatbilstošu produktu nedara pieejamu; informē ražotāju par ievainojamībām (20. pants)
Atvērtā pirmkoda programmatūras pārzinis	Juridiska persona, kas sistemātiski atbalsta komerciālai darbībai paredzētas atvērtā pirmkoda programmatūras izstrādi un nav ražotājs	Dokumentēta kiberdrošības politika, sadarbība ar iestādēm, ierobežota ziņošana no 2027. gada 11. decembra (24. pants)

Būtiska modifikācija ir izmaiņa pēc laišanas tirgū, kas ietekmē atbilstību I pielikuma I daļas pamatprasībām vai maina novērtēto paredzēto nolūku (3. panta 30. punkts). Integratoriem, kas pielāgo citu ražotāju programmatūru un pārdod to tālāk, šī definīcija jāpārbauda katram projektam.

Kiberdrošības pamatprasības

I pielikumam ir divas daļas. Pirmā attiecas uz pašu produktu, otrā – uz ražotāja ievainojamību novēršanas procesu. Pamatā ir ražotāja kiberdrošības riska novērtējums: tas parāda, kuras prasības un kā attiecas uz konkrēto produktu, un tas jāiekļauj tehniskajā dokumentācijā (13. panta 2.–4. punkts).

Produkta īpašības (I daļa)

• tirgū bez zināmām izmantojamām ievainojamībām;
• droša konfigurācija pēc noklusējuma un iespēja atiestatīt sākotnējo stāvokli;
• ievainojamības novēršamas ar drošības atjauninājumiem, attiecīgā gadījumā automātiskiem, ar iespēju atteikties;
• aizsardzība pret nesankcionētu piekļuvi un ziņošana par to;
• datu konfidencialitāte un integritāte, piemēram, šifrējot datus glabāšanā un pārraidē;
• datu minimizēšana;
• pamatfunkciju pieejamība un noturība pret pakalpojuma atteikuma uzbrukumiem, kā arī mazāka ietekme uz citiem tīkliem;
• ierobežota uzbrukuma virsma (regulas tekstā – uzbrukuma laukumi), arī ārējās saskarnes, un mehānismi incidenta ietekmes mazināšanai;
• drošības notikumu reģistrēšana un uzraudzība;
• iespēja droši dzēst visus datus un iestatījumus.

Ievainojamību novēršana (II daļa)

• identificēt komponentus un ievainojamības, arī sagatavojot programmatūras materiālu komplektu (SBOM) mašīnlasāmā formātā vismaz augstākā līmeņa atkarībām;
• bez kavēšanās novērst ievainojamības, drošības atjauninājumus pēc iespējas izdodot atsevišķi no funkcionalitātes atjauninājumiem;
• regulāri testēt un pārskatīt produkta drošību;
• pēc labojuma publiskot informāciju par novērstajām ievainojamībām;
• ieviest koordinētas ievainojamību izpaušanas politiku un kontaktadresi ziņojumiem;
• izplatīt atjauninājumus drošā veidā un bez maksas, kopā ar ieteikumiem lietotājiem.

Praksē II daļa nozīmē produkta drošības reaģēšanas funkciju (PSIRT): kanāls ievainojamību saņemšanai, triāža, labojumu izlaides kārtība un publiski drošības paziņojumi. To nevar ieviest pēdējā mēnesī pirms 2027. gada decembra. Ja produkta arhitektūrā vēl nav izvērtēti uzbrukuma ceļi, sāciet ar produkta draudu modelēšanu: tās rezultāts ir tieši tas riska novērtējums, ko prasa 13. pants.

Atbalsta periods un dokumentu glabāšana

Ražotājs pats nosaka atbalsta periodu – laiku, kurā tas novērsīs ievainojamības. Periodam jāatspoguļo produkta paredzamais lietošanas laiks un lietotāju pamatotās cerības. Tas ir vismaz pieci gadi, izņemot gadījumus, kad produktu paredzēts lietot īsāk (13. panta 8. punkts). Komisija ar deleģētiem aktiem var noteikt minimālo periodu konkrētām kategorijām.

• Atbalsta perioda beigu datumam, vismaz gadam un mēnesim, jābūt skaidri redzamam pirkuma brīdī (13. panta 19. punkts).
• Katram atbalsta periodā izdotam drošības atjauninājumam jāpaliek pieejamam vismaz 10 gadus vai līdz atbalsta perioda beigām, ja tas ir ilgāk (13. panta 9. punkts).
• Tehnisko dokumentāciju un ES atbilstības deklarāciju glabā 10 gadus pēc laišanas tirgū vai atbalsta periodā, ja tas ir ilgāks (13. panta 13. punkts).
• Ražotājam jānorāda vienots kontaktpunkts ievainojamību ziņošanai, un lietotājiem jāvar izvēlēties saziņas veidu, ne tikai automatizētus rīkus (13. panta 17. punkts).

Atbilstības novērtēšana un CE zīme

Pirms laišanas tirgū ražotājs sagatavo tehnisko dokumentāciju (VII pielikums), veic atbilstības novērtēšanu, sagatavo ES atbilstības deklarāciju un uzliek CE zīmi (13. panta 12. punkts). 32. pants paredz četrus ceļus: iekšējā kontrole (A modulis), ES tipa pārbaude ar atbilstību tipam (B un C modulis), pilnīga kvalitātes nodrošināšana (H modulis) vai ES kiberdrošības sertifikācijas shēma.

Kuru ceļu drīkst izvēlēties, nosaka produkta kategorija. Lielākajai daļai produktu pietiek ar A moduli. III pielikuma nozīmīgajiem I klases produktiem A modulis pieļaujams tikai tad, ja pilnībā piemēroti saskaņotie standarti, kopīgās specifikācijas vai sertifikācijas shēma. II klasei un IV pielikuma kritiski svarīgajiem produktiem vajadzīga paziņotā struktūra vai sertifikācija. Kategoriju tehnisko aprakstu nosaka Īstenošanas regula (ES) 2025/2392. Kā klasi noteikt, detalizēti skaidrojam ceļvedī CRA produktu klases un novērtēšana.

Paziņotās struktūras dalībvalstis var paziņot kopš 2026. gada 11. jūnija. Ja produktam vajadzīga B+C vai H moduļa procedūra, sazinieties ar struktūru savlaicīgi: novērtēšana prasa laiku, un tā jāpabeidz pirms produkta laišanas tirgū. Mikrouzņēmumi un mazie uzņēmumi tehnisko dokumentāciju var iesniegt vienkāršotā formātā, ko noteiks Komisija (33. panta 5. punkts).

Ziņošana un lietotāju informēšana

Kopš 2026. gada 11. septembra ražotājam 24 stundu laikā jāsniedz agrīns brīdinājums par aktīvi izmantotu ievainojamību vai nopietnu incidentu, 72 stundu laikā – paziņojums, pēc tam galīgais ziņojums. Ziņojumus iesniedz ENISA vienotajā ziņošanas platformā; Latvijā tajā iesniegtos ziņojumus apstrādā CERT.LV, bet, ja platforma tehniski nav pieejama, ziņojumu sūta uz cert@cert.lv. Šis ir vienīgais CRA pienākums, kas jau ir izpildāms, tāpēc tam veltīts atsevišķs ceļvedis CRA ziņošana no 2026. gada 11. septembra.

Kibernoturības akta sodi

Sodu noteikumus pieņem dalībvalstis, bet 64. pants nosaka maksimālos apmērus. Tos uzliek tirgus uzraudzības iestādes, un tos var piemērot papildus produkta izņemšanai vai atsaukšanai.

Kibernoturības akta administratīvie naudas sodi (64. pants)

Pārkāpums	Maksimālais sods
I pielikuma pamatprasības, 13. un 14. panta pienākumi	Līdz 15 000 000 EUR vai 2,5 % no globālā gada apgrozījuma, ja tas ir vairāk
Citi pienākumi, piemēram, importētāju un izplatītāju (18.–23. pants), deklarācija, CE zīme, dokumentācija, novērtēšanas procedūras	Līdz 10 000 000 EUR vai 2 % no globālā gada apgrozījuma, ja tas ir vairāk
Nepareiza, nepilnīga vai maldinoša informācija paziņotajām struktūrām vai iestādēm	Līdz 5 000 000 EUR vai 1 % no globālā gada apgrozījuma, ja tas ir vairāk

Saikne ar citiem aktiem

• RED: Deleģētā regula (ES) 2022/30 par radioiekārtu kiberdrošību ir piemērojama kopš 2025. gada 1. augusta, bet ar Deleģēto regulu (ES) 2026/339 tiek atcelta no 2027. gada 11. decembra, lai produkti nebūtu pakļauti divām paralēlām prasību kopām.
• MI akts: augsta riska MI sistēmas, kas atbilst CRA pamatprasībām un apliecinātas ES atbilstības deklarācijā, uzskata par atbilstīgām MI akta 15. panta kiberdrošības prasībām (CRA 12. pants). Sīkāk ceļvedī MI sistēmu kiberdrošība.
• NIS2: NIS2 regulē organizācijas, CRA – produktus. NIS2 vienības, iepērkot produktus, piegādes ķēdes vērtēšanā varēs balstīties uz CE zīmi un ražotāja atbalsta periodu.
• Publiskais iepirkums: dalībvalstīm jānodrošina, ka iepirkumos ņem vērā atbilstību pamatprasībām un ražotāja spēju novērst ievainojamības (5. panta 2. punkts).

Darba plāns līdz 2027. gada decembrim

1. Inventarizējiet produktus un versijas, kuras pārdosiet pēc 2027. gada 11. decembra, un nosakiet savu lomu katram.
2. Nosakiet katra produkta kategoriju un novērtēšanas ceļu; ja vajadzīga paziņotā struktūra, sazinieties ar to.
3. Uzrakstiet riska novērtējumu katram produktam un sasaistiet to ar I pielikuma prasībām.
4. Ieviesiet SBOM ģenerēšanu būvēšanas procesā un atkarību ievainojamību uzraudzību.
5. Publicējiet koordinētas ievainojamību izpaušanas politiku un vienoto kontaktpunktu.
6. Izlemiet atbalsta periodu un pārbaudiet, vai bizness spēj to finansēt.
7. Sagatavojiet tehniskās dokumentācijas un ES atbilstības deklarācijas veidnes.
8. Importētājiem un izplatītājiem: papildiniet piegādātāju līgumus ar CRA dokumentu, atbalsta perioda un ievainojamību paziņošanas prasībām.

Ja jāizvērtē vairāki akti vienlaikus, piemēram, CRA, RED un MI akts, sāciet ar sākumlapas regulējuma navigatoru.