प्रकाशित: 11 सितंबर 2026

आज कनेक्टेड-सिक्योरिटी बाजार के लिए एक महत्वपूर्ण दिन है। 11 सितंबर 2026, यूरोपीय संघ के बाजार में उपलब्ध कराए गए डिजिटल तत्वों वाले उत्पादों के निर्माताओं को यूरोपीय संघ के साइबर रेजिलिएंस एक्ट (सीआरए) के तहत सक्रिय रूप से उपयोग की जा रही कमजोरियों और गंभीर सुरक्षा घटनाओं की रिपोर्ट करना अनिवार्य होगा। इसी दिन, ENISA का सीआरए सिंगल रिपोर्टिंग प्लेटफॉर्म भी चालू हो गया।

यह यूरोप-कनेक्शन उत्पाद की घोषणा नहीं है, और न ही इसका अर्थ यह है कि सीआरए की सभी आवश्यकताएं पूरी तरह से लागू हो चुकी हैं। व्यापक अधिनियम 11 दिसंबर 2027 से पूरी तरह से लागू होगा। लेकिन अब शुरू हुआ रिपोर्टिंग चरण नेटवर्क से जुड़े कैमरों, रिकॉर्डरों, एक्सेस-कंट्रोल रीडर्स और कंट्रोलर्स, अलार्म पैनल, इंटरकॉम, गेटवे, मोबाइल-कनेक्टेड डिवाइस और उन्हें जोड़ने वाले सॉफ़्टवेयर के निर्माताओं के लिए परिचालन वातावरण को बदल देता है।.

खरीदारों, इंस्टालरों, सुविधा टीमों और सुरक्षा प्रबंधकों के लिए, व्यावहारिक संदेश सीधा है: एक कनेक्टेड सुरक्षा उपकरण अब केवल एक भौतिक सुरक्षा उपकरण नहीं रह गया है। यह एक साइबर-भौतिक संपत्ति भी है, जिसका एक समर्थन चक्र, एक अपडेट प्रक्रिया, आपूर्तिकर्ता से शिकायत करने का एक मार्ग और उस परिधि से परे संभावित जोखिम है जिसकी सुरक्षा के लिए इसे बनाया गया था।.

सितंबर की महत्वपूर्ण उपलब्धि: पूर्ण सीआरए आवेदन से पहले रिपोर्टिंग शुरू हो जाएगी

साइबर सुरक्षा अधिनियम (CRA) 10 दिसंबर 2024 को लागू हुआ, जिसने डिजिटल तत्वों वाले हार्डवेयर और सॉफ्टवेयर उत्पादों के लिए एक व्यापक यूरोपीय ढांचा स्थापित किया। इसका व्यापक उद्देश्य सुरक्षा को जीवनचक्र का मुद्दा बनाना है: उत्पादों को साइबर सुरक्षा जोखिमों को ध्यान में रखते हुए डिजाइन, वितरित और रखरखाव किया जाना चाहिए।.

इस सितंबर में एक महत्वपूर्ण अंतर को ध्यान में रखना आवश्यक है। रिपोर्टिंग दायित्व अब निर्माताओं पर लागू हो रहे हैं, जबकि पूर्ण सीआरए प्रयोज्यता की मुख्य तिथि 11 दिसंबर 2027। दूसरे शब्दों में, यह कनेक्टेड उपकरणों का उपयोग करने वाले प्रत्येक संगठन के लिए अपने सिस्टम को रातोंरात पुनर्परिभाषित करने का अंतिम समय का निर्देश नहीं है। यह एक नियामक संकेत है कि सुरक्षा संबंधी जोखिमों से निपटना और घटना संचार करना अब विक्रेताओं की वांछनीय प्रथा से हटकर एक औपचारिक बाजार जिम्मेदारी की ओर बढ़ रहा है।

यूरोपीय आयोग का कहना है कि निर्माताओं को सक्रिय रूप से उपयोग की जा रही कमजोरियों और सुरक्षा को प्रभावित करने वाली गंभीर घटनाओं की रिपोर्ट करना अनिवार्य है। रिपोर्टिंग प्रक्रिया में, 24 घंटों के भीतर प्रारंभिक चेतावनी , 72 घंटों के भीतर अधिसूचनाऔर फिर अंतिम रिपोर्ट शामिल है, जिसकी समय-सीमा इस बात पर निर्भर करती है कि मामला सक्रिय रूप से उपयोग की जा रही कमजोरी या गंभीर घटना से संबंधित है या नहीं।

सूचनाएं ENISA के एकल रिपोर्टिंग प्लेटफॉर्म, जिसका उद्देश्य संबंधित अधिकारियों के साथ संचार के लिए "एक बार रिपोर्ट करें" दृष्टिकोण का समर्थन करना है। इस माध्यम से रिपोर्टिंग को स्वचालित सार्वजनिक प्रकटीकरण के साथ भ्रमित नहीं किया जाना चाहिए। CRA प्रक्रिया में ENISA और संबंधित CSIRT शामिल हैं, और असाधारण साइबर सुरक्षा कारणों के लागू होने पर व्यापक प्रसार को अलग तरीके से संभाला जा सकता है।

भौतिक सुरक्षा प्रौद्योगिकी इस चर्चा का हिस्सा क्यों है?

आज भी "साइबर सुरक्षा" शब्द किसी लोडिंग बे पर लगे कैमरे, स्टाफ एंट्रेंस पर लगे बैज रीडर या प्लांट रूम में लगे अलार्म पैनल से अलग-थलग लग सकता है। लेकिन व्यवहार में, कनेक्टिविटी ने इस अलगाव को काफी हद तक खत्म कर दिया है। आधुनिक वीडियो निगरानी प्रणाली में कैमरा फर्मवेयर, नेटवर्क वीडियो रिकॉर्डर, प्रबंधन सॉफ्टवेयर, मोबाइल एप्लिकेशन, क्लाउड रिले सेवाएं, उपयोगकर्ता खाते, स्टोरेज, एपीआई और रिमोट सपोर्ट चैनल शामिल हो सकते हैं। एक्सेस कंट्रोल और घुसपैठ सुरक्षा प्रणालियां भी इसी तरह के स्तरित मॉडल का अनुसरण करती हैं।

किसी घटना के दौरान प्रत्येक स्तर प्रासंगिक हो सकता है। पैच रहित डिवाइस हमलावर को घुसपैठ का मौका दे सकता है; कमजोर खाता प्रबंधन एक अच्छी तरह से स्थापित कैमरे को भी असुरक्षित बना सकता है; खराब योजना के कारण किया गया अपडेट रिकॉर्डिंग, अलार्म मॉनिटरिंग या एक्सेस संचालन को बाधित कर सकता है। इसलिए, परिचालन संबंधी प्रश्न केवल यह नहीं है कि डिवाइस ऑनलाइन है या नहीं। प्रश्न यह है कि क्या संगठन को पता है कि उस डिवाइस को कैसे सपोर्ट किया जाता है, उसका प्रबंधन कैसे किया जाता है और गंभीर खामी सामने आने पर क्या होता है।.

यह चिंता मौजूदा खतरे की स्थिति पर आधारित है। अप्रैल 2026 में प्रकाशित CERT-EU की 2025 थ्रेट लैंडस्केप रिपोर्टमें लगातार दूसरे वर्ष इंटरनेट से जुड़े सॉफ़्टवेयर के दुरुपयोग को सबसे अधिक प्रभाव डालने वाले प्रारंभिक पहुँच कारक के रूप में पहचाना गया है। फ़ायरवॉल, VPN उपकरण और नेटवर्क-प्रबंधन समाधान सहित एज डिवाइस प्राथमिक लक्ष्य बने हुए हैं। सुरक्षा अवसंरचना इन उत्पाद श्रेणियों के समान नहीं है, लेकिन यह बात स्पष्ट है: एज पर स्थित डिवाइस, विशेष रूप से वे जो दूरस्थ प्रशासन या दूरस्थ निगरानी के लिए उपलब्ध हैं, पर विशेष ध्यान देने की आवश्यकता है।

NIST के SP 800-82 के सितंबर 2026 के मसौदा अद्यतन में भवन स्वचालन, भौतिक पहुँच नियंत्रण और भौतिक-पर्यावरण निगरानी प्रणालियों को व्यापक परिचालन-प्रौद्योगिकी सुरक्षा चर्चा के अंतर्गत रखा गया है। यह एक उपयोगी संदर्भ है। "आईटी साइबर सुरक्षा का स्वामी है" और "सुरक्षा द्वार और कैमरों का स्वामी है" के बीच पारंपरिक विभाजन तेजी से अव्यावहारिक होता जा रहा है, क्योंकि दोनों ही साझा नेटवर्क, पहचान और आपूर्तिकर्ताओं पर निर्भर हैं।.

खरीद प्रक्रिया साइबर सुरक्षा नियंत्रण का एक प्रमुख हिस्सा बनती जा रही है।

सीआरए रिपोर्टिंग चरण का सबसे महत्वपूर्ण प्रभाव किसी घटना से बहुत पहले, खरीद प्रक्रिया के दौरान ही सामने आ सकता है। जब संगठन केवल छवि गुणवत्ता, पहचान सीमा, कनेक्टिविटी या अनुमानित कीमत के आधार पर कनेक्टेड डिवाइस का चयन करते हैं, तो वे उन सवालों को नजरअंदाज कर देते हैं जो यह निर्धारित करते हैं कि उत्पाद को लंबे समय तक सुरक्षित रूप से प्रबंधित किया जा सकता है या नहीं।.

कनेक्टेड कैमरों, अलार्म सिस्टम, एक्सेस-कंट्रोल प्लेटफॉर्म और संबंधित घटकों के लिए, एक विश्वसनीय खरीद प्रक्रिया में अब निम्नलिखित बातें शामिल होनी चाहिए:

• इस उत्पाद और इसके सॉफ़्टवेयर के लिए घोषित समर्थन अवधि क्या है?
• सुरक्षा संबंधी अपडेट कैसे वितरित, प्रमाणित और प्रलेखित किए जाते हैं?
• आपूर्तिकर्ता सुरक्षा संबंधी सलाह और सुरक्षा खामियों से संबंधित जानकारी कहाँ प्रकाशित करता है?
• कौन सी सुरक्षा संबंधी डिफ़ॉल्ट सेटिंग्स प्रदान की जाती हैं, और कमीशनिंग के दौरान किन सेटिंग्स को बदलना आवश्यक है?
• किसी महत्वपूर्ण सुरक्षा खामी या सुरक्षा घटना के बारे में ग्राहकों या इंटीग्रेटर्स को सूचित करने की प्रक्रिया क्या है?
• कार्यशील प्रणाली में कौन-कौन सी क्लाउड सेवाएं, मोबाइल एप्लिकेशन, फर्मवेयर संस्करण और अलग से प्राप्त घटक शामिल हैं?

ये केवल निविदा टेम्पलेट में जोड़ने के लिए अनुपालन संबंधी प्रश्न नहीं हैं। ये निरंतरता संबंधी प्रश्न हैं। एक कैमरा अभी भी उत्कृष्ट फुटेज प्रदान कर सकता है, या एक घुसपैठ अलार्म अभी भी किसी घटना का पता लगा सकता है, लेकिन यदि संगठन के पास विक्रेता की सलाह का आकलन करने, प्रभावित इकाइयों की पहचान करने या सुरक्षित निवारण की योजना बनाने का कोई विश्वसनीय तरीका नहीं है, तो इनमें से कोई भी क्षमता पर्याप्त नहीं है।

27 जुलाई 2026 को, आयोग ने कार्यान्वयन संबंधी दिशानिर्देश प्रकाशित किए, जिनमें अन्य विषयों के साथ-साथ उत्पाद का दायरा, महत्वपूर्ण संशोधन, समर्थन अवधि, रिपोर्टिंग दायित्व और जोखिम मूल्यांकन शामिल हैं। ये दिशानिर्देश महत्वपूर्ण हैं क्योंकि प्रत्येक उपकरण, घटक या तैनाती को एक समान नहीं माना जाएगा। दायरा उत्पाद की विशेषताओं, यूरोपीय संघ के बाजार में इसकी उपलब्धता, इसके प्रत्यक्ष या अप्रत्यक्ष डेटा कनेक्शन और संभावित अपवादों या क्षेत्र-विशिष्ट नियमों पर निर्भर करता है।.

ग्राहकों और इंटीग्रेटर्स को अब क्या बदलाव करने चाहिए?

दबाव की स्थिति में भी उपयोग करने योग्य इन्वेंट्री का निर्माण करें।

किसी सुरक्षा खामी की स्थिति में, केवल "12 कैमरे, एक रिकॉर्डर" जैसी जानकारी वाली परिसंपत्ति सूची पर्याप्त नहीं है। उपयोगी रिकॉर्ड में प्रत्येक चालू परिसंपत्ति को उसके मॉडल, सीरियल नंबर या स्थान, फर्मवेयर और सॉफ़्टवेयर संस्करण, प्रशासन मार्ग, नेटवर्क ज़ोन, सहायता प्रदाता, आपूर्तिकर्ता संपर्क और संबंधित क्लाउड या सेलुलर सेवा से जोड़ा जाना चाहिए। इसमें उन प्रणालियों की भी पहचान होनी चाहिए जो डिवाइस पर निर्भर करती हैं, जैसे कि रिकॉर्डिंग सर्वर, निगरानी स्टेशन या एक्सेस-कंट्रोल डेटाबेस।.

इसके लिए सुरक्षा टीम को पूर्णकालिक सॉफ़्टवेयर ऑडिट विभाग में बदलने की आवश्यकता नहीं है। इसका अर्थ है समयबद्ध प्रश्न का उत्तर देने में सक्षम होना: क्या हम प्रभावित हैं, उपकरण कहाँ है, और हम आगे सुरक्षित रूप से क्या कर सकते हैं? डिजिटल तत्वों वाले उत्पादों पर CRA का दायरा—जिसमें कई परिस्थितियों में बाज़ार में अलग से रखे गए घटक भी शामिल हैं—इस अनुशासन को कम प्रासंगिक नहीं, बल्कि अधिक प्रासंगिक बनाता है।

तकनीकी नियंत्रण के साथ-साथ आपूर्तिकर्ता से संबंधित समस्याओं की योजना बनाएं।

जब किसी सक्रिय रूप से उपयोग की जा रही सुरक्षा खामी की घोषणा की जाती है, तो निर्माता पर कानूनी रूप से रिपोर्टिंग करने का दायित्व हो सकता है। लेकिन इससे ग्राहक की परिचालन संबंधी जिम्मेदारियां समाप्त नहीं होतीं। स्थानीय प्रतिक्रिया में अभी भी जोखिमग्रस्त संपत्तियों की पहचान करना, प्रासंगिक लॉग को सुरक्षित रखना, बाहरी जोखिम को कम करना, प्रभावित उपकरणों को अलग करना, आवश्यकतानुसार क्रेडेंशियल रीसेट करना, आपूर्तिकर्ता या इंस्टॉलर से संपर्क करना और मान्य निवारण लागू करना शामिल हो सकता है।.

आपातकालीन स्थिति से पहले आपूर्तिकर्ता से संपर्क का मार्ग स्थापित कर लेना चाहिए। बिजली कटौती को कौन अधिकृत कर सकता है? इंस्टॉलर के साथ किसका संबंध है? क्या कोई रखरखाव समझौता है? क्या सहायता सीधे निर्माता, वितरक, सिस्टम इंटीग्रेटर या प्रबंधित सेवा प्रदाता द्वारा प्रदान की जाती है? ये प्रश्न अक्सर यह निर्धारित करते हैं कि पैच संबंधी सलाह एक नियंत्रित रखरखाव कार्य बन जाती है या एक अनावश्यक परिचालन संबंधी अफरा-तफरी।.

अनुशासन के साथ काम करें, घबराहट के साथ नहीं।

“तुरंत पैच करें” एक आकर्षक सलाह है, लेकिन चालू सुरक्षा प्रणालियों के लिए यह अपूर्ण हो सकती है। जल्दबाजी में किया गया फर्मवेयर परिवर्तन कैमरा उपलब्धता, साक्ष्य की निरंतरता, एकीकरण, अलार्म सिग्नलिंग या एक्सेस अनुमतियों को प्रभावित कर सकता है। इसका मतलब यह नहीं है कि ज्ञात जोखिम को यथावत छोड़ दिया जाए। बल्कि, यह जोखिम-आधारित प्रक्रिया का समर्थन करता है: जोखिम और दुरुपयोग की स्थिति का आकलन करें, जहां संभव हो परीक्षण करें, रखरखाव के लिए समय निर्धारित करें, रोलबैक योजना तैयार करें, अपडेट के बाद संचालन को सत्यापित करें और सुधार की तैयारी के दौरान जोखिम को कम करें।.

उदाहरण के लिए, सार्वजनिक इंटरनेट से सीधे जुड़े किसी उपकरण को, सुरक्षित नेटवर्क नियंत्रणों के पीछे सुरक्षित रखे गए उसी तरह के उपकरण की तुलना में अधिक तत्काल प्रतिक्रिया की आवश्यकता होती है। अस्थायी क्षतिपूर्ति उपायों में अनावश्यक रिमोट एक्सेस को हटाना, प्रबंधन इंटरफेस को किसी विश्वसनीय नेटवर्क तक सीमित करना, असुरक्षित क्रेडेंशियल्स को बदलना या संबंधित लॉग की अधिक बारीकी से निगरानी करना शामिल हो सकता है। सही विकल्प सिस्टम, जोखिम और व्यवधान के परिणामों पर निर्भर करता है।.

“कनेक्टेड” उपकरणों के लिए एक अलग मानक

सुरक्षा तकनीक अक्सर एक तैयार उत्पाद के रूप में खरीदी जाती रही है: इसे इंस्टॉल करें, कॉन्फ़िगर करें और फिर उम्मीद करें कि यह वर्षों तक बिना किसी परेशानी के काम करती रहेगी। कनेक्टिविटी ने इस धारणा को बदल दिया है। वाई-फाई स्पाई कैमरा, सेलुलर ट्रैकर या नेटवर्क अलार्म सिस्टम जैसे उत्पादों का एक जीवनचक्र होता है जिसमें फर्मवेयर, क्रेडेंशियल, रेडियो और नेटवर्क कॉन्फ़िगरेशन, एप्लिकेशन, स्टोरेज और थर्ड-पार्टी इंफ्रास्ट्रक्चर शामिल हो सकते हैं। इनका चयन और संचालन कानूनी रूप से, उचित अनुपात में और गोपनीयता के साथ-साथ सुरक्षा पर स्पष्ट ध्यान देते हुए किया जाना चाहिए।

रक्षात्मक पक्ष पर भी यही तर्क लागू होता है। निगरानी-विरोधी उपकरणों को अपने स्वयं के कनेक्टेड टूल्स की अखंडता पर भी विचार करना चाहिए: उनका रखरखाव कौन करता है, वे कौन सा डेटा बनाते हैं, और अपडेट या कमजोरियों को कैसे संभाला जाता है।

इसका यह अर्थ नहीं है कि अंतिम उपयोगकर्ता स्वतः ही सीआरए रिपोर्टिंग इकाई बन जाता है। यह दायित्व मुख्य रूप से निर्माताओं पर है। इसका यह भी अर्थ नहीं है कि सभी संबंधित सुरक्षा उत्पाद एक ही तरीके से इसके दायरे में आते हैं। इसका अर्थ यह है कि ग्राहकों और एकीकरणकर्ताओं को उत्पाद की "सुरक्षा" होने की व्यापक गारंटी के बजाय विक्रेता की तत्परता के प्रमाण की आवश्यकता बढ़ती जा रही है।.

संपादकीय निष्कर्ष: रिपोर्टिंग से जीवनचक्र परिपक्वता स्पष्ट रूप से दिखाई देती है।

लाइव रिपोर्टिंग की बाध्यता को नियामक समय सीमा तक सीमित करना आसान है। इसका गहरा महत्व यह है कि यह जांच करता है कि निर्माताओं के पास परिपक्व जोखिम-प्रतिक्रिया क्षमता है या नहीं: यानी रिपोर्ट प्राप्त करने, उनकी जांच करने, यह तय करने कि ग्राहकों को क्या जानने की आवश्यकता है, अधिकारियों के साथ समन्वय करने और एक विश्वसनीय समाधान प्रदान करने का तरीका।.

यह क्षमता कनेक्टेड सुरक्षा इकोसिस्टम के लिए एक व्यावहारिक विशिष्टता साबित होगी। खरीदार अपने एसेट मैनेजमेंट या घटना की तैयारी को किसी निर्माता को आउटसोर्स नहीं कर सकते। फिर भी, वे लाइफसाइकिल सपोर्ट, पारदर्शिता और सुरक्षा प्रतिक्रिया को अपनी खरीद का हिस्सा बना सकते हैं - और उन्हें ऐसा करना भी चाहिए।.

जैसे-जैसे साइबर सुरक्षा अधिनियम (सीआरए) दिसंबर 2027 में पूरी तरह लागू होने की ओर बढ़ रहा है, सबसे तैयार संगठन वे होंगे जो साइबर सुरक्षा को भौतिक सुरक्षा के हिस्से के रूप में देखते हैं। वे अपने मौजूदा सिस्टम को जानेंगे, सहायता संपर्कों को बनाए रखेंगे, अनावश्यक जोखिम को सीमित करेंगे, परिवर्तनों की सावधानीपूर्वक योजना बनाएंगे और आपूर्तिकर्ताओं से अपेक्षा करेंगे कि जब कोई खामी महत्वपूर्ण हो तो वे स्पष्ट रूप से संवाद करें।.

लोगों, परिसरों और संपत्तियों की सुरक्षा पर आधारित बाजार के लिए, यह कोई प्रशासनिक अतिरिक्त कार्य नहीं है। यह तेजी से काम का अभिन्न अंग बनता जा रहा है।.

सूत्रों का कहना है

• यूरोपीय आयोग, सीआरए रिपोर्टिंग दायित्व: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
• ENISA, CRA सिंगल रिपोर्टिंग प्लेटफ़ॉर्म: https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
• यूरोपीय आयोग, साइबर रेज़िलिएंस एक्ट का सारांश: https://digital-strategy.ec.europa.eu/en/policies/cra-summary
• यूरोपीय आयोग, कार्यान्वयन मार्गदर्शन घोषणा, 27 जुलाई 2026: https://digital-strategy.ec.europa.eu/en/news/commission-publishes-new-guidance-support-businesses-implementation-cyber-resilience-act
• CERT-EU, थ्रेट लैंडस्केप रिपोर्ट 2025: https://cert.europa.eu/blog/threat-landscape-report-2025