الاتحاد الأوروبي قانون المرونة السيبرانية الأوروبي (CRA)

يشمل CRA الأجهزة والبرمجيات التي يتضمن استخدامها المقصود اتصال بيانات مباشرًا أو غير مباشر بجهاز أو شبكة – بما في ذلك المكوّنات المطروحة في السوق بشكل منفصل. وتقع الالتزامات في المقام الأول على الشركات المصنِّعة، بمجرد إتاحة المنتج في السوق الأوروبية؛ أما المستوردون والموزعون فتسري عليهم التزامات فحص وتعاون متدرجة. وتُستثنى مجالات المنتجات التي لها تنظيمات قطاعية خاصة – مثل الأجهزة الطبية والمركبات والطيران والملاحة البحرية – وكذلك البرمجيات الحرة ومفتوحة المصدر خارج النشاط التجاري.

تصنّف اللائحة المنتجات بحسب المخاطر: الغالبية العظمى تُعدّ منتجات قياسية وتخضع لتقييم ذاتي من الشركة المصنِّعة. وتنقسم المنتجات المهمة وفق الملحق III إلى الفئة I (19 فئة فرعية، منها مديرو كلمات المرور والمتصفحات ومنتجات VPN وأنظمة التشغيل وأجهزة التوجيه وأنظمة SIEM) والفئة II (4 فئات فرعية: برامج المحاكاة الافتراضية وبيئات تشغيل الحاويات، وجدران الحماية وأنظمة كشف التسلل/منعه، والمعالجات الدقيقة ووحدات التحكم الدقيقة المقاومة للعبث). وبالنسبة للمنتجات الحرجة وفق الملحق IV – ومنها بوابات العدادات الذكية والبطاقات الذكية والعناصر الآمنة – يمكن فرض شهادة أوروبية إلزامية للأمن السيبراني. وتحدد اللائحة التنفيذية (EU) 2025/2392 الصادرة في 28 نوفمبر 2025 الأوصاف الفنية للفئات؛ والمعيار الحاسم للتصنيف هو الوظيفة الأساسية للمنتج.

يحدد الملحق I متطلبات الأمن السيبراني الأساسية في جزأين. يتعلق الجزء I بخصائص المنتج: يجب تطوير المنتجات استنادًا إلى تقييم للمخاطر، وإتاحتها دون ثغرات أمنية معروفة قابلة للاستغلال، وتسليمها بإعدادات افتراضية آمنة؛ ويجب معالجة الثغرات الأمنية عبر تحديثات أمنية – قابلة للتثبيت تلقائيًا افتراضيًا، مع إمكانية إلغاء الاشتراك. ويتطلب الجزء II عمليات لمعالجة الثغرات الأمنية: قائمة مكوّنات البرمجيات (SBOM) بصيغة شائعة قابلة للقراءة آليًا على الأقل للمستويات العليا من التبعيات، وسياسة للإفصاح المنسَّق، ونقطة اتصال للإبلاغ عن الثغرات الأمنية، إضافة إلى اختبارات منتظمة وتوزيع التحديثات الأمنية دون تأخير ومجانًا. ولا يشترط CRA نشر SBOM؛ وكمساعدة عملية للبدء تحدد المبادئ التوجيهية الفنية BSI TR-03183 من بين أمور أخرى محتويات SBOM وصيغها.

اعتبارًا من 11 سبتمبر 2026 يجب على الشركات المصنِّعة الإبلاغ عن الثغرات الأمنية المستغَلة فعليًا والحوادث الجسيمة ذات التأثير على أمن المنتج – في آن واحد إلى CSIRT المعيَّن كمنسِّق وإلى ENISA عبر منصة الإبلاغ المركزية وفق المادة 16. ويسري إجراء من ثلاث مراحل: إنذار مبكر خلال 24 ساعة من العلم، وإبلاغ تفصيلي خلال 72 ساعة، وتقرير ختامي بالنسبة للثغرات الأمنية خلال 14 يومًا كحد أقصى من توفر إجراء تصحيحي أو علاجي، وبالنسبة للحوادث خلال شهر من الإبلاغ عن الحادث. وتفترض هذه المهل وجود عمليات كشف وتقييم وإبلاغ مُعدّة مسبقًا – ولا سيما القدرة على إثبات الاستغلال الفعلي بشكل موثوق.

يتم إثبات المطابقة بحسب الفئة عبر الرقابة الداخلية (الوحدة A)، أو فحص النوع الأوروبي مع الرقابة اللاحقة على الإنتاج (الوحدتان B وC)، أو ضمان الجودة الشامل (الوحدة H)، أو مخطط أوروبي لشهادات الأمن السيبراني (المادة 32). ولا يجوز إعلان مطابقة المنتجات المهمة من الفئة I عبر التقييم الذاتي إلا عند التطبيق الكامل للمعايير المنسَّقة أو المخططات ذات الصلة؛ أما للفئة II فإشراك هيئة مُخطَرة إلزامي. واعتبارًا من 11 ديسمبر 2027 لا يجوز طرح المنتجات ذات العناصر الرقمية في السوق الأوروبية إلا بعلامة CE (المادتان 29–30)، التي تؤكد حينئذٍ أيضًا المطابقة مع CRA – ويُثبت ذلك عبر إعلان المطابقة الأوروبي والوثائق الفنية. وعند مخالفة متطلبات الملحق I أو الالتزامات الواردة في المادتين 13 و14 تُفرض غرامات تصل إلى 15 مليون يورو أو 2.5% من حجم المبيعات السنوي العالمي، وعند مخالفة الالتزامات الأخرى تصل إلى 10 ملايين يورو أو 2% (المادة 64).

يجب على الشركات المصنِّعة تحديد فترة دعم تُعالَج خلالها الثغرات الأمنية بفعالية؛ وتبلغ من حيث المبدأ خمس سنوات على الأقل (المادة 13). ويجب أن تبقى التحديثات الأمنية المُتاحة متوفرة لمدة عشر سنوات على الأقل من نشرها أو لبقية فترة الدعم – أيهما أطول – وأن تُقدَّم مجانًا خلال فترة الدعم. وبذلك ينقل CRA التركيز من فحص مطابقة لمرة واحدة إلى عمليات تُشغَّل باستمرار: التطوير الآمن، وإدارة الثغرات الأمنية والتصحيحات، والتوثيق المستمر. ومنذ 11 يونيو 2026 تسري أيضًا الأحكام الخاصة بإخطار هيئات تقييم المطابقة (الفصل IV)، ونشرت المفوضية الأوروبية في يوليو 2026 إرشادات عملية للتطبيق.

منذ 30 يوليو 2026 توفر وكالة الاتحاد الأوروبي للأمن السيبراني ENISA عبر «Secure by Design and Default Playbook» (v1.0) أداة تطبيق مجانية لالتزامات الشركات المصنِّعة التي يتطلبها CRA في الملحق I تحديدًا: 22 مبدأً – من حدود الثقة (Trust Boundaries) مرورًا بالوصول الأولي المقيَّد حتى التحديثات التلقائية – كلٌّ منها كدليل من صفحة واحدة مع قائمة تحقق والحد الأدنى من أدلة الإثبات وبوابة إصدار لخط CI/CD. ويطابق Annex C من الوثيقة كل مبدأ بشكل استرشادي مع المتطلبات الأساسية لـ CRA؛ ولا ينشأ عن ذلك إثبات للمطابقة، لكنه يشكّل جسرًا هندسيًا متينًا من اللائحة إلى ممارسة التطوير – بما في ذلك مفهوم لأدلة إثبات أمنية قابلة للقراءة آليًا. مرخَّص بموجب CC BY 4.0، ومتاح بصيغة PDF وكمستودع GitHub.