Нещодавно я запостив у r/embedded питання: як ви справляєтесь з EU Cyber Resilience Act? Пост зібрав 14 тисяч переглядів, а найпопулярніший коментар - від інженера з 25+ роками досвіду - звучав так:
"Наше рішення по CRA: цей продукт не продається і не використовується в Європейському Союзі."
Його компанія просто пише на коробці "not for sale in the EU". Європейський ринок був малою часткою їхнього доходу, а вартість відповідності здалась завеликою. І він не один - у треді це наймасовіший настрій серед американських виробників.
Коли я це читав, у мене була одна думка: а це ж величезна можливість для українських компаній.
Що відбувається
Коротко для тих хто не цікавився. CRA (Cyber Resilience Act) - регламент ЄС який зобов'язує виробників будь-яких пристроїв з цифровими елементами відповідати вимогам кібербезпеки. Підписані оновлення прошивки, жодних дефолтних паролів, канал для повідомлень про вразливості, SBOM (перелік програмних компонентів). З 11 вересня 2026 року - обов'язкове звітування про вразливості які активно експлуатуються, з грудня 2027 - повна відповідність. Штрафи до 15 мільйонів євро або 2.5% глобального обороту.
Реакція частини західних виробників - вийти з ринку. Для них це математика: ЄС давав 5% продажів, compliance коштує дорого, простіше піти.
А тепер дивіться що це означає з іншого боку: з європейського ринку добровільно йдуть конкуренти. Ринку, який оцінюється у понад 100 мільярдів доларів тільки в IoT сегменті, і який фізично поруч з нами.
Чому для українських виробників математика інша
Для американського виробника ЄС - це "один з ринків", від якого можна відмовитись. Для українського виробника електроніки ЄС - це часто основний експортний напрямок. Дрони, датчики, промислова автоматика, енергетичне обладнання, IoT пристрої - все це їде переважно на захід.
Тобто опція "просто не продавати в ЄС" для нас не існує. Але це не погана новина, а хороша, і ось чому.
Всі виробники які залишаються на ринку ЄС будуть змушені пройти той самий шлях compliance. Хто пройде його раніше - отримає перевагу, яку конкуренти зможуть наздогнати мінімум за рік-півтора. В B2B закупівлях вже зараз з'являються анкети постачальників з питанням "чи готові ви до CRA?". У 2027 це питання стане фільтром: немає відповідності - немає контракту.
І ще один момент, який мало хто прораховує: вимоги CRA не унікальні. У Великобританії вже діє PSTI Act з майже ідентичними базовими вимогами. США запустили Cyber Trust Mark, і з 2027 року державні закупівлі споживчих IoT пристроїв вимагатимуть цього маркування. Японія, Сінгапур, Австралія рухаються туди ж.
Це один і той самий список вимог всюди: підписані оновлення, без hardcoded паролів, управління вразливостями, прозорість компонентів. Зробив один раз - відкрив собі всі ринки одночасно.
"Але це ж дорого і складно"
Найпоширеніший міф про CRA - що це бюрократичний монстр на сотні сторінок, який під силу тільки корпораціям з юридичними відділами.
Реальність: для приблизно 90% звичайних продуктів достатньо самооцінки. Суворіші процедури стосуються окремих категорій з підвищеним ризиком - наприклад, смарт-лічильникових шлюзів, апаратних модулів безпеки (HSM) чи secure elements. Якщо ви робите звичайний датчик, контролер або споживчий IoT пристрій - це не про вас. Без зовнішніх аудиторів, без сертифікаційних органів, без оплати notified body. Ви самі оцінюєте продукт проти вимог Annex I, готуєте технічну документацію і ставите CE маркування.
А сам список вимог для типового пристрою - це не rocket science: криптографічно підписані оновлення прошивки, відсутність дефолтних облікових даних, захищене зберігання чутливих даних, канал для прийому повідомлень про вразливості, SBOM. Для компетентної інженерної команди це тижні роботи, не роки. Частину з цього багато хто вже має.
Чесно скажу де реальний біль: документація. Threat model, процес управління вразливостями, технічний файл - це те що інженери робити не люблять і відкладають. Але це разова інвестиція, яка потім працює на всі регуляції одночасно.
Що робити якщо ви виробник
Перший крок - зрозуміти де ви зараз. Які вимоги вже закриті, які ні, і скільки роботи попереду. Це можна зробити самостійно, прочитавши Annex I регламенту, або швидше - ми зробили безкоштовний CRA Readiness Check, який структуровано проганяє продукт по всіх вимогах і показує прогалини.
Другий крок - почати з фундаменту: secure boot і підписані оновлення. Це найбільш трудомісткі технічні вимоги, і вони ж дають найбільший реальний приріст безпеки. Решта (документація, процеси) будується поверх.
І третє - не чекати грудня 2027. Вересень 2026 (обов'язкове звітування про вразливості) вже за рогом, а B2B клієнти почнуть питати про відповідність значно раніше ніж настануть дедлайни.
Західні конкуренти які "просто пишуть not for sale in the EU" звільняють місце. Питання тільки в тому, хто його займе.
Якщо працюєте над пристроєм який продається чи буде продаватись в ЄС і хочете розібратись з CRA - пишіть на info@platanor.com, або починайте з безкоштовної перевірки готовності. Ми інженерна команда яка займається саме embedded security для виробників, тому питання можна ставити технічні.
