Cyber Resilience Act: что изменится для камер, роутеров и умного дома с 11 сентября 2026 года
Еврокомиссия 27 июля 2026 года выпустила практическое руководство по применению Cyber Resilience Act. Уже с 11 сентября производители товаров с цифровыми элементами, представленных на рынке ЕС, должны сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах. Полный набор требований CRA начнёт применяться с 11 декабря 2027 года.
Три даты, которые важно не путать
Сам Регламент ЕС 2024/2847 вступил в силу ещё 10 декабря 2024 года. Однако обязанности вводятся поэтапно, поэтому фраза «CRA начинает действовать в 2026 году» слишком упрощает ситуацию.
Какие камеры, роутеры и устройства умного дома относятся к CRA
CRA охватывает аппаратные и программные продукты с цифровыми элементами, которые выводятся на рынок ЕС и предназначены для прямого или косвенного подключения к устройству или сети.
Роутеры и модемы
Маршрутизаторы, интернет-модемы и сетевые коммутаторы прямо перечислены среди важных цифровых продуктов.
Камеры безопасности
Камеры с функциями безопасности включены в категорию важных продуктов умного дома.
Умные замки
Сетевые дверные замки с функциями безопасности прямо указаны в перечне CRA.
Сигнализация
Под действие требований попадают продукты умного дома с охранными функциями, включая системы тревоги.
СКУД
Считыватели аутентификации и контроля доступа, включая биометрические, относятся к важным продуктам.
VPN и сетевое ПО
VPN-продукты, сетевые интерфейсы, системы управления сетью и операционные системы также перечислены отдельно.
Производителям придётся сообщать об активно эксплуатируемых уязвимостях
Первое крупное практическое изменение вступает в применение 11 сентября 2026 года. Производители должны сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах, влияющих на безопасность продукта.
Сообщение подаётся через единую европейскую платформу Single Reporting Platform. Для обычного владельца камеры это не означает необходимость самому сообщать в ENISA о каждой найденной ошибке.
Безопасность должна учитываться на всём жизненном цикле продукта
С 11 декабря 2027 года начинает применяться основной массив требований CRA. Производителю недостаточно выпустить устройство, которое работает в момент продажи: безопасность должна поддерживаться в течение заявленного периода.
Среди базовых принципов CRA
- оценка рисков кибербезопасности ещё при разработке продукта;
- вывод на рынок без известных эксплуатируемых уязвимостей;
- безопасная конфигурация по умолчанию, где это применимо;
- защита данных и ограничение поверхности атаки;
- обработка найденных уязвимостей в течение срока поддержки;
- возможность безопасно устанавливать обновления;
- информация пользователю о безопасной установке и эксплуатации;
- документирование соответствия требованиям;
- декларация соответствия и маркировка CE при выполнении применимой процедуры.
Для камер, роутеров и умных замков это принципиально: продукт становится не просто «железкой с приложением», а системой, которую производитель должен сопровождать и обновлять.
Пять лет - не универсальный срок жизни любого устройства
CRA устанавливает, что период поддержки уязвимостей обычно должен составлять не менее пяти лет. Если продукт объективно рассчитан на использование менее пяти лет, допускается более короткий период, соответствующий ожидаемому сроку использования.
Но есть и обратная сторона: если устройство разумно ожидается использовать дольше пяти лет, период поддержки должен учитывать это. В самом регламенте в качестве примеров таких устройств упоминаются роутеры, модемы и коммутаторы.
Камера работает 8 лет, обновления закончились через 2 года
Физически исправное устройство постепенно становится слабым местом сети, особенно при облачном доступе и открытых сервисах.
Срок поддержки известен до покупки
Пользователь понимает, до какого месяца и года производитель планирует обрабатывать уязвимости и выпускать исправления.
Что изменится для покупателя камеры, роутера или умного замка
Формально большинство обязанностей CRA лежит на производителях, импортёрах и других экономических операторах рынка ЕС. Но требования постепенно меняют сам подход к выбору оборудования.
| Что смотреть до покупки | Почему это важно |
|---|---|
| Дата окончания поддержки | Понятно, когда устройство перестанет получать исправления безопасности. |
| Автоматические обновления | Критичные исправления не должны зависеть только от ручной проверки приложения раз в несколько лет. |
| Заводские настройки | Устройство не должно требовать опасной конфигурации для обычного запуска. |
| Политика уязвимостей | У серьёзного производителя есть канал сообщения о проблемах безопасности и понятный процесс исправления. |
| Локальная работа | Полезно понимать, что останется при отключении облака или прекращении сервиса производителя. |
| Разграничение прав | Для камер, замков и СКУД не каждому пользователю нужен административный доступ. |
| Экспорт и резервная копия | Настройки и данные не должны быть полностью заперты в одном облачном аккаунте. |
Особенно внимательно стоит выбирать
- видеокамеры внутри квартиры и дома;
- видеодомофоны и вызывные панели;
- умные дверные замки;
- контроллеры СКУД;
- роутеры и точки удалённого доступа;
- облачные хабы умного дома;
- сигнализации и охранные панели;
- устройства, через которые можно управлять воротами или доступом на объект.
Придётся ли выбрасывать камеры и роутеры, купленные до 2027 года
Нет. CRA не означает автоматический запрет эксплуатации старой камеры после 11 декабря 2027 года.
Для товаров с цифровыми элементами, которые уже были выведены на рынок ЕС до 11 декабря 2027 года, основной набор новых требований применяется, если после этой даты продукт подвергается существенной модификации.
При этом обязанности по уведомлению об активно эксплуатируемых уязвимостях и серьёзных инцидентах с 11 сентября 2026 года распространяются и на продукты, уже представленные на рынке ЕС ранее.
Как европейский CRA касается оборудования в России
Cyber Resilience Act является регламентом ЕС и непосредственно регулирует продукты, выводимые на рынок Европейского союза. Российский владелец камеры, роутера или умного дома не получает из-за CRA обязанности подавать европейские уведомления или менять исправное оборудование.
Однако крупные производители часто продают одинаковые или близкие платформы на разных рынках. Поэтому новые требования к безопасной разработке, срокам поддержки и обработке уязвимостей могут косвенно улучшать прошивки и процессы поддержки оборудования, которое используется и за пределами ЕС.
Что полезно взять из CRA уже сейчас
- не покупать камеру только из-за низкой цены и высокого разрешения;
- проверять историю обновлений производителя;
- уточнять, сколько лет поддерживается конкретная модель;
- не использовать заводские пароли;
- разделять камеры, IoT и основную домашнюю сеть;
- не открывать регистратор и хаб напрямую в интернет;
- отключать ненужные облачные и P2P-функции;
- хранить резервные копии конфигураций;
- планировать замену оборудования до полного прекращения поддержки.
Как выбрать IoT-оборудование в 2026 году
- Найдите страницу поддержки модели. Есть ли нормальная история прошивок, а не один файл пятилетней давности.
- Проверьте срок поддержки. Если производитель его публикует, сохраните дату.
- Посмотрите способ обновления. Локально, через приложение, автоматически или только через облако.
- Проверьте локальный доступ. Что произойдёт при отключении сервера производителя.
- Уточните протоколы. Для камер полезны ONVIF и RTSP, для умного дома - открытые или документированные интеграции.
- Оцените аккаунты и права. Есть ли отдельные пользователи, 2FA и возможность отозвать доступ.
- Проверьте сетевую архитектуру. Камера или замок не должны требовать полного доступа ко всей локальной сети.
- Ищите официальный security-раздел. У производителя должен быть понятный канал для сообщений об уязвимостях.
- Не забывайте резерв. Для камер нужен локальный архив, для контроллеров - экспорт конфигурации.
- Учитывайте срок службы системы. Роутер, домофон и камеры обычно покупаются не на один год.
Что ещё полезно прочитать
Почему CRA важен даже тем, кто не продаёт оборудование в ЕС
Главное изменение 2026 года - не полный запуск Cyber Resilience Act, а начало обязательной отчётности производителей об активно эксплуатируемых уязвимостях и серьёзных инцидентах с 11 сентября.
Основные требования к безопасной разработке и сопровождению начинают применяться с 11 декабря 2027 года. Роутеры, коммутаторы, камеры безопасности, умные замки и системы контроля доступа относятся к тем категориям, где требования особенно заметны.
Для российского пользователя CRA полезен как ориентир: хорошее сетевое устройство должно иметь понятный срок поддержки, обновления, безопасные настройки, разграничение доступа и возможность нормально работать без сомнительных обходных решений.
Нужно безопасно настроить камеры, роутер или умный дом?
Поможем проверить сетевую схему, обновления оборудования, удалённый доступ, учётные записи, разделение IoT-сети, камеры, регистратор и контроллеры. Подбираем решение под реальную задачу без открытия лишних сервисов в интернет.
Выезд и диагностика по Туле от 5000 ₽. Это техническая настройка и консультация, а не сертификационная проверка или официальный аудит соответствия Cyber Resilience Act.
Частые вопросы о Cyber Resilience Act
Что такое Cyber Resilience Act?
Это Регламент ЕС 2024/2847, устанавливающий требования к кибербезопасности аппаратных и программных продуктов с цифровыми элементами, выводимых на рынок Европейского союза.
Что меняется 11 сентября 2026 года?
Начинают применяться обязанности производителей по уведомлению об активно эксплуатируемых уязвимостях и серьёзных инцидентах безопасности.
Когда CRA начнёт действовать полностью?
Основной набор требований применяется с 11 декабря 2027 года.
Относится ли CRA к IP-камерам?
Да. Камеры безопасности с цифровыми и сетевыми функциями входят в область CRA, а камеры умного дома с функциями безопасности прямо перечислены среди важных цифровых продуктов.
Относится ли CRA к роутерам?
Да. Роутеры, модемы для подключения к интернету и коммутаторы прямо перечислены в Annex III CRA.
Производитель обязан поддерживать устройство ровно пять лет?
Не всегда ровно пять. Базовое правило - не менее пяти лет, если ожидаемый срок использования не меньше. Для оборудования, которое обычно используется дольше, поддержка должна учитывать более длительный срок.
Нужно ли выбрасывать старую камеру после 2027 года?
Нет. CRA не вводит автоматический запрет эксплуатации ранее купленного оборудования. Но прекращение обновлений остаётся реальным риском безопасности.
Российский пользователь должен что-то сообщать в ЕС?
Нет. Обязанности CRA по уведомлениям адресованы прежде всего производителям товаров, представленных на рынке ЕС.
CRA гарантирует, что устройство невозможно взломать?
Нет. Закон устанавливает требования к управлению рисками и уязвимостями, но абсолютно неуязвимых сетевых устройств не существует.
Что самое важное учитывать при покупке камеры или роутера?
Срок поддержки, историю обновлений, безопасные настройки, права пользователей, локальную работу, резервную копию и возможность не открывать устройство напрямую в интернет.