ทีมส่วนใหญ่คิดว่ากฎหมาย Cyber Resilience Act (CRA) เป็นปัญหาในปี 2027 แต่ไม่ใช่ CRA ไม่ได้มีกำหนดวันบังคับใช้เพียงวันเดียว แต่มีไทม์ไลน์แบบแบ่งเป็นช่วงๆ โดยมีหลักชัยสำคัญ 3 ประการระหว่างปี 2024 ถึง 2027 และหลักชัยที่สำคัญที่สุดในตอนนี้จะเกิดขึ้นในอีกประมาณ 5 สัปดาห์ข้างหน้า หากกำหนดไทม์ไลน์ผิดพลาด คุณอาจเริ่มงานด้านการปฏิบัติตามกฎหมายช้าเกินไป หรือเสียเวลาหลายเดือนไปกับการเตรียมตัวสำหรับกำหนดเส้นตายที่ผิดพลาดก่อน นี่คือไทม์ไลน์ฉบับเต็มของกฎหมาย Cyber Resilience Act สิ่งที่บังคับใช้แล้ว สิ่งที่กำลังจะมา และสิ่งที่ควรให้ความสำคัญหากคุณพัฒนาหรือจำหน่ายผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลในสหภาพยุโรป
ลำดับเหตุการณ์ของพระราชบัญญัติความยืดหยุ่นทางไซเบอร์
| วันที่ | ขั้น | สิ่งที่จำเป็นจริงๆ คืออะไร |
|---|---|---|
| 10 ธ.ค. 2024 | CRA มีผลบังคับใช้ | ขณะนี้ยังไม่มีข้อผูกพันทางเทคนิคโดยตรง แต่ผลิตภัณฑ์ใด ๆ ที่ออกแบบนับจากนี้เป็นต้นไปจะถูกประเมินตามข้อกำหนดของ CRA เมื่อออกสู่ตลาด |
| ปี 2025 ถึงกลางปี 2026 | การดำเนินการและการมอบอำนาจ การประสานงาน standardส (CEN/CENELEC/ETSI) | ข้อกำหนดทางเทคนิค SBOM คำแนะนำเกี่ยวกับรูปแบบ และการจัดการช่องโหว่ standardกฎระเบียบต่างๆ เริ่มเป็นรูปเป็นร่างขึ้น คณะกรรมาธิการได้ออกกฎระเบียบการดำเนินการ (EU) 2025/2392 เมื่อวันที่ 28 พฤศจิกายน 2025 และเผยแพร่คำถามและคำตอบเกี่ยวกับการดำเนินการตาม CRA ในเดือนธันวาคม 2025 |
| 11 มิถุนายน 2026 | กรอบการทำงานของหน่วยงานประเมินความสอดคล้องมีผลบังคับใช้ | ประเทศสมาชิกเริ่มดำเนินการแต่งตั้งและแจ้งหน่วยงานที่จะทำการตรวจสอบโดยบุคคลที่สามสำหรับผลิตภัณฑ์ประเภทที่ 1 และประเภทที่ 2 |
| 27 2026 กรกฎาคม | คณะกรรมาธิการเผยแพร่แนวทางปฏิบัติที่เป็นรูปธรรม | เอกสารฉบับนี้จัดทำขึ้นเพื่อช่วยให้ผู้ผลิตทุกขนาดตีความข้อผูกพันของตนก่อนถึงกำหนดเส้นตายในเดือนกันยายน |
| 11 เจ็ด 2026 | มาตรา 14 กำหนดให้ต้องรายงานข้อมูล | ผู้ผลิตต้องรายงานช่องโหว่ที่ถูกใช้ประโยชน์อย่างต่อเนื่องและเหตุการณ์ร้ายแรงต่อ ENISA และ CSIRT ระดับชาติของตน ภายในระยะเวลา 24 ชั่วโมง / 72 ชั่วโมง / 14 วัน ข้อกำหนดนี้ใช้กับผลิตภัณฑ์ที่วางจำหน่ายในตลาดแล้ว ไม่ใช่เฉพาะผลิตภัณฑ์ใหม่เท่านั้น |
| 11 ธ.ค. 2027 | การนำ CRA มาใช้อย่างเต็มรูปแบบ | ข้อกำหนดด้านความปลอดภัยทางไซเบอร์ที่สำคัญ เอกสารทางเทคนิค การประเมินความสอดคล้อง และเครื่องหมาย CE กลายเป็นข้อบังคับสำหรับผลิตภัณฑ์ทั้งหมดที่อยู่ในขอบเขตที่วางจำหน่ายในตลาดสหภาพยุโรป |
สามของ แถวเหล่านั้นคือแถวที่จริง ๆ ผูกมัดคุณ: 10 2024 ธันวาคม (รายการ (มีผลบังคับใช้, ความเกี่ยวข้องในขั้นตอนการออกแบบ) 11 กันยายน 2026 (การรายงาน) ภาระผูกพัน (โดยเฉพาะภาระผูกพันที่กำลังใกล้เข้ามา) และ 11 2027 ธันวาคม (เต็ม แอปพลิเคชัน) แถวอื่นๆ มีไว้เพื่อ เตรียมโครงสร้างพื้นฐานให้พร้อมสำหรับสิ่งเหล่านั้น สาม.
เหตุใดวันที่ 11 กันยายน 2026 จึงเป็นวันสำคัญ กำหนดเส้นตายในการสร้างสิ่งแรก
มันเป็น น่าสนใจที่จะมองปี 2027 เป็นปีที่แท้จริง กำหนดส่งงานและปี 2026 เป็นการเตรียมความพร้อม นั่นแหละ ผิดแล้ว และนั่นคือความผิดพลาดของเรา ใช้เวลาเต็มวันในการแกะกล่อง สีสดสวย เฆซุส กัวดราโด (ซีอีโอ บริษัท ซีเจนี) และ นาริมัน อากา-ทากิเยฟ (ผู้ก่อตั้ง, SecureHabits) in 24 ชั่วโมงสำหรับการรายงาน: เอาตัวรอดจากนาฬิกาแจ้งเตือนของ CRA.
มาตรา 14 ภาระผูกพันในการรายงานเป็นอันดับแรก CRA ข้อกำหนดที่มีการใช้งานจริง ฟัน และมีผลบังคับใช้ตั้งแต่วันที่ 11 กันยายน ตั้งแต่ปี 2026 เป็นต้นไป ผลิตภัณฑ์ทุกรายการที่อยู่ในขอบเขตจะได้รับการปรับปรุงแล้ว ในตลาดสหภาพยุโรป ไม่ว่าคุณจะจัดส่งไปที่ไหนก็ตาม เมื่อไตรมาสที่แล้วหรือเมื่อห้าปีที่แล้ว ไม่มีข้อยกเว้นสำหรับผู้สูงอายุ สินค้าจะพร้อมจำหน่ายเมื่อถึงวันที่กำหนด ทันทีที่คุณตระหนักว่า ช่องโหว่ในผลิตภัณฑ์ของคุณกำลังถูกตรวจพบ ถูกเอาเปรียบอย่างชัดเจน หรือว่าคุณมี เหตุการณ์ความปลอดภัยร้ายแรง นาฬิกา เริ่ม:
- 24 ชั่วโมง สำหรับช่วงต้น คำเตือนถึง ENISA และหน่วยงานระดับชาติของคุณ ส่วนขยาย CSIRT
- 72 ชั่วโมง เต็ม การประกาศ
- 14 วัน สำหรับรอบสุดท้าย รายงาน (หรือหนึ่งเดือนสำหรับกรณีร้ายแรง) เหตุการณ์ที่ไม่เกี่ยวข้องกับสิ่งเดียว (ช่องโหว่ที่ถูกใช้ประโยชน์)
บทลงโทษสำหรับ การละเมิดที่ร้ายแรงที่สุดเกิดขึ้นได้ถึง 15 ล้านยูโร หรือ 2.5% ของยอดขายประจำปีทั่วโลกแล้วแต่จำนวนใดจะสูงกว่า
"If คุณเริ่มรับรู้ถึงช่องโหว่ที่กำลังใช้งานอยู่ คุณต้องลงมือทำ แม้ว่ามันจะเป็นแค่สินค้าก็ตาม คุณส่งสินค้าไปเมื่อสิบปีที่แล้ว ไม่มีอะไรเปลี่ยนแปลง ข้อยกเว้น 'เป็นสินค้าเก่า' ในกรณีนี้ กฎหมาย". นาริมัน อากา-ทากิเยฟ ผู้ก่อตั้ง SecureHabits (ดัดแปลงจากบันทึกเสียงเพื่อให้เข้าใจง่ายขึ้น)
“การตระหนักรู้” ในทางปฏิบัตินั้นมีลักษณะอย่างไร
ส่วนที่ทีมส่วนใหญ่ประเมินต่ำไปไม่ใช่กำหนดส่งงานเอง แต่เป็นลำดับเหตุการณ์ที่ต้องเกิดขึ้นก่อนที่นาฬิกาจะเริ่มเดิน การค้นพบใน... SCA or SAST เครื่องมือนี้ไม่ใช่เหตุการณ์ที่ต้องรายงานโดยตัวมันเอง ขั้นตอนการดำเนินการเป็นดังนี้:
- มีข้อกังวลเกิดขึ้น คำแนะนำเกี่ยวกับ CVE, รายงานการค้นหาช่องโหว่, ผลการทดสอบเจาะระบบ, การแจ้งเตือนจากโปรแกรมสแกน, การเปิดเผยข้อมูลโดยตรง
- คุณทำการตรวจสอบ โดยจัดลำดับความสำคัญตามความรุนแรง ตอนนี้ใช้งานจริงอยู่หรือแค่ทดสอบ? มีช่องโหว่ที่รู้จักหรือไม่? โค้ดของคุณเข้าถึงฟังก์ชันที่มีช่องโหว่จริงหรือไม่?
- คุณยืนยัน (หรือปฏิเสธ) การโจมตีที่เกิดขึ้นจริง เหตุการณ์ดังกล่าวจะถือเป็นอุบัติการณ์ก็ต่อเมื่อคุณได้ยืนยันแล้วว่ามีการเอาเปรียบเกิดขึ้นในโลกแห่งความเป็นจริงต่อตัวคุณเองหรือลูกค้าของคุณ
- นาฬิกาเริ่มเดินแล้ว หลังจากได้รับการยืนยันแล้ว คุณจะมีเวลา 24 ชั่วโมงสำหรับการแจ้งเตือนล่วงหน้า
ถ้าคุณข้ามขั้นตอนจาก “เราพบสิ่งผิดปกติ” ไปเป็น “เรากำลังรายงานเรื่องนี้” ทันที คุณจะทำให้ ENISA ได้รับรายงานที่ไม่จำเป็นจำนวนมาก แต่ถ้าคุณรอตรวจสอบนานเกินไป คุณก็จะพลาดโอกาสภายใน 24 ชั่วโมงในการตรวจสอบสิ่งที่ควรจะตรวจพบตั้งแต่ชั่วโมงแรก
"หากไม่มีเครื่องมือที่เหมาะสมเตรียมไว้ล่วงหน้า คุณคงยากที่จะระบุว่าผลิตภัณฑ์รุ่นใดได้รับผลกระทบภายในเวลาสามถึงสี่ชั่วโมง” Nariman Aga-Tagiyev ผู้ก่อตั้ง SecureHabits (ดัดแปลงจากบันทึกเสียงเพื่อให้เข้าใจง่ายขึ้น)
สิ่งที่ต้องสร้างให้เสร็จก่อนเดือนกันยายน ไม่ใช่ระหว่างเดือนกันยายน
มีสามสิ่งที่จะเป็นตัวกำหนดว่าทีมของคุณจะสามารถทำตามกำหนดเวลา 24 ชั่วโมงได้จริงหรือไม่เมื่อถึงเวลาสำคัญ:
- สถานะปัจจุบันที่สามารถสอบถามได้ SBOM. คุณจำเป็นต้องรู้ภายในไม่กี่นาที ไม่ใช่หลายวัน ว่าผลิตภัณฑ์เวอร์ชันใดบ้างที่มีส่วนประกอบที่กำหนด และส่วนประกอบนั้นมาจากการพึ่งพาโดยตรงหรือโดยอ้อม การสร้างผลิตภัณฑ์จริงชิ้นแรกของคุณ SBOM หลังจากที่นาฬิกาเริ่มเดินแล้ว กำหนดเวลา 24 ชั่วโมงจึงกลายเป็นพลาดไป
- การคัดกรองที่แยกความเสี่ยงที่แท้จริงออกจากปริมาณงาน องค์กรส่วนใหญ่มีบัญชีเปิดอยู่หลายพันบัญชี SCA CRA สามารถค้นพบช่องโหว่ได้ในเวลาใดเวลาหนึ่ง CRA ไม่ได้กำหนดให้คุณต้องปิดช่องโหว่ทั้งหมด แต่กำหนดให้คุณต้องดำเนินการอย่างรวดเร็วกับช่องโหว่ที่สามารถเข้าถึงได้ในโค้ดของคุณ สามารถใช้ประโยชน์ได้ในโลกไซเบอร์ และกำลังใช้งานจริงในระบบการผลิต
- ช่องทางการแจ้งเตือนที่ไม่ต้องอาศัยการตรวจสอบจากบุคคลใดบุคคลหนึ่ง dashboard. ทันทีที่พบว่าสถานการณ์เปลี่ยนจาก “ช่องโหว่” เป็น “ถูกเอาเปรียบอย่างชัดเจน” ผู้ที่เกี่ยวข้องจะต้องได้รับทราบโดยอัตโนมัติ
การบรรยายนี้จะสาธิตขั้นตอนทั้งหมดตั้งแต่ต้นจนจบในแพลตฟอร์มจริง: การกำหนดค่าผลิตภัณฑ์ในหลายแหล่งเก็บข้อมูล การเปรียบเทียบ SBOMตั้งแต่การเผยแพร่ข้อมูลแต่ละครั้ง กระบวนการจัดลำดับความสำคัญที่เปลี่ยนข้อมูลการค้นพบหลายพันรายการให้เหลือเพียงไม่กี่รายการที่สามารถเข้าถึงและนำไปใช้ประโยชน์ได้ และขั้นตอนการทำงานของสถานะเหตุการณ์ (เปิด → กำลังตรวจสอบ → ยืนยัน → แก้ไขแล้ว) ที่สร้างบันทึกการตรวจสอบซึ่งหน่วยงานกำกับดูแลและทีมกฎหมายของคุณเองจะร้องขอในที่สุด
Xygeni เข้ากับไทม์ไลน์ของกฎหมายว่าด้วยความยืดหยุ่นทางไซเบอร์ได้อย่างไร
ทั้งหมดนี้จะใช้ไม่ได้ผลหากไม่รู้ว่า ณ ขณะใดที่ช่องโหว่กลายเป็นเหตุการณ์ที่ได้รับการยืนยันแล้ว ช่องโหว่นั้นสามารถเข้าถึงได้จริงในโค้ดของคุณหรือไม่ และมีวิธีแก้ไขที่ใช้งานได้โดยไม่ทำให้ส่วนอื่นเสียหายหรือไม่ นั่นคือส่วนสำคัญที่ Xygeni ให้ความสำคัญ ASPM แพลตฟอร์มนี้ตั้งอยู่บนพื้นฐาน: มันรวบรวมข้อมูลที่ได้จากการค้นพบของคุณ SCA, SASTความลับ และ IaC ทำการสแกน (รวมถึงเครื่องมือของบุคคลที่สามที่คุณใช้งานอยู่แล้ว) และจับคู่ผลลัพธ์กับวิธีการทำงานจริงของแอปพลิเคชันของคุณ จากนั้นจะบอกคุณว่าส่วนใดเป็นความเสี่ยงที่แท้จริงและส่วนใดเป็นสัญญาณรบกวน ก่อนที่ทีมของคุณจะเสียเวลาหลายชั่วโมงในการตรวจสอบและคัดกรองด้วยตนเอง
"ช่องโหว่นี้อยู่ในฟังก์ชันเฉพาะของคอมโพเนนต์ เราจะตรวจสอบว่าโค้ดของแอปพลิเคชันของคุณเข้าถึงฟังก์ชันนั้นหรือไม่ หากไม่เข้าถึง ช่องโหว่ก็จะไม่ถูกเข้าถึง และไม่มีใครสามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อโจมตีแอปพลิเคชันของคุณได้ และหากช่องโหว่นี้ส่งผลกระทบต่อคุณ ในกรณีส่วนใหญ่เราสามารถแก้ไขได้โดยอัตโนมัติจากแพลตฟอร์มโดยตรง” เฆซุส กัวดราโด ซีอีโอของ Xygeni
นั่นคือกลไกที่เปลี่ยน "เราพบข้อบกพร่องที่ยังไม่ได้รับการแก้ไขหลายพันรายการ" ให้กลายเป็น "เราพบข้อบกพร่องที่สำคัญเพียงสิบหกรายการ" และเป็นตรรกะการเข้าถึงและการแก้ไขปัญหาแบบเดียวกันที่ต้องอยู่เบื้องหลังขั้นตอนการแจ้งเตือนของ CRA ทีมที่ต้องการทดลองใช้ก่อนกำหนดเส้นตายในเดือนกันยายนสามารถเริ่มต้นได้ในระดับนักพัฒนาซอฟต์แวร์ฟรีของ Xygeni โดยไม่มีค่าใช้จ่าย รองรับได้สูงสุด 25 ที่เก็บข้อมูล ไม่จำเป็นต้องรอจนกว่าเวลาจะเริ่มนับถอยหลังแล้วจึงจะรู้สถานะของตนเอง
ไทม์ไลน์ของกฎหมาย Cyber Resilience Act ไม่ได้เปิดโอกาสให้คิดถึงปี 2027 วันที่ 11 กันยายน 2026 คือกำหนดเส้นตายที่จะทดสอบว่าการตอบสนองต่อเหตุการณ์ของคุณได้ผลหรือไม่ ซึ่งเหลือเวลาอีกประมาณห้าสัปดาห์เท่านั้น
คำถามที่พบบ่อย
กำหนดการของกฎหมายว่าด้วยความยืดหยุ่นทางไซเบอร์ (Cyber Resilience Act) คืออะไร?
กฎระเบียบ CRA มีหลักชัยสำคัญ 3 ประการ ได้แก่ การมีผลบังคับใช้ในวันที่ 10 ธันวาคม 2024 การปฏิบัติตามข้อกำหนดการรายงานช่องโหว่และเหตุการณ์ตามมาตรา 14 ตั้งแต่วันที่ 11 กันยายน 2026 และการบังคับใช้เต็มรูปแบบ รวมถึงการประเมินความสอดคล้องและการติดเครื่องหมาย CE ตั้งแต่วันที่ 11 ธันวาคม 2027 ส่วนกรอบการทำงานของหน่วยงานประเมินความสอดคล้อง ซึ่งเป็นหลักชัยที่เกี่ยวข้อง จะมีผลบังคับใช้ตั้งแต่วันที่ 11 มิถุนายน 2026
จะเกิดอะไรขึ้นในวันที่ 11 กันยายน 2026?
ผู้ผลิตผลิตภัณฑ์ที่มีส่วนประกอบดิจิทัลที่จำหน่ายในสหภาพยุโรปต้องเริ่มรายงานช่องโหว่ที่ถูกใช้ประโยชน์อย่างจริงจังและเหตุการณ์ร้ายแรงต่อ ENISA และ CSIRT ระดับชาติของตน โดยมีระยะเวลาแจ้งเตือนล่วงหน้า 24 ชั่วโมง การแจ้งเตือนภายใน 72 ชั่วโมง และรายงานฉบับสุดท้ายภายใน 14 วัน (หรือหนึ่งเดือน)
ข้อกำหนดการรายงานนี้ใช้กับผลิตภัณฑ์ที่วางจำหน่ายในตลาดแล้วหรือไม่?
ใช่แล้ว ต่างจากการบังคับใช้เต็มรูปแบบของ CRA ในปี 2027 ข้อบังคับการรายงานในเดือนกันยายน 2026 นั้นใช้กับผลิตภัณฑ์ที่อยู่ในขอบเขตที่วางจำหน่ายในตลาดสหภาพยุโรปอยู่แล้ว ไม่ใช่เฉพาะผลิตภัณฑ์ใหม่เท่านั้น
กำหนดเส้นตายสุดท้ายของพระราชบัญญัติความยืดหยุ่นทางไซเบอร์คือเมื่อใด?
วันที่ 11 ธันวาคม 2027 นับจากวันนั้น ข้อกำหนดด้านความปลอดภัยทางไซเบอร์ที่สำคัญ เอกสารทางเทคนิค การประเมินความสอดคล้อง และข้อผูกพันเกี่ยวกับการติดเครื่องหมาย CE ของ CRA จะมีผลบังคับใช้โดยสมบูรณ์กับผลิตภัณฑ์ที่อยู่ในขอบเขตที่วางจำหน่ายในตลาดสหภาพยุโรป
วันที่ในเดือนมิถุนายน 2026 กับเดือนกันยายน 2026 แตกต่างกันอย่างไร?
วันที่ 11 มิถุนายน 2569 คือวันที่กรอบกฎหมายสำหรับการแจ้งและการแต่งตั้งหน่วยงานประเมินความสอดคล้อง (ผู้ตรวจสอบสำหรับผลิตภัณฑ์ประเภทที่ 1 และ 2) จะมีผลบังคับใช้ ซึ่งถือเป็นก้าวสำคัญในการดำเนินงานสำหรับหน่วยงานกำกับดูแลและหน่วยงานที่ได้รับแจ้ง และวันที่ 11 กันยายน 2569 คือวันที่ผู้ผลิตเองจะมีภาระผูกพันในการรายงานข้อมูล
การไม่ปฏิบัติตามกำหนดเวลาของ CRA มีบทลงโทษอะไรบ้าง?
ค่าปรับสำหรับการละเมิดที่ร้ายแรงที่สุดอาจสูงถึง 15 ล้านยูโร หรือ 2.5% ของรายได้ประจำปีทั่วโลก แล้วแต่จำนวนใดจะสูงกว่า โดยจะมีบทลงโทษในระดับที่ต่ำกว่าสำหรับการไม่ปฏิบัติตามกฎระเบียบประเภทอื่นๆ
รับชมการประชุมเต็มรูปแบบได้ที่นี่ “24 ชั่วโมงสำหรับการรายงาน: เอาตัวรอดจากนาฬิกาแจ้งเตือนของ CRAร่วมชมการสาธิตสดแบบเต็มรูปแบบเกี่ยวกับการตอบสนองต่อเหตุการณ์ฉุกเฉิน กับ Jesus Cuadrado (Xygeni) และ Nariman Aga-Tagiyev (SecureHabits) ก่อนถึงกำหนดเส้นตายวันที่ 11 กันยายน 2026!
