Új uniós kiberbiztonsági rendelet 24 órán belüli bejelentésre kötelezi a routergyártókat
A mulasztás ára akár 15 millió euró, a gyártónak pedig legalább öt évig biztonsági frissítést kell majd adnia a termékéhez.
A legkönnyebb célpont mindig az az eszköz, amiről a tulajdonosa megfeledkezett, és az otthoni router pontosan ilyen. 2026. szeptember 11-től viszont a gyártónak ilyen esetben 24 órája van szólni a hatóságnak.
Ekkor lépnek életbe annak az uniós rendeletnek az első valódi kötelezettségei, amely a digitális termékek kiberbiztonsági követelményeit írja elő. A magyar jogi szöveg a kiberrezilienciáról szóló rendelet néven hivatkozik rá: a reziliencia itt ellenállóképességet jelent, vagyis azt, hogy a termék bírja a támadást, a gyártó pedig kezelni tudja a hibáit. Hivatalos száma (EU) 2024/2847, a szakmai szóhasználatban viszont az angol nevének rövidítése, a CRA (Cyber Resilience Act) terjedt el. A teljes szabályrendszer csak jóval később, 2027 végén válik alkalmazandóvá, a bejelentési óra viszont ezzel a nappal elindul.
Mit kell bejelenteni, és mennyi idő van rá?
Két helyzetben indul el a visszaszámlálás. Az egyik, ha a gyártó megtudja, hogy a termékében lévő sérülékenységet ténylegesen ki is használják egy támadásnál. Ez fontos szűkítés: nem minden hibáról kell jelentést tenni, csak arról, amelyik már valós támadás eszköze. A másik eset a súlyos incidens, amikor a termék biztonsága sérül.
A 24 óra mindkét esetben csak az első lépés. A korai jelzést 72 órán belül részletes bejelentés követi, a záró jelentésre pedig kihasznált sérülékenységnél 14 nap, súlyos incidensnél egy hónap áll rendelkezésre. A kétféle eset tehát végig együtt fut, és csak a legutolsó határidőnél válik el egymástól.
A bejelentés egyszerre megy két helyre: az ENISA-hoz, ami az EU kiberbiztonsági ügynöksége, és annak a tagállamnak a nemzeti incidenskezelő központjához, ahol az ügy felmerül. Magyarországon a nemzeti CSIRT feladatát a Nemzetbiztonsági Szakszolgálat látja el, a gyakorlati ügyintézés pedig a Nemzeti Kiberbiztonsági Intézeté, amely a bejelentésekhez külön elérhetőséget nyitott.
A határidő attól a pillanattól ketyeg, amikor a gyártó ésszerű bizonyossággal látja a helyzetet. A rendelet ezt szándékosan fogalmazza így, mert az idő nem tolható ki azzal, hogy a vizsgálat még folyik: a teljes körű technikai bizonyítás megvárása nem ad haladékot.
Miért pont a router?
A CRA elvben minden internetre csatlakozó termékre vonatkozik, a rendelet azonban külön listát vezet a fontos termékekről, amelyeknél a tét nagyobb — és ezen a listán a router nevesítve szerepel.
| Besorolás | Példák | Ki igazolja a megfelelést? |
|---|---|---|
| Alap | Legtöbb csatlakoztatott eszköz | Gyártó |
| Fontos, I. osztály | Router, modem, okoszár, biztonsági kamera, egészségfigyelő okosóra | Gyártó, ha az előírt szabványt követi |
| Fontos, II. osztály | Tűzfal, biztonsági chip (bankkártya, SIM) | Kötelezően külső, kijelölt szervezet |
A router besorolásának gyakorlati oka van. Folyamatosan be van kapcsolva, a hálózat határán ül, és minden forgalom rajta megy keresztül, miközben évekig senki nem nyitja meg az adminfelületét. A támogatás nélkül maradt eszközök ezért nem ritkaságszámba menő kuriózumok, hanem üzleti alapon kiaknázott erőforrás: az amerikai szövetségi nyomozóiroda egy figyelmeztetésében konkrét otthoni routermodelleket sorolt fel, amelyeket a TheMoon nevű kártevő változatai fertőztek meg, majd a rajtuk átvezetett hozzáférést proxyszolgáltatásként adták bérbe. A gép ilyenkor tovább működik, a tulajdonos semmit nem vesz észre, csak épp idegen forgalom is halad rajta.
A bejelentés nem a felhasználónak szól
Aki nyilvános riasztásokra számít 2026. szeptember 11-től, csalódni fog. A jelentések a hatóságokhoz futnak be, nem egy publikus listára kerülnek, és ez tudatos döntés: egy nyilvánosan böngészhető gyűjtemény az éppen kihasznált sérülékenységekről a visszaélésre legalább annyira alkalmas lenne, mint a védekezésre.
A felhasználó azért nem marad ki. A gyártónak külön kötelezettsége, hogy késedelem nélkül tájékoztassa a termék használóit az őket érintő esetről, és megadja, mit tehetnek a védekezés érdekében. A rendelet ugyanígy előírja, hogy a hibát a gyártó jelezze annak is, akitől az érintett komponens származik, tehát a lánc visszafelé is végigfut.
A támogatási időszak, amit a vásárló tényleg észrevesz
A bejelentési kötelezettség a gyártó belső működését szabályozza, a boltban ebből semmi nem látszik. A CRA leginkább kézzelfogható eleme később érkezik.
A rendelet hatályba lép
A CRA megjelenik az uniós joganyagban, de a kötelezettségek nem azonnal indulnak: a gyártók felkészülési időt kapnak.
Indul a bejelentési óra
Az aktívan kihasznált sérülékenységeket és a súlyos incidenseket 24 órán belül jelenteni kell az ENISA-nak és a nemzeti incidenskezelő központnak.
Teljes alkalmazás
Ettől kezdve a termék csak akkor hozható forgalomba, ha megfelel a rendelet biztonsági követelményeinek, és a támogatási végdátum is kötelezően fel van tüntetve.
A teljes alkalmazástól a gyártónak meg kell határoznia a termék támogatási időszakát, vagyis azt az időszakot, ameddig biztonsági frissítést ad hozzá. Ez alapesetben legalább öt év, kivéve ha a termék várható élettartama ennél rövidebb. Egy otthoni routernél ez a kivétel nehezen érvelhető meg, hiszen az ilyen eszközök jellemzően tíz éven túl is működnek.
A dátumot ráadásul ki is kell írni, legalább hónap és év pontossággal, könnyen hozzáférhető módon: a terméken, a csomagoláson vagy digitális formában. Ezzel a támogatási időszak olyan összehasonlítható adattá válik, mint a sebesség vagy a portok száma. Az óra egyébként nem a vásárlás napján indul, hanem akkor, amikor a termék piacra kerül, tehát egy több éve polcon álló modellnél a hátralévő idő már rövidebb.
A kiadott frissítéseknek emellett a támogatási időszak végét követően is elérhetőnek kell maradniuk, legalább tíz évig a megjelenésüktől számítva.
Amin a bejelentés elakadhat
A szabály és a hozzá szükséges gyakorlat két ponton feszül egymásnak. Az egyik a felület: a bejelentéseket az ENISA központi rendszerén, a Single Reporting Platformon keresztül kell beadni, amelynek élesítését az ügynökség magára a kötelezettség indulásának napjára ígérte. Gyakorlásra tehát alig maradt idő, és induláskor automatikus feltöltésre alkalmas programozói felület sincs: a jelentések kézzel, webes űrlapon mennek be.
A másik a felkészültség. Az ENISA első, kifejezetten kis- és középvállalkozásokra fókuszáló felmérése 31 ország 194 szervezetét kérdezte meg, és az eredmény kettős: a rendeletről szinte mindenki tudott, a hozzá szükséges gyakorlatok viszont hiányoztak. A szoftverösszetevők nyilvántartását, vagyis azt a jegyzéket, ami megmondja, milyen komponensekből áll egy termék, a válaszadóknak alig több mint harmada vezette. Enélkül nehéz 24 óra alatt megmondani, hogy egy frissen kihasznált sérülékenység érinti-e egyáltalán az adott eszközt.
Mit jelent ez egy mobilinternetes routernél?
A rövid válasz: a hatás nem azonnali. Aki 5G routert vagy hotspotot vásárol, annál a támogatási végdátum a rendelet teljes alkalmazásáig nem kötelező adat, a gyártók egy része viszont önként is közli — és a routerválasztásnál ez ugyanolyan szempont, mint a WiFi-generáció vagy a támogatott frekvenciasávok.
A meglévő eszközökre pedig a rendelet nem hat visszamenőleg. Az otthoni hálózat védelme továbbra is ugyanazon a néhány alapszabályon múlik: alapértelmezett jelszó cseréje, távoli adminfelület kikapcsolása, firmware karbantartása, és a támogatás nélkül maradt eszköz leváltása. A CRA azt a mintát változtatja meg, amiből ezek a helyzetek fakadnak, nem a már működő készülékek állapotát.
Az IoT-eszközök esetében a hatás még nagyobb lehet. Egy szenzor vagy egy okoskonnektor jellemzően olcsóbb, mint a benne futó szoftver karbantartása, ezért ezen a piaci szélen eddig kifizetődő volt frissítés nélkül szállítani. A kötelező támogatási időszak és a bejelentési kötelezettség épp ezt az üzleti számítást írja át.
Próbáld ki kötöttségek nélkül!
Ha 14 napon belül nem válik be, a teljes díjat visszaadjuk, és hűségidő sincs.
Gyakori kérdések
Mit kell bejelenteni 2026. szeptember 11-től?
Két esetet. Az egyik, ha a gyártó tudomást szerez arról, hogy a termékében lévő sérülékenységet ténylegesen kihasználják egy támadásnál. A másik, ha súlyos incidens éri a termék biztonságát. Mindkettőnél 24 óra a korai jelzés, 72 óra a részletes bejelentés, a záró jelentésre pedig 14 nap, illetve incidensnél egy hónap áll rendelkezésre.
Kap-e értesítést a felhasználó, ha a routerét érintő hibát jelentenek?
A hatósági bejelentés nem nyilvános, mert egy szabadon böngészhető lista az aktívan kihasznált sérülékenységekről készen kínálná a még javítatlan célpontokat. A gyártónak viszont külön kötelezettsége, hogy késedelem nélkül tájékoztassa a termék használóit, és megadja, mit tehetnek a védekezés érdekében.
Megjavítja ez a rendelet a már megvásárolt eszközöket?
Nem. A szabály a gyártói folyamatokra vonatkozik, nem a meglévő készülékekre. A régi, támogatás nélkül maradt router továbbra sem kap frissítést, és a jelszócsere, a távoli adminfelület kikapcsolása és a firmware karbantartása is ugyanúgy a felhasználó feladata marad.
Mikortól látszik a vásárláskor, meddig kap frissítést egy router?
A támogatási időszak kiírása a rendelet teljes alkalmazásával, 2027. december 11-től válik kötelezővé. A támogatási időszak alapesetben legalább öt év, kivéve ha a termék várható élettartama ennél rövidebb, és a végdátumot legalább hónap–év pontossággal, könnyen hozzáférhető módon fel kell tüntetni.
Melyik hatósághoz futnak be a bejelentések Magyarországon?
A bejelentés egyszerre megy az ENISA-hoz, az EU kiberbiztonsági ügynökségéhez, és az érintett tagállam nemzeti incidenskezelő központjához. Magyarországon a nemzeti CSIRT feladatát a Nemzetbiztonsági Szakszolgálat látja el, a bejelentéseket pedig a Nemzeti Kiberbiztonsági Intézet fogadja, amely erre külön elérhetőséget nyitott.
Olvass tovább
