Регламент (ЕС) 2024/2847 – по-известен като Cyber Resilience Act (CRA, Акт за киберустойчивост) – вече е част от правната рамка на Европейския съюз. Регламентът влезе в сила на 10 декември 2024 г., като по-голямата част от разпоредбите му ще се прилагат от 11 декември 2027 г. Част от задълженията, свързани с уведомяване и докладване на уязвимости, започват да действат през 2026 г. Фокусът вече не е какво предвижда регламентът, а дали организациите са готови да го прилагат.
 
2026–2027 г.: период на реална подготовка
Въпреки че пълното прилагане предстои през декември 2027 г., организациите, които разработват или пускат на пазара продукти с цифрови елементи, следва да използват 2026 г. като период за структуриране на вътрешните процеси.
На практика това означава:

• извършване на вътрешен gap analysis спрямо изискванията на CRA;
• идентифициране на всички продукти и цифрови компоненти в портфолиото;
• преглед на архитектурните решения и зависимостите от външни доставчици;
• формализиране на процеси за управление на уязвимости и актуализации.

CRA не въвежда еднократно задължение за съответствие, а изисква устойчиви процеси през целия жизнен цикъл на продукта.
 
От технически въпрос към управленска отговорност
Регламент (ЕС) 2024/2847 трансформира киберсигурността от оперативна ИТ функция в регулаторно задължение с управленско измерение.
Решенията относно използваните софтуерни компоненти, open-source библиотеките, периодите на поддръжка и механизмите за актуализация и реакция при инциденти вече имат пряко правно значение.
Това предполага ясно разпределение на вътрешната отговорност и ангажираност на управителните органи. Липсата на структурирана рамка за вземане на решения може да доведе до регулаторен риск, дори при наличие на технически компетентни екипи.
 
Веригата на доставки – критична зона на риск
Един от съществените ефекти на CRA е разширяването на отговорността по веригата на доставки. Производителят, който пуска продукт на пазара на ЕС, отговаря за съответствието на целия продукт, включително интегрираните компоненти и решения от трети страни.
На практика това води до:

• необходимост от проследимост на използваните библиотеки и модули;
• по-стриктни договорни клаузи относно киберсигурност и поддръжка;
• повишени изисквания към документацията;
• по-голям контрол върху външните разработчици и доставчици.

Използването на open-source софтуер не освобождава производителя от отговорност, когато той е интегриран в търговски продукт. Затова управлението на зависимостите се превръща в ключов елемент от подготовката за 2027г.
 
Въздействие върху продуктовата стратегия
Интегрирането на изискванията на Cyber Resilience Act неизбежно влияе върху начина, по който се разработват и позиционират продуктите.
В краткосрочен план това може да доведе до:

• удължаване на цикъла на разработка;
• допълнителни разходи за тестване и документация;
• по-тясна координация между правни, технически и управленски екипи.

В средносрочен и дългосрочен план обаче това създава предвидимост, намалява вероятността от регулаторни блокажи и повишава доверието на клиенти и партньори.
За международните компании стандартите, въведени чрез CRA, могат да се превърнат в част от глобалната им продуктова политика, дори извън ЕС.
 
Санкции и пазарен риск
Несъответствието с изискванията на регламента може да доведе до значителни административни санкции.
При определени нарушения глобите могат да достигнат до 15 000 000 евро или до 2,5 % от годишния световен оборот на предприятието, в зависимост от това кое е по-високо.
Наред с финансовите последици съществува и:

• риск от ограничаване или забрана за пускане на продукта на пазара;
• изтегляне на продукти;
• репутационни щети;
• договорна отговорност към клиенти и партньори.

В този контекст подготовката за 2027 г. следва да се разглежда като елемент от цялостното управление на регулаторния и бизнес риска.
 
Сигурността като конкурентно предимство
Регламентът въвежда минимален стандарт за киберсигурност на продуктите на единния европейски пазар. Организации, които надграждат над този минимум, могат да превърнат съответствието в стратегическо предимство.
Компании, които могат да демонстрират:

• систематично управление на уязвимости;
• ясно дефиниран период на поддръжка;
• прозрачност относно архитектурата и актуализациите;
• формализирани вътрешни процеси,

ще бъдат по-предпочитани партньори при корпоративни и публични възложители.
 
Регламент (ЕС) 2024/2847 не е просто техническа регулация. Той променя начина, по който цифровите продукти се проектират, управляват и пускат на пазара в Европейския съюз.
Периодът до 2027 г. предоставя възможност за структурирана и стратегическа подготовка. Организациите, които използват този период активно, ще намалят регулаторния риск, ще укрепят управленската си рамка и ще подобрят пазарната си позиция в среда, в която киберсигурността вече е неразделна част от бизнес моделите.