تكلفة الامتثال لقانون المرونة السيبرانية الأوروبي: إعداد ميزانية موثوقة

يجب تحديد المتطلبات قبل طلب الاختبارات.

تكلفة الامتثال لقانون المرونة السيبرانية الأوروبي: إعداد ميزانية موثوقة

لا يوجد سعر موحد للامتثال لقانون المرونة السيبرانية الأوروبي (CRA)، ولا رسم إلزامي للتصديق على جميع المنتجات. ينبغي فصل تكلفة الأعمال الخاصة بالمنتج عن مسار تقييم المطابقة وتكاليف الأمن بعد طرحه في السوق. علامة CE ليست شهادة CRA تُشترى مقابل مبلغ.

هل توجد رسوم رسمية موحدة للقانون؟

لا تضع اللائحة (EU) 2024/2847 تعرفة موحدة على مستوى الاتحاد للتقييم الداخلي الذي تجريه الجهة المصنِّعة أو لوضع علامة CE. ولا يستلزم مسار الرقابة الداخلية تلقائياً دفع أتعاب جهة تقييم مطابقة مُبلَّغ عنها. وإذا كان التقييم الخارجي مطلوباً فيُطلب عرض بحسب نطاق المنتج، وتُعد الاختبارات والاستشارات خدمات منفصلة. ولا يوجد أساس موثق لتحديد مبلغ موحد باليورو لكل المنتجات.

تسري التزامات الإبلاغ بموجب المادة 14 منذ 11 سبتمبر 2026، بما يشمل المنتجات التي سُوّقت سابقاً في الاتحاد. وتسري معظم الالتزامات الأخرى اعتباراً من 11 ديسمبر 2027. لذا ينبغي أن تتضمن ميزانية 2026 تشغيل آلية الإبلاغ بالفعل.

تحديد فئة المنتج أولاً لأنه يحدد مسار التقييم والتكلفة

وفقاً للمادة 32، يجب مقارنة الوظيفة الأساسية للمنتج بالملحقين الثالث والرابع والأوصاف التقنية الرسمية. هذا الجدول أداة للتقدير المالي وليس تصنيفاً قانونياً نهائياً.

فئة المنتج	مسار التقييم الممكن	الأثر على التكلفة
المنتجات العادية	يتاح عادةً مسار الرقابة الداخلية الذي تتبعه الجهة المصنِّعة (الوحدة A).	تكاليف تقييم المخاطر والأدلة التقنية والملفات؛ ليست الاختبارات الخارجية إلزامية تلقائياً.
المنتجات المهمة من الفئة الأولى	لا تصلح الرقابة الداخلية إلا مع المعايير المنسقة المطبقة أو المواصفات المشتركة أو نظام أوروبي مؤهل لإصدار شهادات الأمن السيبراني؛ وإلا تلزم جهة تقييم مطابقة مُبلَّغ عنها. يجب فحص استثناء البرمجيات الحرة مفتوحة المصدر.	ضع ميزانيتين حتى التحقق من الشروط: تقييم داخلي موثق أو تقييم خارجي.
الفئة الثانية المهمة / المنتجات الحرجة	تقييم جهة تقييم مطابقة مُبلَّغ عنها أو نظام أوروبي ملائم لإصدار شهادات الأمن السيبراني إذا أجازه القانون وكان قابلاً للتطبيق. يُفحص استثناء بعض المنتجات المهمة مفتوحة المصدر.	اطلب تحديد الوحدة والنطاق والإصدارات وتكلفة إعادة الاختبار؛ قد لا تكفي إقرار المطابقة الصادر عن الجهة المصنِّعة وحده.

إعداد جدول بنود التكلفة قبل طلب عرض السعر

افصل المصروفات التأسيسية عن تكاليف دورة حياة المنتج، وحدد المسؤول والكميات والأدلة لكل بند.

بند التكلفة	العوامل المؤثرة	المستند المطلوب
التصنيف وتحليل الفجوات	الغرض المقصود والوظائف الأمنية والمكونات والضوابط الحالية.	نطاق مكتوب ومسار قانوني وافتراضات التسعير.
المعالجة والملف التقني	التصميم الآمن والمخاطر والثغرات والموردون وتعليمات المستخدم.	حزم العمل وأيام الجهد ومعايير القبول.
الاختبار وإعادته	الواجهات والتهديدات وبيئة الاختبار والعينات وإصدارات البرمجيات والبرامج الثابتة.	خطة اختبار وعدد عينات ومعالجة عيوب وسعر الإعادة.
تقييم المطابقة الخارجي	فقط إذا استلزمه المسار أو تم اختياره؛ تختلف الوحدات B+C وH.	صلاحية الجهة المبلّغ عنها في CRA ومخرجاتها والرقابة ورسوم التعديل.
الإنتاج وإدارة الإصدارات	المصانع والمتعاقدون والنسخ المختلفة وضوابط إطلاق التحديثات.	الفحوص الميدانية المبررة فقط؛ لا يوجد تدقيق مصنع شامل مفترض.
الأمن السيبراني بعد طرح المنتج في السوق وأدوار الجهات في الاتحاد الأوروبي	مدة الدعم والرصد والتحديثات والإبلاغ وخدمات الممثل أو المستورد اللازمة فعلاً.	ميزانية سنوية ومسؤوليات محددة في العقد.

ثلاثة سيناريوهات للميزانية وليست أسعاراً مضمونة

منتج برمجي اعتيادي واحد ذو إجراءات أمنية ناضجة — قد تنخفض الحاجة للتقييم الخارجي؛ تتركز النفقات في سد الفجوات والأدلة وإجراءات التحديث والإبلاغ.
منتج من الفئة الأولى مع عدم وضوح تغطية المعايير — ضع خيار الرقابة الداخلية إن جازت وخيار الجهة المبلّغ عنها عند عدم استيفاء شروطها. تحقق من المعايير قبل الاتفاق على سعر ثابت.
عائلة أجهزة متصلة بالشبكة من الفئة الثانية مع تحديثات متكررة للبرامج الثابتة — احتسب التقييم الخارجي أو نظام التصديق المؤهل والعينات الممثلة وتكاليف التغييرات وإعادة الاختبار؛ وثّق مبررات مشاركة الأدلة بين النسخ.

المعلومات المطلوبة للحصول على عرض موثوق

من دون البيانات الآتية يكون أي مبلغ مجرد افتراض أولي غير ملزم.

الجهة المصنِّعة والعلامة التجارية ومسار التوريد إلى الاتحاد والمستورد أو الممثل إن لزم وتوزيع المسؤوليات.
وصف المنتج والغرض المقصود والوظائف والاتصال وبيئة التشغيل والأسواق.
فئة CRA المقترحة مع أسبابها والمعايير أو المواصفات أو نظام إصدار شهادات الأمن السيبراني ومدى انطباقها المتحقق منه.
الإصدارات والأنواع والموردون وقائمة مكونات البرمجيات (SBOM) والاعتماد على أطراف أخرى أو معالجة عن بُعد.
تقييم المخاطر والاختبارات والاستجابة للحوادث وإدارة الثغرات والتحديثات والملف التقني المتاح.
فترة الدعم وجدول الإصدارات والتعديلات الجوهرية المحتملة والعينات وقدرة الفريق الداخلي.

ترتيب النفقات لتجنب إعادة العمل

حدد نطاق المنتج وأوجه عدم اليقين حول تطبيق CRA وتصنيفه، ولا تبدأ بشراء شهادة.
تحقق من مسار التقييم المسموح والمعايير والأنظمة الحالية وصلاحية الجهة المبلّغ عنها لهذا النطاق.
استفد من الأدلة الأمنية الموثوقة الموجودة واشترِ أعمال معالجة الفجوات المثبتة فقط.
اتفق كتابة على شروط بدء الاختبار والإصدارات والعينات والإعادة والتعديلات والاستثناءات من السعر.
خصص ميزانية مستقلة ومستمرة للرصد والإصلاح والدعم والإبلاغ وفق المادة 14.

مقارنة العروض وحساب النفقات المستمرة

اطلب فصل المخرجات الثابتة والخدمات الاختيارية والعمل الداخلي والسفر أو الزيارات المبررة وإعادة الاختبار والرقابة عند انطباقها والضرائب والدعم اللاحق. عبارة «شهادة CRA مقابل X يورو» دون فئة المنتج ونطاق التقييم لا تصلح للمقارنة.

تعالج خدمات تنفيذ الامتثال لقانون CRA تنفيذ الأعمال، وتتناول استشارات تصنيف المنتجات وفق CRA التصنيف والاستراتيجية، وتشرح تكلفة علامة CE تكاليف أنظمة CE الأخرى. هذه خدمات مختلفة.

المصادر الرسمية

أسئلة شائعة عن تكلفة الامتثال

هل توجد رسوم ثابتة لعلامة CE أو إقرار المطابقة CRA؟

لا يفرض CRA رسماً عاماً لهذين الإجراءين. لكن العمل الداخلي له تكلفة، وقد تتقاضى الجهة المبلّغ عنها أتعاب التقييم إذا استُخدمت.

هل يجب إجراء اختبار خارجي لكل منتج من الفئة الأولى؟

ليس بالضرورة. تحقق من شروط الرقابة الداخلية والأدلة اللازمة. قد يفيد الاختبار المستقل حتى إن لم يكن مفروضاً.

هل يكفي تقييم واحد لعائلة منتجات كاملة؟

فقط بالقدر الذي يسمح به الإجراء المختار وتثبته البنية المشتركة الموثقة والفروق ونطاق التقييم الذي تقبله جهة تقييم المطابقة، إذا شاركت. حدّد تكلفة طُرز المنتجات وتغييرات البرامج الثابتة وإعادة الاختبار المحتملة.

هل يجب على كل مصنع خارج الاتحاد دفع أتعاب ممثل مفوض داخل الاتحاد؟

لا تفترض ذلك. يجوز تعيين ممثل بتفويض مكتوب بموجب CRA، وتُراجع التزامات المستورد وغيره حسب نموذج التوريد الفعلي.

لماذا تُحتسب نفقات الإبلاغ قبل ديسمبر 2027؟

المادة 14 سارية منذ 11 سبتمبر 2026، أما معظم الالتزامات الأخرى فتسري منذ 11 ديسمبر 2027.

تكلفة الامتثال لقانون المرونة السيبرانية الأوروبي: إعداد ميزانية موثوقة