Cyber Resilience Act: cyberodporność produktów z elementami cyfrowymi

Pierwsze obowiązki już obowiązują

Od 11 września 2026 roku producentów wiążą obowiązki raportowania z art. 14 CRA. Dotyczą aktywnie wykorzystywanych podatności oraz poważnych incydentów wpływających na bezpieczeństwo produktu. Terminy są krótkie i liczone w godzinach:

• Wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiedzy, do ENISA i właściwego CSIRT.
• Pełne zgłoszenie w ciągu 72 godzin.
• Sprawozdanie końcowe: przy aktywnie wykorzystywanej podatności nie później niż 14 dni po udostępnieniu poprawki, przy poważnym incydencie w ciągu miesiąca od zgłoszenia.
• Zgłoszenia idą przez wspólną platformę raportowania uruchomioną razem ze startem obowiązków.

Dlaczego 24 godziny to problem organizacyjny, nie prawny

Doba na wczesne ostrzeżenie oznacza, że firma musi mieć ustalone z wyprzedzeniem trzy rzeczy: kto podejmuje decyzję o zgłoszeniu, skąd bierze dane techniczne o podatności i kto ma dostęp do platformy raportowania. Jeśli którakolwiek z nich jest rozstrzygana dopiero w chwili incydentu, termin przepada, nawet jeśli zespół techniczny pracuje sprawnie. Ta usługa w dużej mierze polega właśnie na ustawieniu tego procesu, nie na napisaniu dokumentu.

Reszta obowiązków od 11 grudnia 2027

Główny zestaw obowiązków producenta zaczyna obowiązywać 11 grudnia 2027 roku: spełnienie zasadniczych wymogów cyberbezpieczeństwa, ocena zgodności, dokumentacja techniczna, oznakowanie CE, wsparcie w okresie wsparcia produktu oraz udostępnianie aktualizacji bezpieczeństwa. Notyfikacja jednostek oceniających zgodność ruszyła wcześniej, w połowie 2026 roku, żeby rynek zdążył się przygotować przed tą datą.

Kogo to dotyczy

Adresatem jest producent produktu z elementami cyfrowymi, ale definicja jest szersza, niż wiele firm zakłada:

• Producenci urządzeń łączących się z siecią, od sprzętu przemysłowego po elektronikę użytkową i IoT.
• Producenci oprogramowania udostępnianego na rynku unijnym, także w modelu subskrypcyjnym.
• Firmy, które udostępniają produkt pod własną marką, nawet jeśli fizycznie wytwarza go ktoś inny.
• Importerzy i dystrybutorzy, w węższym zakresie: mają obowiązek sprawdzić, czy producent dopełnił swoich.
• Rozporządzenie przewiduje wyłączenia, między innymi dla wolnego i otwartego oprogramowania rozwijanego poza działalnością handlową. Kwalifikację trzeba zrobić indywidualnie.

Kary

Naruszenie zasadniczych wymogów cyberbezpieczeństwa zagrożone jest karą do 15 mln euro albo 2,5% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Naruszenie pozostałych obowiązków z rozporządzenia to do 10 mln euro albo 2% obrotu.

Co dostajesz

• Ocenę, czy Twój produkt jest produktem z elementami cyfrowymi w rozumieniu CRA i w której kategorii się mieści.
• Ustawiony proces raportowania: role, ścieżka decyzyjna, dostępy i gotowe szablony zgłoszeń w terminach 24, 72 godzin i sprawozdania końcowego.
• Politykę obsługi podatności wraz z punktem kontaktowym dla zgłoszeń z zewnątrz.
• Zestawienie składników oprogramowania (SBOM) i tryb jego aktualizacji.
• Analizę różnic wobec zasadniczych wymogów obowiązujących od 11 grudnia 2027, z planem prac rozłożonym w czasie.
• Szkielet dokumentacji technicznej pod ocenę zgodności i oznakowanie CE.

Przebieg współpracy

1. Etap 1

   Kwalifikacja produktu

   Ustalamy, czy i w jakiej kategorii produkt podlega CRA oraz jaka jest rola Twojej firmy: producent, importer czy dystrybutor. Od tego zależy cały dalszy zakres.

2. Etap 2

   Proces raportowania

   Pilny, bo obowiązek z art. 14 już działa. Ustalamy role, ścieżkę decyzyjną i dostępy, przygotowujemy szablony i przeprowadzamy próbę na przykładzie.

3. Etap 3

   Analiza różnic

   Porównanie obecnego cyklu wytwarzania z zasadniczymi wymogami CRA: bezpieczeństwo domyślne, aktualizacje, obsługa podatności, SBOM.

4. Etap 4

   Dokumentacja i przygotowanie do oceny zgodności

   Budowa dokumentacji technicznej i planu dojścia do oznakowania CE przed 11 grudnia 2027. Zakres zależy od kategorii produktu.

Zapytaj o wycenę

Wycena jest indywidualna i zależy od zakresu. Po wypełnieniu formularza odzywamy się z pytaniami uzupełniającymi albo od razu z propozycją zakresu.

Najczęściej zadawane pytania