Cyber Resilience Act 2027: a digitális termékek új CE-korszaka

A Cyber Resilience Act alapfilozófiája egyszerű, mégis forradalmi: a kiberbiztonság nem a felhasználó vagy az üzemeltető problémája, hanem a gyártóé. A 2024/2847 rendelet a digitális elemet tartalmazó terméket (azaz a hardvert és a szoftvert egyaránt) a tervezéstől a kivonásig terjedő életciklus-szemléletben szabályozza, és ezzel a CE-jelölési rendszerbe emeli a kiberbiztonsági megfelelést. Ez azt jelenti, hogy 2027. december 11-től a termék csomagolásán, adatlapján és műszaki dokumentációjában a CE-jelölés mellett a CRA-megfelelőség is megjelenik, a piacfelügyeleti hatóságok pedig jogosultak lesznek a nem megfelelő termékeket forgalomból kivonni.

A szabályozás hatálya kifejezetten széles. A jogszabály a "digitális elemet tartalmazó termék" fogalmát használja, amelybe beletartozik minden távoli adatátvitellel kommunikáló eszköz — az okosotthon-kütyüktől az ipari vezérlőrendszereken át a járműfedélzeti elektronikáig —, valamint minden olyan önálló szoftvertermék, amelyet az EU piacán forgalmaznak. Az Európai Bizottság hatásbecslése szerint a hatály több mint 50 termékkategóriát fed le, és becslések alapján akár 500 ezer érintett gazdálkodó szervezet is lehet uniós szinten — ennek jelentős része kkv (becslés: EC SWD/2024/218 final).

A CRA nem egyedülálló szabály: az EU kiberbiztonsági joganyagának (NIS2 irányelv, EU 2022/2555; 2024. évi magyar kiberbiztonsági törvény; uniós kiberbiztonsági jogszabálycsomag) második pillérévé vált. A NIS2 elsősorban a szolgáltatókra és az alapvető szolgáltatásokat nyújtó szereplőkre fókuszál, míg a CRA a termékre — a kettő együtt zárja le azt a rést, amelyet a hálózatba kapcsolt, de nem megfelelően védett eszközök jelentenek. A kkv-kat dupla terhelés fenyegeti: ha egy vállalat NIS2-érintett, a termékeire a CRA is vonatkozik.

A magyar piac szempontjából a legkritikusabb tényező a hatály szélessége. A hazai szoftverfejlesztő kkv-k, IoT-eszközgyártók, ipari automatizálási beszállítók és elektronikai forgalmazók többsége eddig nem tekintette magát kiberbiztonsági szabályozás alanyának. A CRA 2027-tel ezt a képet gyökeresen átírja: a termék forgalmazásának feltétele a tervezési, fejlesztési és támogatási folyamatok dokumentálása, a biztonságos alapbeállítás alkalmazása, a sérülékenység-kezelés és a frissítési politika nyilvánossá tétele. Aki lemarad, nem csak a hazai, hanem az egységes európai piacra is elveszítheti a hozzáférést.

2027. december 11-től a CRA teljes gyártói kötelezettségrendszere aktiválódik. A 71. cikk ezt a dátumot jelöli meg a rendelet fő alkalmazási napjaként; innentől a digitális elemet tartalmazó termék csak az I. melléklet szerinti alapvető kiberbiztonsági követelményeknek való megfeleléssel hozható forgalomba. A három sarokkövetelmény: a biztonságos alapbeállítás (secure by default), a sérülékenység-kezelés a termék teljes támogatási időtartama alatt, valamint a műszaki dokumentáció és a CE-jelölés alkalmazása. A gyártó köteles továbbá nyilvános tájékoztatást adni a támogatási időszakról, a biztonsági frissítések elérhetőségéről és a sérülékenység-bejelentési csatornákról.

A megfelelőségi útvonalak a termék kockázati osztályától függenek. A "fontos" (class I) és "kritikus" (class II) termékkategóriák — például jelszókezelők, VPN-kliensek, ipari vezérlőrendszerek, távoli hozzáférést biztosító eszközök — esetében a gyártó vagy harmonizált szabványokat alkalmaz, vagy harmadik fél általi megfelelőség-értékelésen esik át. A "nem fontos" kategóriában a gyártó önálló nyilatkozata elegendő, de a műszaki dokumentációt 5 évig meg kell őrizni. A harmonizált szabványok listáját az Európai Bizottság 2025–2026 folyamán teszi közzé; ezek hiányában a gyártó az ENISA-val egyeztetett egyedi biztonsági előírásokkal is megfelelhet.

A CE-jelölés a CRA kontextusában a korábbiaknál összetettebb jelentést hordoz. A jelölés mellé a gyártó nyilatkozata (Declaration of Conformity) társul, amelyben részletezi a termékre alkalmazott szabványokat, a kockázatelemzés eredményét, a sérülékenység-kezelési eljárást és a támogatási ciklust. A piacfelügyeleti hatóság — Magyarországon elsősorban a SZTFH — jogosult ellenőrizni a dokumentációt, a terméket laboratóriumban vizsgálni, és nem-megfelelés esetén a forgalomból kivonni, a hozzáférést korlátozni, vagy a gyártót visszahívásra kötelezni.

A magyar kkv-k számára a 2027. decemberi fő dátum előtti felkészülés legértékesebb eleme a műszaki dokumentáció előkészítése. Ez a dokumentum a termék architektúráját, a kockázatelemzést, az alkalmazott biztonsági intézkedéseket, a tesztelési eredményeket és a tervezett frissítési politikát tartalmazza. Aki ezt 2025–2026-ban elkezdi, a CE-jelölési auditigény és a tanúsítási költségek tervezhetők; aki 2027 második felében kap észbe, az európai piacra lépés ellehetetlenülhet a terméke számára.

A CRA-megfelelés felépítése három egymásra épülő szinten történik. Az első szint a gap-elemzés, amely feltárja, hogy a jelenlegi termékfejlesztési folyamatok, dokumentáció és támogatási modell mennyire felel meg a 2024/2847 rendelet I. mellékletének. A gap-elemzés eredménye egy scorecard (ponttérkép), amely 5-7 dimenzióban (kockázatkezelés, sérülékenység-kezelés, szoftverfrissítés, dokumentáció, tanúsítás, incidenskezelés) jelöli a jelenlegi állapotot és a célállapotot. A magyar kkv-knál jellemzően 8-12 hónapos megvalósítási terv rajzolódik ki, amely a 2027. decemberi határhoz vezet.

A második szint a műszaki és szervezeti intézkedések bevezetése. Ide tartozik a biztonságos alapbeállítás (például gyári jelszóházirend, titkosítási alapértékek, távoli hozzáférés korlátozása), a sérülékenység-kezelési eljárás (SBOM, azaz Software Bill of Materials, szoftver-alkatrészlista karbantartása; rendszeres függőség-audit), a bejelentési csatorna kiépítése, valamint a fejlesztési életciklusba épített biztonsági tesztelés (SAST, azaz Static Application Security Testing, statikus alkalmazás-biztonsági tesztelés; DAST, azaz Dynamic Application Security Testing, dinamikus alkalmazás-biztonsági tesztelés). Az ISO/IEC 27001 tanúsítás itt versenyelőnyt jelent, mert az információbiztonsági irányítási rendszer (ISMS) horizontálisan lefedi a CRA több követelményét.

A harmadik szint a tanúsítás és a CE-jelölés. A "fontos" és "kritikus" termékkategóriákban a gyártó vagy bejelentett szervezet (notified body) által végzett megfelelőség-értékelést kér, vagy a harmonizált szabványok alkalmazásával saját nyilatkozatot tesz. A harmonizált szabványok listája 2025–2026-ban bővül; a CEN-CENELEC (Európai Szabványügyi Bizottság) munkacsoportjai jelenleg az EN 18031-es szabványsorozatot készítik, amely a CRA alapvető követelményeit fordítja le technikai specifikációra. A magyar tanúsító szervezetek listája az NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság) és a nemzeti akkreditáló testület nyilvántartásában érhető el.

A folyamatot érdemes a NIS2-vel szinergikusan tervezni. A két szabályozás követelményrendszere között jelentős az átfedés: a kockázatkezelés, az incidenskezelés, a beszállítói lánc átvilágítása és a dokumentációs kötelezettségek mindkét keretrendszerben megjelennek. A magyar szervezetek számára 2026–2027 a párhuzamos felkészülés időszaka, és az integrált megközelítés 20-30%-os költségmegtakarítást hozhat a szeparált projektekhez képest (becslés: gyakorlati tanácsadói tapasztalat alapján).

A CRA-felkészülés nem projekt, hanem 24 hónapos átállás. A legfontosabb döntés, amit egy magyar digitális terméket fejlesztő vagy forgalmazó szervezet 2025-ben meghozhat, a felkészülés elindítása. Aki 2025 végéig nem készít gap-elemzést, 2026-ban már kapacitás- és pénzügyi hátrányba kerül, 2027-ben pedig a terméke forgalmazhatatlanná válhat. A döntéshozóknak három konkrét lépést javaslunk a következő 90 napra.

Első lépés: termékportfólió-becsatornázás. Azonosítsa a szervezete összes olyan termékét, amely digitális elemet tartalmaz és EU-piacra kerül — a saját fejlesztésű szoftvertől a beágyazott eszközökön át a forgalmazott importtermékekig. Értékelje az egyes termékek CRA-kockázati osztályát (fontos, kritikus, egyéb), és becsülje meg a megfelelőség költségét és idejét. Ez a lépés 4-6 hét, és a teljes felkészülési terv alapja.

Második lépés: szervezeti felelősség kijelölése. A CRA-követelmények teljesítése több funkciót érint — fejlesztés, termékmenedzsment, jog, minőségbiztosítás, beszerzés. Nevezzen ki egy CRA-felelőst (vagy kisebb szervezetnél külső tanácsadót), aki a 24 hónapos programot vezényli, és heti riportot készít a vezetőség felé. A 24/72 órás bejelentési kötelezettség miatt 2026. szeptember 11-től ez a szerepkör üzemkritikus lesz.

Harmadik lépés: pályázati és tanácsadói shortlist (kiválasztott szállítói lista) összeállítása. A hazai és uniós pályázati lehetőségek 2025-2026-ban nyílnak meg, és a tanúsító szervezetek kiválasztása 6-12 hónapos átfutású. Aki 2025-ben megkezdi a szállítói párbeszédet, 2026-ban kedvezőbb feltételekkel kap szolgáltatást. A NIS2-vel való átfedés miatt érdemes a két felkészülést egy projektben kezelni.

A CRA 2027-re a digitális termékek uniós belépőjegyévé válik. Aki 2025-ben nem lép, 2027-ben az európai piacról szorul ki — és a NIS2-érintett vásárlói kör elvesztésével a hazai piac is zsugorodik. A magyar gyártók, fejlesztők, importőrök előtt most 24 hónap áll, hogy a kiberbiztonságot a termékbe tervezzék, és a CE-jelölést ne utólagos teherként, hanem piaci versenyelőnyként kezeljék. A 2024 decemberi hatálybalépés és a 2026. szeptemberi bejelentési kötelezettség most jelzi: a felkészülés nem 2027-ben kezdődik, hanem a jelen hónapban.