კიბერშეტევა უკვე მხოლოდ ტექნიკური პრობლემა აღარ არის

ევროკავშირის Cyber Resilience Act (CRA) ციფრული ელემენტების მქონე პროდუქტებზე კიბერუსაფრთხოების მოთხოვნებს აწესებს მთელი სასიცოცხლო ციკლის განმავლობაში. ევროკომისიის 2026 წლის 27 ივლისის გზამკვლევის მიხედვით, აქტიურად გამოყენებული მოწყვლადობებისა და პროდუქტზე მოქმედი მძიმე ინციდენტების შეტყობინების ვალდებულება 2026 წლის 11 სექტემბრიდან ამოქმედდება. რეგულაციის სრული გამოყენება 2027 წლის 11 დეკემბრისთვის არის დაგეგმილი.

ეს მნიშვნელოვანია ქართულისთვის, ვინც ევროკავშირის ბაზარზე ყიდის პროგრამულ უზრუნველყოფას, SaaS-ს, IoT მოწყობილობას, აპლიკაციას, ჭკვიან მოწყობილობას ან მოწყობილობაში ჩაშენებულ პროგრამას. ბაზარზე გასვლა აღარ არის მხოლოდ გაყიდვების საკითხი — საჭიროა პროდუქტის უსაფრთხოების, განახლებების, მოწყვლადობისა და ინციდენტების მართვის მტკიცებულება.

თუ ასეთი ინციდენტი საქართველოში მოხდება

საქართველოს კანონი ინფორმაციული უსაფრთხოების შესახებ საჯარო და კერძო სექტორში ინფორმაციული უსაფრთხოების დაცვის უფლებებსა და მოვალეობებს განსაზღვრავს. პერსონალური მონაცემების გაჟონვისას დამატებით მოქმედებს პერსონალურ მონაცემთა დაცვის შესახებ კანონი. შესაბამისად, ერთი ინციდენტი შეიძლება ერთდროულად გახდეს კონტრაქტის დარღვევის, მომხმარებლის ინფორმირების, მარეგულირებელთან თანამშრომლობისა და ზიანის ანაზღაურების საკითხი.

ბიზნესის 7-პუნქტიანი ჩეკლისტი

განსაზღვრეთ ყველა პროდუქტი, რომელსაც აქვს ინტერნეტთან, აპთან ან სხვა ქსელთან კავშირი.
შეადგინეთ აქტივების, მესამე პირების, ღია კოდის კომპონენტებისა და მხარდაჭერის ვადების სია.
დააწესეთ მოწყვლადობის მიღების, შეფასების, გამოსწორებისა და მომხმარებლის შეტყობინების პროცედურა.
დანიშნეთ ინციდენტზე პასუხისმგებელი პირი და 24/7 საკონტაქტო არხი.
გადაამოწმეთ მომხმარებელთან, დისტრიბუტორთან და ღრუბლოვან პროვაიდერთან ხელშეკრულებები.
შეინახეთ ლოგები, რისკის შეფასება, განახლებები და გადაწყვეტილების მიზეზები.
წინასწარ განსაზღვრეთ, როდის უნდა ჩაერთოს ადვოკატი, ტექნიკური ექსპერტი ან მონაცემთა დაცვის სპეციალისტი.

რას უნდა აკეთებდეს ქართული კომპანია დღეს?

თუ კომპანია ევროკავშირის ბაზარზე არ მუშაობს, CRA ავტომატურად ყველა ქართულ ბიზნესზე არ ვრცელდება. თუმცა მისი მოთხოვნები უკვე ხდება საერთაშორისო კონტრაქტების, კიბერუსაფრთხოების აუდიტის, დაზღვევისა და ინვესტორის დიუ-დილიჯენსის ნაწილი. ამიტომ სწორია მინიმალური უსაფრთხოების პოლიტიკის, ინციდენტების რეესტრისა და მომწოდებლების კონტროლის შექმნა მანამდე, სანამ პრობლემა მოხდება.

კიბერშეტევის შემდეგ სწრაფი ტექნიკური იზოლაცია აუცილებელია, მაგრამ კომპანიამ ასევე უნდა შეინარჩუნოს მტკიცებულება, შეაფასოს მონაცემთა გაჟონვა და არ გააკეთოს დაუდასტურებელი საჯარო განცხადება. სამართლებრივი რეაგირება უნდა ეფუძნებოდეს იმას, რა მოხდა, ვის შეეხო და რომელი ბაზრის წესები მოქმედებდა.

## წყაროები / Sources - ევროკომისია — Cyber Resilience Act-ის ბიზნესგზამკვლევი, 27 ივლისი 2026: https://digital-strategy.ec.europa.eu/en/news/commission-publishes-new-guidance-support-businesses-implementation-cyber-resilience-act - ევროკომისია — CRA შეტყობინების ვალდებულებები: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting - საქართველოს კანონი ინფორმაციული უსაფრთხოების შესახებ: https://matsne.gov.ge/en/document/view/1679424?publication=8 - საქართველოს კანონი პერსონალურ მონაცემთა დაცვის შესახებ: https://www.matsne.gov.ge/en/document/view/5827307

შენიშვნამასალა საინფორმაციო ხასიათისაა და არ წარმოადგენს ინდივიდუალურ სამართლებრივ რჩევას.