Тепловой насос с Wi-Fi-модулем или контроллер холодильной установки с удалённым доступом для Евросоюза теперь не только климатическое оборудование, но и потенциальная точка кибератаки. Закон ЕС о киберустойчивости (Cyber Resilience Act) уже обязывает производителей сообщать об уязвимостях, а с декабря 2027 г. без защиты от взлома такое оборудование не получит маркировку CE.
Регламент (ЕС) 2024/2847 распространяется на все продукты с цифровыми элементами, которые продаются на рынке ЕС, — от бытовой электроники до промышленных систем. Для отрасли ОВиК это прежде всего подключаемые термостаты, тепловые насосы, контроллеры холодильных систем и вентиляции, системы автоматизации и управления зданиями (BACS), устройства удалённого мониторинга и IoT-шлюзы. Попадает ли под регламент конкретная модель, зависит от её характеристик, назначения и исключений, предусмотренных законодательством.
24 часа на первое сообщение
Первая жёсткая обязанность уже действует: с 11 сентября 2026 г. производитель, узнавший об активно эксплуатируемой уязвимости или серьёзном инциденте безопасности, должен в течение 24 ч направить раннее предупреждение, а в течение 72 ч — подробное уведомление через единую платформу Агентства ЕС по кибербезопасности (ENISA). Требование касается и продукции, которая уже продаётся на рынке ЕС.
Что нужно сделать до декабря 2027 г.
С 11 декабря 2027 г. регламент применяется в полном объёме. К этому сроку производители должны оценить киберриски каждого продукта, обеспечить защиту от несанкционированного доступа, наладить работу с уязвимостями и выпуск обновлений безопасности в течение заявленного срока поддержки, проверять сторонние программные компоненты и вести перечень программных компонентов (SBOM). Соответствие этим требованиям становится частью процедуры оценки для маркировки CE. За нарушение основных требований регламент предусматривает штрафы до 15 млн евро или до 2,5 % мирового годового оборота компании.
Требования касаются всех, кто поставляет оборудование на рынок ЕС, независимо от страны производства.
