گزارش آسیب‌پذیری در قانون CRA اروپا: مهلت ۲۴ ساعته
از ۱۱ سپتامبر ۲۰۲۶ تولیدکنندگان محصولات دیجیتال در بازار اروپا باید آسیب‌پذیری‌های مورد بهره‌برداری را ظرف ۲۴ ساعت به سکوی ENISA گزارش دهند؛ جریمه و نکات ایران.
تحریریه آرتیلا · ۱۴۰۵/۰۷/۱۸
این مقاله در حال بازبینی حقوقی است.
تعریف: تکلیف گزارش آسیب‌پذیری در قانون CRA به الزامی گفته میشود که ماده ۱۴ مقررات (EU) 2024/2847 یا «قانون تاب‌آوری سایبری» (Cyber Resilience Act) بر تولیدکنندگان «محصولات دارای عناصر دیجیتال» گذاشته است: هر آسیب‌پذیری مورد بهره‌برداری فعال و هر حادثه شدید مؤثر بر امنیت محصول باید از ۱۱ سپتامبر ۲۰۲۶ با هشدار اولیه ۲۴ ساعته، اعلان ۷۲ ساعته و گزارش نهایی، از طریق سکوی گزارش‌دهی واحد (SRP) که آژانس امنیت سایبری اتحادیه اروپا (ENISA) راه‌اندازی کرده، به مراجع اعلام شود.
قانون تاب‌آوری سایبری مهم‌ترین قانون افقی اروپا درباره امنیت سخت‌افزار و نرم‌افزار است و از یخچال هوشمند و دوربین متصل تا اپلیکیشن و سیستم‌عامل را در بر می‌گیرد. بیشتر الزامات ماهوی آن از ۱۱ دسامبر ۲۰۲۷ اجرا میشود، اما ماده ۱۴ آن یعنی تکلیف گزارش، زودتر و از ۱۱ سپتامبر ۲۰۲۶ لازم‌الاجرا شد. ENISA در همان روز اعلام کرد «قابلیت عملیاتی اولیه» سکوی SRP مستقر شده است.
بیان قابل نقل: از ۱۱ سپتامبر ۲۰۲۶، سکوت تولیدکننده درباره آسیب‌پذیری مورد سوءاستفاده در بازار اروپا، خود یک تخلف است.
تقویم اجرای قانون CRA
طبق ماده ۷۱ متن رسمی مقررات در EUR-Lex:
- قاعده عمومی: اجرای قانون از ۱۱ دسامبر ۲۰۲۷؛
- ماده ۱۴ (تکلیف گزارش): از ۱۱ سپتامبر ۲۰۲۶؛
- فصل چهارم (مواد ۳۵ تا ۵۱، نهادهای ارزیابی انطباق): از ۱۱ ژوئن ۲۰۲۶.
صفحه رسمی کمیسیون اروپا اضافه می‌کند که تکلیف گزارش «متولیان نرم‌افزار متن‌باز» طبق بند ۳ ماده ۲۴ از ۱۱ دسامبر ۲۰۲۷ اعمال میشود. برای بحث مسئولیت متن‌باز در اروپا، مسئولیت مدل متن‌باز هوش مصنوعی را ببینید.
نکته مهم: محصولات قدیمی هم مشمول‌اند
بند ۲ ماده ۶۹ قاعده کلی را این گذاشته که محصولاتی که پیش از ۱۱ دسامبر ۲۰۲۷ به بازار عرضه شده‌اند، فقط در صورت «تغییر اساسی» تابع الزامات قانون میشوند. اما بند ۳ همان ماده استثنا می‌گذارد: تکالیف ماده ۱۴ درباره همه محصولات مشمول که پیش از آن تاریخ عرضه شده‌اند نیز اعمال میشود. یعنی تولیدکننده نمی‌تواند به این دلیل که محصولش سال‌ها پیش وارد بازار شده، از گزارش آسیب‌پذیری معاف شود.
بیان قابل نقل: در CRA، تکلیف گزارش به عقب هم نگاه می‌کند: محصول دیروز با قاعده امروز سنجیده میشود.
محصول دارای عناصر دیجیتال چیست؟
ماده ۳ مقررات، «محصول دارای عناصر دیجیتال» را محصول نرم‌افزاری یا سخت‌افزاری و راهکارهای پردازش داده از راه دور آن، از جمله اجزای نرم‌افزاری یا سخت‌افزاری که جداگانه عرضه میشوند، تعریف می‌کند. «آسیب‌پذیری مورد بهره‌برداری فعال» نیز آسیب‌پذیری‌ای است که برای آن شواهد قابل اتکا وجود دارد که یک عامل مخرب بدون اجازه مالک سامانه از آن بهره‌برداری کرده است. صرف کشف یک باگ، بدون شواهد بهره‌برداری، این تکلیف را فعال نمی‌کند، هرچند گزارش داوطلبانه طبق ماده ۱۵ ممکن است.
سه مرحله گزارش آسیب‌پذیری
بند ۲ ماده ۱۴ برای آسیب‌پذیری مورد بهره‌برداری فعال سه مرحله تعیین کرده است:
- هشدار اولیه: بدون تأخیر ناروا و در هر حال ظرف ۲۴ ساعت از آگاهی تولیدکننده، با ذکر کشورهای عضوی که تولیدکننده می‌داند محصول در آن‌ها عرضه شده است.
- اعلان آسیب‌پذیری: ظرف ۷۲ ساعت از آگاهی، شامل اطلاعات کلی درباره محصول، ماهیت بهره‌برداری و آسیب‌پذیری، اقدامات اصلاحی یا کاهنده انجام‌شده و اقداماتی که کاربران می‌توانند انجام دهند، و میزان حساسیت اطلاعات از نظر تولیدکننده.
- گزارش نهایی: حداکثر ۱۴ روز پس از در دسترس قرار گرفتن اقدام اصلاحی، شامل شرح آسیب‌پذیری و شدت آن، اطلاعات موجود درباره عامل مخرب، و جزئیات به‌روزرسانی امنیتی.
گزارش حادثه شدید
بندهای ۳ و ۴ ماده ۱۴ همین منطق را برای حادثه شدید مؤثر بر امنیت محصول اعمال می‌کنند: هشدار اولیه ظرف ۲۴ ساعت (با ذکر اینکه آیا احتمال اقدام غیرقانونی یا مخرب وجود دارد)، اعلان حادثه ظرف ۷۲ ساعت و گزارش نهایی ظرف یک ماه پس از اعلان. طبق بند ۵، حادثه وقتی «شدید» است که توان محصول در حفظ دسترس‌پذیری، اصالت، تمامیت یا محرمانگی داده‌ها یا کارکردهای حساس یا مهم را مختل کند یا بتواند مختل کند، یا به ورود یا اجرای کد مخرب در محصول یا سامانه کاربر منجر شده یا بتواند منجر شود.
تکلیف اطلاع‌رسانی به کاربران
بند ۸ ماده ۱۴ تولیدکننده را مکلف می‌کند پس از آگاهی، کاربران متأثر و در صورت اقتضا همه کاربران را از آسیب‌پذیری یا حادثه و اقدامات کاهنده مطلع کند، در صورت امکان در قالبی ساختاریافته و قابل پردازش ماشینی. اگر تولیدکننده به‌موقع اطلاع ندهد، CSIRT هماهنگ‌کننده می‌تواند خود به کاربران اطلاع دهد.
سکوی SRP و تعیین CSIRT صالح
گزارش‌ها طبق بند ۷ ماده ۱۴ و ماده ۱۶ از طریق SRP و به نقطه پایانی CSIRT هماهنگ‌کننده کشور عضوی ارسال میشود که تولیدکننده «مقر اصلی» خود را در آن دارد؛ یعنی جایی که تصمیمات امنیت سایبری محصولات عمدتاً گرفته میشود. اطلاعات هم‌زمان در دسترس ENISA قرار می‌گیرد و CSIRT دریافت‌کننده آن را با CSIRTهای دیگر کشورهای محل عرضه به اشتراک می‌گذارد. کمیسیون اروپا طبق صفحه رسمی خود، در ۱۱ دسامبر ۲۰۲۵ مقررات تفویضی درباره شرایط تأخیر در این اشتراک‌گذاری به دلایل امنیتی را تصویب کرده است.
راهنمای ENISA برای ثبت‌نام نمایندگان تولیدکننده چند نکته عملی دارد: دسترسی از طریق EU Login با احراز هویت چندعاملی است؛ انتخاب CSIRT صحیح طبق بند ۷ ماده ۱۴ بر عهده تولیدکننده است؛ اعتبارسنجی ارتباط نماینده با تولیدکننده پس از ثبت‌نام و به موازات گزارش انجام میشود و مانع ارسال گزارش نیست؛ و ENISA توصیه کرده ثبت‌نام فقط هنگام نیاز به ارسال یک گزارش مشخص انجام شود.
جریمه نقض تکلیف گزارش
طبق بند ۲ ماده ۶۴، عدم رعایت الزامات اساسی پیوست یک و تکالیف مواد ۱۳ و ۱۴ مشمول جریمه اداری تا ۱۵ میلیون یورو یا، برای شرکت‌ها، تا ۲.۵ درصد گردش مالی سالانه جهانی سال مالی قبل است، هر کدام بیشتر باشد. قواعد تفصیلی جریمه را کشورهای عضو تعیین می‌کنند و در تعیین میزان آن، ماهیت و شدت تخلف و اندازه شرکت، به‌ویژه شرکت‌های کوچک و متوسط، لحاظ میشود.
بیان قابل نقل: نقض تکلیف گزارش در CRA همان سقف جریمه نقض الزامات اساسی امنیت محصول را دارد: ۱۵ میلیون یورو یا ۲.۵ درصد گردش مالی جهانی.
پیامدها برای شرکت‌های ایرانی
برای تولیدکنندگان ایرانی نرم‌افزار، اپلیکیشن و تجهیزات اینترنت اشیا که محصولشان در بازار اتحادیه اروپا عرضه میشود، دو نکته اهمیت دارد. نخست، بند ۷ ماده ۱۴ برای تولیدکننده بدون مقر اصلی در اتحادیه ترتیبی تعیین کرده است: CSIRT کشوری که نماینده مجاز تولیدکننده برای بیشترین تعداد محصولات در آن مستقر است؛ سپس کشور واردکننده یا توزیع‌کننده‌ای که بیشترین محصولات را عرضه می‌کند؛ و در نهایت کشوری که بیشترین کاربران در آن هستند. دوم، قراردادهای توزیع و نمایندگی با شرکای اروپایی باید سازوکار اطلاع‌رسانی ۲۴ ساعته را پیش‌بینی کنند.
در حقوق داخلی ایران، در منابعی که برای این مقاله بررسی شد، قاعده‌ای مشابه تکلیف عمومی گزارش آسیب‌پذیری برای تولیدکنندگان محصولات دیجیتال یافت نشد. ماده ۷۸ قانون تجارت الکترونیکی مقرر می‌کند اگر در بستر مبادلات الکترونیکی بر اثر نقص یا ضعف سیستم مؤسسات خصوصی و دولتی، به‌جز در نتیجه قطع فیزیکی ارتباط، خسارتی به اشخاص وارد شود، این مؤسسات مسئول جبران خسارت‌اند، مگر خسارت ناشی از فعل شخصی افراد باشد. به نظر نویسنده، این ماده می‌تواند مبنای مسئولیت مدنی در برابر آسیب‌پذیری‌های امنیتی باشد، اما تکلیف پیشگیرانه گزارش ایجاد نمی‌کند. برای مباحث مرتبط، مسئولیت هک خودکار هوش مصنوعی، امنیت سایبری ماهواره و دانشنامه حقوق سایبری آرتیلا را ببینید.
پرسش‌های متداول
تکلیف گزارش آسیب‌پذیری در قانون CRA از چه تاریخی اجرا میشود؟
طبق ماده ۷۱ مقررات (EU) 2024/2847، ماده ۱۴ از ۱۱ سپتامبر ۲۰۲۶ اجرا میشود، در حالی که بیشتر الزامات دیگر از ۱۱ دسامبر ۲۰۲۷ لازم‌الاجرا میشوند.
مهلت‌های گزارش آسیب‌پذیری مورد بهره‌برداری فعال چیست؟
هشدار اولیه ظرف ۲۴ ساعت از آگاهی، اعلان آسیب‌پذیری ظرف ۷۲ ساعت و گزارش نهایی حداکثر ۱۴ روز پس از در دسترس قرار گرفتن اقدام اصلاحی. برای حادثه شدید، گزارش نهایی ظرف یک ماه پس از اعلان است.
آیا محصولاتی که قبلاً به بازار اروپا عرضه شده‌اند مشمول گزارش‌اند؟
بله. بند ۳ ماده ۶۹ صراحتاً تکالیف ماده ۱۴ را بر همه محصولات مشمولی که پیش از ۱۱ دسامبر ۲۰۲۷ عرضه شده‌اند نیز اعمال می‌کند.
جریمه نقض تکلیف گزارش در CRA چقدر است؟
تا ۱۵ میلیون یورو یا ۲.۵ درصد گردش مالی سالانه جهانی، هر کدام بیشتر باشد. قواعد تفصیلی و میزان نهایی را کشورهای عضو با توجه به شدت تخلف و اندازه شرکت تعیین می‌کنند.
شرکت ایرانی بدون دفتر در اروپا به کدام مرجع گزارش دهد؟
به CSIRT کشوری که طبق ترتیب بند ۷ ماده ۱۴ تعیین میشود: ابتدا محل نماینده مجاز، سپس واردکننده، سپس توزیع‌کننده با بیشترین محصولات، و در نهایت کشوری که بیشترین کاربران در آن هستند.
جمع‌بندی
اجرای ماده ۱۴ قانون تاب‌آوری سایبری از ۱۱ سپتامبر ۲۰۲۶ و راه‌اندازی سکوی SRP، امنیت محصولات دیجیتال در اروپا را از توصیه به تکلیف زمان‌دار تبدیل کرده است: ۲۴ ساعت برای هشدار، ۷۲ ساعت برای اعلان و گزارش نهایی پس از اصلاح، همراه با تکلیف اطلاع‌رسانی به کاربران و جریمه‌ای هم‌سطح نقض الزامات اساسی. شمول این تکلیف بر محصولات قدیمی، آن را برای هر شرکتی که امروز در بازار اروپا محصول دیجیتال دارد فوری می‌کند. شرکت‌های ایرانی صادرکننده باید روال واکنش به آسیب‌پذیری و قراردادهای نمایندگی خود را بازبینی کنند. برای مشاوره با کارشناسان آرتیلا تماس بگیرید. این مقاله اطلاع‌رسانی است و جایگزین مشاوره حقوقی نیست.
منابع
- EUR-Lex, Regulation (EU) 2024/2847 (Cyber Resilience Act), Official Journal text: https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202402847
- European Commission, Cyber Resilience Act - Reporting obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
- ENISA, The CRA Single Reporting Platform is launched (11 Sep 2026): https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
- ENISA, CRA SRP Guidance - AR User Registration (updated 12 Sep 2026): https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
- وزارت ارتباطات و فناوری اطلاعات (اداره کل فارس)، متن قانون تجارت الکترونیکی: https://fars.ict.gov.ir/ICTContent/media/image/2017/10/52758_orig.pdf