Този акт е част от по-широкия стратегически пакет на ЕС за киберсигурност и е създаден в контекста на нарастващите киберзаплахи в цифровата икономика — от свързани потребителски устройства до критични инфраструктурни системи.
 
Защо е необходим този регламент
Съществуващите нормативни уредби в ЕС, включително Директивата за мрежова и информационна сигурност (NIS) и Регламентът за сертифициране на киберсигурността, поставят рамка за мрежови услуги и системи. Въпреки това, те не покриват изрично продуктите с цифрови елементи — хардуер и софтуер — независимо дали са предназначени за потребители или за бизнес. Регламент (ЕС) 2024/2847 запълва този пропуск, като изисква сигурност „от самото проектиране“ и през целия жизнен цикъл на продукта.
 
Обхват на регламента
Регламентът се прилага за „продукти с цифрови елементи“, дефинирани като хардуер и софтуер, чието предназначено и предвидимо използване включва директна или индиректна връзка към мрежа или друго устройство. Това включва:

• IoT устройства (напр. „умни“ домашни продукти);
• софтуерни продукти, които се предлагат на пазара като самостоятелни продукти или като част от хардуерен продукт и чието предназначено или предвидимо използване включва директна или индиректна връзка към мрежа или друго устройство;
• индустриални системи с цифрови интерфейси.

Регламентът прилага хоризонтален подход и не се прилага за продукти, които вече са обхванати от други актове на правото на ЕС, съдържащи специфични изисквания за киберсигурност, когато тези изисквания осигуряват равностойно ниво на защита.
 
Основни изисквания и принципи
1. Сигурност по проектиране („Security by Design“) и по подразбиране (“Security by Default”)
Производителите са задължени да интегрират киберсигурност още от фазата на проектиране — от архитектурното решение до дефинирането на стандартни настройки, които да осигуряват минимална експозиция на рискове. Тази концепция включва управление на риска от уязвимости, минимизиране на атакуващи точки и принципи за безопасност, заложени по подразбиране.
2. Управление на уязвимости и жизнен цикъл на продукта
Регламентът изисква производителите да имат процеси за откриване, анализ и отстраняване на уязвимости, както и предоставяне на редовни актуализации за сигурност през целия поддържан период на продукта. Производителите са длъжни да уведомяват компетентните органи и ENISA за активно експлоатирани уязвимости и сериозни инциденти със значително въздействие в сроковете, определени в регламента.
3. Документация и прозрачност
Производителите трябва да поддържат техническа документация, включително информация за компонентите, рисковете и мерките за смекчаване, както и за механизмите на поддръжка и актуализации. Това повишава прозрачността и улеснява оценката на съответствието.
4. Оценка на съответствието и маркировка CE
Продуктите с цифрови елементи, които попадат под приложното поле на регламента, трябва да преминат процедура за оценка на съответствието. Успешните оценки водят до поставяне на маркировка CE, която доказва, че продуктът отговаря на всички изисквания за киберсигурност.
 
Срокове за прилагане
Основната рамка на Регламент (ЕС) 2024/2847 ще се прилага от 11 декември 2027 г. Някои специфични изисквания, особено по отношение на уведомяване и докладване на уязвимости и киберинциденти, ще влязат в сила по-рано през 11 септември 2026 г., а част от разпоредбите започват да действат още от 11 юни 2026 г.
 
Изключения и специални случаи
Регламентът не се прилага за продукти, които вече са обхванати от други актове на правото на ЕС, съдържащи специфични изисквания за киберсигурност, когато тези изисквания осигуряват равностойно ниво на защита. Също така, open-source софтуер, който се разработва или предоставя извън рамките на търговска дейност и не се пуска на пазара като продукт, по принцип не попада в обхвата на регламента. Когато обаче open-source софтуерът се интегрира в търговски продукт или се предоставя в рамките на стопанска дейност, изискванията на регламента могат да станат приложими.
 
Въздействие върху бизнеса
Регламентът налага структурни промени в начина, по който продуктите се разработват и предоставят на пазара. За производителите това означава:

• преоценка на продуктови портфейли и архитектури;
• интегриране на управление на уязвимости и жизнен цикъл;
• разработване на вътрешни процеси за съответствие, документация и одити;
• създаване на екипи за киберсигурност и обучение на персонала.

Несъответствието може да доведе до значителни административни санкции, включително глоби, които могат да бъдат обвързани с проценти от годишния световен оборот или фиксирани максимални прагове, в зависимост от вида на нарушението.
 
Регламент (ЕС) 2024/2847 представлява значителна крачка напред в правното регулиране на киберсигурността в ЕС, като поставя единни минимални изисквания за сигурност на цифрови продукти на целия единен пазар. Това е отражение на стремежа на ЕС да защити потребителите и бизнеса от излагане на киберрискове в цялата дигитална икономика — от свързани устройства до сложни софтуерни системи.