באוקטובר 2024 אימץ האיחוד האירופי חוק שמשנה את כללי המשחק עבור כל מי שמוכר מוצר מחובר בשוק האירופי. ה-Cyber Resilience Act – בקיצור CRA – הוא החוק הרוחבי הראשון הקובע דרישות אבטחת סייבר מחייבות לכל מוצר בעל רכיב דיגיטלי, לאורך כל מחזור חייו. עד כה הייתה אבטחת המוצר עניין של מוניטין ושיקול דעת; מעתה היא הופכת לתנאי חוקי לכניסה לשוק.
עבור חברות ישראליות רבות – יצרניות חומרה, IoT, מכשור ותוכנה מוטמעת – זו אינה ידיעה אירופית רחוקה. החוק חל על יצרנים מחוץ לאיחוד בדיוק כפי שהוא חל על יצרנים אירופיים, ברגע שהמוצר מגיע לשוק האירופי. במילים פשוטות: אם אתם מייצאים לאירופה מוצר שמתחבר לרשת – אתם בתחולה.
מה זה בעצם ה-CRA
Regulation (EU) 2024/2847 נכנס לתוקף ב-10 בדצמבר 2024, והוא ישים ישירות בכל מדינות האיחוד ללא צורך בחקיקה לאומית מתווכת. המטרה כפולה: לסגור את הפער של מוצרים שמגיעים לשוק עם פגיעויות ידועות, ואת הפער של מוצרים שאינם מקבלים עדכוני אבטחה לאורך חייהם.
"מוצר עם רכיב דיגיטלי" מוגדר רחב במכוון: כל חומרה או תוכנה – לרבות שירותי עיבוד הנתונים מרחוק הקשורים אליה – שהשימוש המיועד או הצפוי בה כולל חיבור נתונים ישיר או עקיף למכשיר או לרשת. די בחיבור עקיף. כך נכנסים להגדרה גם מוצרים שבעליהם כלל לא ראו את עצמם כיצרני מוצר מוסדר.
החוק משתמש במבנה ה"מסגרת החקיקתית החדשה" (NLF) של האיחוד, ומחלק את האחריות בין מספר "גורמים כלכליים". הסיווג קובע מי נושא באילו חובות:
| תפקיד | הגדרה | רמת אחריות |
| יצרן (Manufacturer) | מי שמפתח/מייצר מוצר, או מזמין פיתוחו, ומשווק אותו תחת שמו או סימנו המסחרי – ללא תלות במיקום הגיאוגרפי. | הגבוהה ביותר. כל חובות החוק חלות עליו. |
| יבואן (Importer) | גורם המאוגד באיחוד, המכניס לראשונה לשוק האירופי מוצר של יצרן ממדינה שלישית הנושא את שם היצרן הזר. | חובות אימות התאמה ושיתוף פעולה עם הרשויות. |
| מפיץ (Distributor) | מי שמעמיד מוצר לשוק בשרשרת האספקה מבלי לשנות את מאפייניו. | חובות בדיקה בסיסית ושיתוף פעולה. |
| נציג מורשה | גורם המאוגד באיחוד, הממונה בכתב ע"י יצרן לא-אירופי לבצע חלק מחובותיו. | מוגבל למנדט שהוקנה לו. |
| Steward של קוד פתוח | ישות (לרוב עמותה) התומכת באופן שיטתי בפרויקט קוד פתוח מסחרי. | משטר מקל; פטור מקנסות. |
נקודה קריטית: יבואן או מפיץ ש"ממתג מחדש" מוצר או מבצע בו שינוי מהותי – הופך בעיני החוק ליצרן, על כל החובות. כמו כן, מי ששותל רכיב קוד פתוח במוצר מסחרי הוא היצרן של אותו מוצר, ולא Steward.
למה זה נוגע במיוחד לחברות ישראליות
הטריטוריאליות של החוק אינה נקבעת לפי מקום היצרן, אלא לפי הגעת המוצר לשוק האירופי. יצרן ישראלי המוכר באירופה – ישירות, דרך יבואן, או במכירה מקוונת – נחשב "יצרן" לכל דבר ועניין, ונושא במלוא חבילת החובות. יתרה מזו, יצרן שאינו מאוגד באיחוד נדרש לעיתים למנות נציג מורשה אירופי שישמש נקודת מגע מול הרשויות.
ההשלכה המעשית ברורה: חברות ישראליות רבות יידרשו לבנות יכולות חדשות – לא בשל דרישה מקומית, אלא כתנאי להמשך הנגישות לשוק האירופי.
מה החוק דורש
הדרישות נחלקות לתכונות אבטחה של המוצר ולתהליכי טיפול בפגיעויות לאורך חייו. בתמצית:
- אבטחה מובנית (Secure by Design) וברירת מחדל מאובטחת: ללא פגיעויות ידועות הניתנות לניצול במועד השחרור, תצורה מאובטחת כברירת מחדל, צמצום משטח התקיפה וביטול סיסמאות ברירת מחדל.
- שקיפות שרשרת האספקה (SBOM): רשימת רכיבי התוכנה בפורמט קריא-מכונה, המתוחזקת באופן שוטף.
- טיפול בפגיעויות לאורך החיים: מדיניות גילוי מתואם, ועדכוני אבטחה חינמיים לאורך תקופת תמיכה שלא תפחת מ-5 שנים (אלא אם חיי המוצר קצרים יותר).
- דיווח לרגולטור: על פגיעות המנוצלת בפועל או אירוע חמור – התראה תוך 24 שעות, דיווח מלא תוך 72 שעות, ודוח סופי תוך 14 ימים, דרך פלטפורמת הדיווח של ENISA וצוות התגובה הלאומי.
- סימון CE ותיעוד: הוכחת התאמה, הצהרת התאמה אירופית (EU Declaration of Conformity), ותיעוד טכני הנשמר 10 שנים.
ציר הזמן – ולמה אסור לחכות
| שלושה תאריכים שצריך לסמן ביומן
• 11 ביוני 2026 – הסמכת גופי הערכת ההתאמה (Notified Bodies) באיחוד. • 11 בספטמבר 2026 – חובת הדיווח על פגיעויות מנוצלות ואירועים חמורים נכנסת לתוקף; חלה גם על מוצרים שכבר שווקו. • 11 בדצמבר 2027 – עמידה מלאה. בלי סימון CE תואם – אסור למכור את המוצר באיחוד. |
מרבית הארגונים נדרשים ל-18 עד 24 חודשי עבודה כדי לבנות את היכולות ההנדסיות, התיעוד ותהליכי הדיווח. במילים אחרות – החלון לקראת 2027 כבר נפתח.
מי בתחולה ומי מוחרג
היצרן נושא בעיקר האחריות, אך גם יבואנים ומפיצים נושאים בחובות. מי שממתג מחדש מוצר או משנה אותו באופן מהותי – הופך ליצרן בעיני החוק. מנגד, מוחרגים תחומים שכבר מוסדרים ברגולציה ייעודית: מכשור רפואי, רכב, תעופה וחלק מהציוד הימי; וכן קוד פתוח שאינו מסחרי.
החשיפה – לא רק קנסות
הקנסות מדורגים ומגיעים עד 15 מיליון אירו או 2.5% מהמחזור העולמי השנתי (הגבוה מביניהם) בגין הפרת הדרישות המהותיות וחובות היצרן. אך הסיכון החמור יותר הוא לרוב מסחרי: הרשויות מוסמכות לדרוש תיקון, למשוך מוצר, לבצע ריקול או לחסום אותו מהשוק האירופי. אובדן הנגישות לשוק – ולצדו פגיעה במוניטין – עלול לעלות יותר מכל קנס.
מה כדאי לעשות כבר עכשיו
- למפות אילו מוצרים נכנסים לתחולה, כולל מוצרים ותיקים שעדיין נמכרים.
- לקבוע את התפקיד התאגידי מול האיחוד ואת הצורך בנציג מורשה.
- להקים יכולת זיהוי, טריאז' ודיווח (PSIRT) לקראת ספטמבר 2026.
- לבנות SBOM וניטור פגיעויות שוטף.
- לעגן בחוזי הספקים חובת התראה על פגיעויות וניצול פעיל.
- לבצע הערכת פער מול הדרישות המהותיות ולתכנן את מסלול הסמכת ה-CE.
איך CYBEROOT מסייעת
| מ-CRA כסיכון – ל-CRA כתהליך מסודר
• קביעת תחולה וסיווג מוצרים מול דרישות החוק. • בניית תהליכי טיפול בפגיעויות, גילוי מתואם ודיווח לרגולטור. • הכנת התיעוד הטכני, הצהרת ההתאמה והדרך לסימון CE. • שילוב דרישות ה-CRA בתוך מערך ה-GRC הקיים (ISO 27001, NIS2, הגנת הפרטיות) – היערכות יעילה, ללא כפילויות. |
ב-CYBEROOT אנו מלווים חברות לאורך כל הדרך אל ה-CRA – מהמיפוי הראשוני ועד המוכנות המלאה. לשיחת ייעוץ ראשונית: cyberoot.co.il
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. יישום פרטני מחייב בחינה מול הנוסח הרשמי של Regulation (EU) 2024/2847 וליווי מקצועי.