Newsletter Akt o cyberodporności (Cyber Resilience Act) – wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi, obowiązki i terminy

Szanowni Państwo,

W dniu 20 listopada 2024 r. w Dzienniku Urzędowym Unii Europejskiej opublikowane zostało rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi oraz w sprawie zmiany rozporządzeń (UE) nr 168/2013 i (UE) 2019/1020 i dyrektywy (UE) 2020/1828 – tzw. akt o cyberodporności (Cyber Resilience Act, CRA). Jest to pierwszy akt prawa unijnego, który w sposób horyzontalny – niezależnie od branży – nakłada obowiązkowe wymogi cyberbezpieczeństwa na sprzęt i oprogramowanie wprowadzane na rynek UE, i to przez cały cykl życia produktu: od projektowania, przez produkcję i sprzedaż, aż po obsługę podatności w okresie wsparcia.

CRA jest rozporządzeniem, a więc stosuje się je bezpośrednio we wszystkich państwach członkowskich, bez konieczności wdrażania do prawa krajowego. Akt ten uzupełnia dyrektywę NIS2 i znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa: o ile NIS2 i ustawa o KSC dotyczą bezpieczeństwa organizacji (podmiotów kluczowych i ważnych oraz ich systemów informacyjnych), o tyle CRA dotyczy bezpieczeństwa samego produktu – oprogramowania, urządzeń i komponentów, które producenci, importerzy i dystrybutorzy udostępniają na rynku.

W niniejszym newsletterze przedstawiamy zakres przedmiotowy i podmiotowy rozporządzenia, kategorie produktów i procedury oceny zgodności, zasadnicze wymagania w zakresie cyberbezpieczeństwa, obowiązki poszczególnych podmiotów gospodarczych, obowiązki zgłoszeniowe, sankcje oraz harmonogram stosowania przepisów.

Obowiązek już obowiązuje: 11 września 2026 r. Od tego dnia producenci produktów z elementami cyfrowymi mają obowiązek zgłaszania aktywnie wykorzystywanych podatności oraz poważnych incydentów mających wpływ na bezpieczeństwo ich produktów – wczesne ostrzeżenie w ciągu 24 godzin od momentu, w którym producent dowiedział się o zdarzeniu (art. 14 i art. 71 ust. 2 CRA). Zgłoszeń dokonuje się za pośrednictwem pojedynczej platformy sprawozdawczej (Single Reporting Platform) prowadzonej przez ENISA, uruchomionej 11 września 2026 r.; w Polsce funkcję CSIRT wyznaczonego na koordynatora pełni CERT Polska (CSIRT NASK). Obowiązek zgłoszeniowy dotyczy także produktów wprowadzonych do obrotu przed tą datą (art. 69 ust. 3 CRA) – a więc całego portfela produktów znajdujących się na rynku UE, a nie wyłącznie nowych wdrożeń. Pozostałe obowiązki (zasadnicze wymagania, ocena zgodności, oznakowanie CE) będą stosowane od 11 grudnia 2027 r.

1. Geneza i harmonogram stosowania przepisów

Rozporządzenie (UE) 2024/2847 – akt o cyberodporności

• 23 października 2024 r. – przyjęcie rozporządzenia przez Parlament Europejski i Radę.
• 20 listopada 2024 r. – publikacja w Dzienniku Urzędowym UE (Dz. Urz. UE L, 2024/2847).
• 10 grudnia 2024 r. – wejście w życie rozporządzenia (dwudziestego dnia po publikacji, art. 71 ust. 1).
• 11 grudnia 2025 r. – termin na przyjęcie przez Komisję aktu wykonawczego zawierającego techniczny opis kategorii ważnych i krytycznych produktów z elementami cyfrowymi (art. 7 ust. 4) oraz aktów delegowanych dotyczących opóźniania rozpowszechniania zgłoszeń (art. 14 ust. 9).
• 11 czerwca 2026 r. – rozpoczęcie stosowania przepisów rozdziału IV (art. 35–51) dotyczących notyfikacji jednostek oceniających zgodność – od tego dnia państwa członkowskie mogą wyznaczać i notyfikować jednostki uprawnione do przeprowadzania ocen zgodności.
• 11 września 2026 r. – rozpoczęcie stosowania art. 14 – obowiązku zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów przez producentów; uruchomienie platformy sprawozdawczej ENISA.
• 11 grudnia 2027 r. – pełne stosowanie rozporządzenia: zasadnicze wymagania, ocena zgodności, deklaracja zgodności UE, oznakowanie CE, obowiązki importerów, dystrybutorów i opiekunów otwartego oprogramowania, nadzór rynku i kary.
• 11 czerwca 2028 r. – wygaśnięcie ważności certyfikatów badania typu UE i decyzji o zatwierdzeniu wydanych w zakresie cyberbezpieczeństwa na podstawie innych unijnych przepisów harmonizacyjnych (art. 69 ust. 1), chyba że wygasają wcześniej.
• 11 grudnia 2030 r. – pierwsze sprawozdanie Komisji z oceny i przeglądu rozporządzenia, a następnie co cztery lata (art. 70 ust. 1).

Relacja CRA z dyrektywą NIS2 i ustawą o KSC

Oba reżimy funkcjonują równolegle i się uzupełniają. Spółka może jednocześnie być podmiotem kluczowym lub ważnym w rozumieniu ustawy o KSC (np. jako producent komputerów, wyrobów elektronicznych, maszyn czy dostawca usług zarządzanych) oraz producentem w rozumieniu CRA. W praktyce CRA będzie również istotnie wpływać na relacje handlowe: podmioty kluczowe i ważne, zobowiązane do oceny bezpieczeństwa swojego łańcucha dostaw ICT, będą oczekiwać od dostawców sprzętu i oprogramowania wykazania zgodności z CRA (oznakowanie CE, deklaracja zgodności, zestawienie komponentów oprogramowania, deklarowany okres wsparcia).

2. Co reguluje akt – zakres przedmiotowy

Rozporządzenie ustanawia (art. 1): przepisy dotyczące udostępniania na rynku produktów z elementami cyfrowymi, zasadnicze wymagania w zakresie cyberbezpieczeństwa dotyczące ich projektowania, opracowywania i produkcji, zasadnicze wymagania dotyczące procedur postępowania producentów w przypadku wykrycia podatności przez cały okres oczekiwanego użytkowania produktu, a także przepisy dotyczące nadzoru rynku i egzekwowania tych wymagań.

• Produkt z elementami cyfrowymi – oprogramowanie komputerowe lub sprzęt komputerowy oraz powiązane z nimi rozwiązania w zakresie zdalnego przetwarzania danych, w tym komponenty oprogramowania lub sprzętu wprowadzane do obrotu oddzielnie (art. 3 pkt 1).
• Warunek połączenia z urządzeniem lub siecią – CRA obejmuje produkty, których przeznaczenie lub racjonalnie przewidywalne wykorzystanie obejmuje bezpośrednie lub pośrednie, logiczne lub fizyczne połączenie danych z urządzeniem lub siecią (art. 2 ust. 1) – w praktyce niemal każde współczesne urządzenie elektroniczne i każde oprogramowanie.
• Zdalne przetwarzanie danych (chmura) – rozwiązania chmurowe objęte są CRA wyłącznie wtedy, gdy zostały zaprojektowane przez producenta lub na jego odpowiedzialność, a ich brak uniemożliwiłby produktowi wykonywanie jednej z jego funkcji (art. 3 pkt 2) – np. backend aplikacji mobilnej czy chmura sterująca urządzeniem inteligentnego domu. Samodzielne usługi typu SaaS co do zasady pozostają poza CRA i podlegają reżimowi NIS2.
• Przykładowe produkty – aplikacje mobilne i desktopowe, oprogramowanie instalowane w infrastrukturze klienta, systemy operacyjne, przeglądarki, oprogramowanie zabezpieczające, urządzenia IoT, routery i modemy, kamery, urządzenia inteligentnego domu, elektronika użytkowa, sterowniki przemysłowe, a także komponenty – biblioteki programistyczne, mikroprocesory czy moduły komunikacyjne wprowadzane do obrotu oddzielnie.
• Wprowadzenie do obrotu także bezpłatnie – producentem jest również ten, kto wprowadza produkt do obrotu nieodpłatnie lub „na zasadzie monetyzacji” (art. 3 pkt 13) – brak ceny nie wyłącza stosowania CRA, o ile produkt jest udostępniany w ramach działalności handlowej.

Wyłączenia z zakresu stosowania

• Wyroby medyczne – produkty objęte rozporządzeniem (UE) 2017/745 (wyroby medyczne) i (UE) 2017/746 (wyroby medyczne do diagnostyki in vitro).
• Pojazdy – produkty objęte rozporządzeniem (UE) 2019/2144 w sprawie homologacji typu pojazdów silnikowych.
• Lotnictwo i wyposażenie morskie – produkty certyfikowane zgodnie z rozporządzeniem (UE) 2018/1139 oraz urządzenia objęte dyrektywą 2014/90/UE w sprawie wyposażenia morskiego.
• Części zamienne – części udostępniane w celu wymiany identycznych komponentów i wytwarzane według tych samych specyfikacji (art. 2 ust. 6).
• Bezpieczeństwo narodowe i obronność – produkty opracowane lub zmodyfikowane wyłącznie na potrzeby bezpieczeństwa narodowego lub obronności oraz produkty zaprojektowane specjalnie do przetwarzania informacji niejawnych (art. 2 ust. 7).
• Wolne i otwarte oprogramowanie poza działalnością handlową – oprogramowanie open source, które nie jest udostępniane na rynku w ramach działalności handlowej, pozostaje poza zakresem obowiązków producenta; dla podmiotów wspierających rozwój open source przeznaczonego do celów komercyjnych wprowadzono odrębną, „lżejszą” kategorię opiekuna otwartego oprogramowania (pkt 4 poniżej).

Ponadto Komisja może w drodze aktów delegowanych ograniczyć lub wyłączyć stosowanie CRA do produktów objętych przepisami sektorowymi zapewniającymi co najmniej taki sam poziom ochrony (art. 2 ust. 5).

3. Kategorie produktów i procedury oceny zgodności

Zakres obowiązków w zakresie oceny zgodności zależy od kategorii, do której należy produkt. Rozporządzenie wyróżnia trzy grupy produktów:

• Produkty „domyślne” – wszystkie produkty z elementami cyfrowymi niewymienione w załącznikach III i IV. Producent może wykazać zgodność w drodze samooceny – procedury kontroli wewnętrznej (moduł A, załącznik VIII), bez udziału jednostki notyfikowanej. Tej kategorii podlega zdecydowana większość produktów obecnych na rynku.
• Ważne produkty – klasa I (załącznik III) – m.in. oprogramowanie do zarządzania tożsamością i dostępem uprzywilejowanym oraz czytniki uwierzytelniające (w tym biometryczne), przeglądarki, menedżery haseł, oprogramowanie antywirusowe, produkty z funkcją VPN, systemy zarządzania siecią, systemy SIEM, menedżery uruchamiania systemu, PKI i oprogramowanie do wystawiania certyfikatów, interfejsy sieciowe, systemy operacyjne, routery, modemy i przełączniki, mikroprocesory, mikrokontrolery oraz układy ASIC i FPGA z funkcjami bezpieczeństwa, wirtualni asystenci inteligentnego domu, produkty inteligentnego domu z funkcjami bezpieczeństwa (inteligentne zamki, kamery, nianie elektroniczne, systemy alarmowe), zabawki podłączone do internetu z funkcjami interaktywnymi lub lokalizacją oraz urządzenia do noszenia monitorujące stan zdrowia lub przeznaczone dla dzieci.
• Ważne produkty – klasa II (załącznik III) – hiperwizory i systemy środowiska uruchomieniowego wspomagające zwirtualizowane wykonanie systemów operacyjnych, zapory sieciowe oraz systemy wykrywania i zapobiegania włamaniom (IDS/IPS), mikroprocesory i mikrokontrolery odporne na manipulacje.
• Produkty krytyczne (załącznik IV) – urządzenia sprzętowe ze skrzynkami zabezpieczającymi (HSM), bramy inteligentnych liczników i inne urządzenia do zaawansowanych celów bezpieczeństwa, w tym bezpiecznego kryptoprzetwarzania, a także karty inteligentne i podobne urządzenia, w tym elementy zabezpieczające (secure elements).

Procedury oceny zgodności w zależności od kategorii

• Klasa I – samoocena (moduł A) jest dopuszczalna wyłącznie wtedy, gdy producent w pełni zastosował normy zharmonizowane, wspólne specyfikacje lub europejski program certyfikacji cyberbezpieczeństwa co najmniej na poziomie „istotnym”; w przeciwnym razie konieczne jest badanie typu UE z udziałem jednostki notyfikowanej (moduły B + C) albo pełne zapewnienie jakości (moduł H) – art. 32 ust. 2.
• Klasa II – obowiązkowy udział strony trzeciej: moduły B + C, moduł H albo – jeżeli jest dostępny – europejski program certyfikacji cyberbezpieczeństwa na co najmniej „istotnym” poziomie zaufania (art. 32 ust. 3).
• Produkty krytyczne – europejski certyfikat cyberbezpieczeństwa, jeżeli Komisja wprowadzi taki obowiązek aktem delegowanym (art. 8 ust. 1); do tego czasu – procedury właściwe dla klasy II (art. 32 ust. 4).
• Open source w kategoriach ważnych – producenci wolnego i otwartego oprogramowania należącego do kategorii z załącznika III mogą skorzystać z samooceny, pod warunkiem publicznego udostępnienia dokumentacji technicznej (art. 32 ust. 5).

Istotne jest, że samo zintegrowanie komponentu należącego do kategorii ważnych (np. mikrokontrolera z funkcjami bezpieczeństwa) nie powoduje, że produkt końcowy, w którym ten komponent jest zamontowany, staje się ważnym produktem z elementami cyfrowymi (art. 7 ust. 1). Kwalifikacja zależy od podstawowej funkcjonalności produktu. Przy ustalaniu opłat za ocenę zgodności uwzględnia się interesy mikro-, małych i średnich przedsiębiorstw, w tym start-upów (art. 32 ust. 6).

4. Kogo dotyczą obowiązki – podmioty gospodarcze

• Producent – osoba fizyczna lub prawna, która opracowuje lub wytwarza produkty z elementami cyfrowymi albo zleca ich zaprojektowanie, opracowanie lub wytworzenie i wprowadza je do obrotu pod własną nazwą lub znakiem towarowym – odpłatnie, na zasadzie monetyzacji lub bezpłatnie (art. 3 pkt 13). Na producenta nałożono najszerszy katalog obowiązków (art. 13 i 14).
• Upoważniony przedstawiciel – podmiot z siedzibą w UE działający na podstawie pisemnego pełnomocnictwa producenta; nie może przejąć obowiązków projektowych i dotyczących oceny ryzyka, ale może m.in. przechowywać dokumentację i współpracować z organami nadzoru rynku (art. 18).
• Importer – podmiot z siedzibą w UE, który wprowadza do obrotu produkt opatrzony nazwą lub znakiem towarowym podmiotu spoza UE (art. 3 pkt 16, art. 19).
• Dystrybutor – każdy inny podmiot w łańcuchu dostaw, który udostępnia produkt na rynku bez zmiany jego właściwości (art. 3 pkt 17, art. 20), w tym sprzedawcy hurtowi i detaliczni.
• Opiekun otwartego oprogramowania – osoba prawna inna niż producent, która systematycznie i stale wspiera rozwój konkretnych produktów open source przeznaczonych do celów komercyjnych (np. fundacje) – podlega uproszczonym obowiązkom: polityka cyberbezpieczeństwa, współpraca z organami, zgłaszanie w ograniczonym zakresie (art. 24); nie podlega karom pieniężnym (art. 64 ust. 10 lit. b).
• Kiedy importer, dystrybutor lub inny podmiot staje się producentem – importer lub dystrybutor, który wprowadza produkt pod własną nazwą lub znakiem towarowym (np. model white label) albo dokonuje jego istotnej modyfikacji, podlega pełnym obowiązkom producenta (art. 21). Ta sama zasada dotyczy każdego innego podmiotu, który dokonuje istotnej modyfikacji produktu i udostępnia go na rynku – w zakresie zmodyfikowanej części lub całego produktu, jeżeli modyfikacja wpływa na jego cyberbezpieczeństwo jako całości (art. 22).

Wszystkie podmioty gospodarcze muszą przez 10 lat być w stanie wskazać organom nadzoru rynku, od kogo otrzymały produkt i komu go dostarczyły (art. 23).

5. Zasadnicze wymagania w zakresie cyberbezpieczeństwa produktu

Producent zapewnia, aby produkt został zaprojektowany, opracowany i wyprodukowany zgodnie z zasadniczymi wymaganiami określonymi w załączniku I część I (art. 13 ust. 1). Punktem wyjścia jest udokumentowana ocena ryzyka w cyberprzestrzeni, uwzględniana na etapie planowania, projektowania, produkcji, dostarczania i utrzymania produktu, aktualizowana przez okres wsparcia i włączana do dokumentacji technicznej (art. 13 ust. 2–4). Na podstawie tej oceny produkt – w stosownych przypadkach – musi:

• Brak znanych podatności – być udostępniany bez znanych podatności możliwych do wykorzystania.
• Bezpieczeństwo domyślne (secure by default) – być udostępniany w bezpiecznej konfiguracji domyślnej, z możliwością przywrócenia stanu pierwotnego (chyba że producent i klient biznesowy uzgodnią inaczej dla produktu dostosowanego do indywidualnych potrzeb).
• Aktualizacje zabezpieczeń – umożliwiać eliminowanie podatności przez aktualizacje zabezpieczeń – w tym, w stosownych przypadkach, automatyczne aktualizacje włączone domyślnie, z łatwym mechanizmem rezygnacji (opt-out), powiadamianiem o dostępnych aktualizacjach i możliwością ich tymczasowego odroczenia.
• Kontrola dostępu – chronić przed nieuprawnionym dostępem dzięki mechanizmom uwierzytelniania, identyfikacji i zarządzania dostępem oraz raportować o potencjalnym nieuprawnionym dostępie.
• Poufność i integralność danych – chronić poufność danych (m.in. przez szyfrowanie danych przechowywanych i przesyłanych z użyciem najnowocześniejszych mechanizmów) oraz integralność danych, komend, programów i konfiguracji przed nieautoryzowaną modyfikacją, z powiadamianiem o uszkodzeniach danych.
• Minimalizacja danych – przetwarzać wyłącznie dane adekwatne, stosowne i ograniczone do tego, co niezbędne w związku z przeznaczeniem produktu.
• Dostępność i odporność – chronić dostępność podstawowych funkcji, także po incydencie, w tym zapewniać odporność na ataki typu „odmowa usługi”, oraz minimalizować negatywny wpływ na dostępność usług innych urządzeń i sieci.
• Ograniczenie powierzchni ataku – być projektowany z ograniczeniem powierzchni ataku, w tym interfejsów zewnętrznych, oraz z mechanizmami łagodzenia skutków wykorzystania podatności.
• Rejestrowanie i monitorowanie – dostarczać informacji związanych z bezpieczeństwem przez rejestrowanie i monitorowanie istotnej aktywności wewnętrznej (z możliwością rezygnacji przez użytkownika).
• Bezpieczne usuwanie danych – umożliwiać użytkownikom bezpieczne i łatwe trwałe usunięcie wszystkich danych i ustawień oraz bezpieczne przeniesienie danych do innych produktów lub systemów.

Jeżeli któreś z wymagań nie ma zastosowania do danego produktu, producent zamieszcza w dokumentacji technicznej wyraźne uzasadnienie (art. 13 ust. 4).

6. Obowiązki producenta – obsługa podatności, okres wsparcia i dokumentacja

Postępowanie w przypadku wykrycia podatności (załącznik I część II)

• Zestawienie komponentów oprogramowania (SBOM) – identyfikowanie i dokumentowanie podatności i komponentów produktu, w tym sporządzenie zestawienia podstawowych materiałów do produkcji oprogramowania (Software Bill of Materials) w powszechnie używanym formacie nadającym się do odczytu maszynowego, obejmującego co najmniej zależności najwyższego poziomu.
• Szybka reakcja i aktualizacje – bezzwłoczne eliminowanie podatności, w tym przez aktualizacje zabezpieczeń – w miarę możliwości technicznych dostarczane oddzielnie od aktualizacji funkcjonalnych, bezpłatnie i wraz z komunikatami doradczymi dla użytkowników.
• Testy bezpieczeństwa – przeprowadzanie skutecznych i regularnych testów i przeglądów bezpieczeństwa produktu.
• Publiczne ujawnianie – po udostępnieniu aktualizacji – publikowanie informacji o naprawionych podatnościach (opis, identyfikacja produktu, skutki, dotkliwość, sposób usunięcia); w uzasadnionych przypadkach publikację można opóźnić do czasu wdrożenia poprawki przez użytkowników.
• Polityka skoordynowanego ujawniania podatności (CVD) – wprowadzenie i egzekwowanie polityki CVD oraz udostępnienie adresu kontaktowego do zgłaszania podatności, także w komponentach stron trzecich.
• Bezpieczna dystrybucja aktualizacji – zapewnienie mechanizmów bezpiecznej dystrybucji aktualizacji, w przypadku aktualizacji zabezpieczeń – automatycznie.

Okres wsparcia i pozostałe obowiązki

• Okres wsparcia – co najmniej 5 lat – producent określa okres wsparcia odzwierciedlający oczekiwany czas użytkowania produktu; co do zasady wynosi on co najmniej pięć lat, a krócej wyłącznie wtedy, gdy przewidywany czas użytkowania produktu jest krótszy (art. 13 ust. 8). Datę zakończenia okresu wsparcia (co najmniej miesiąc i rok) należy jasno wskazać w momencie zakupu, a po jego upływie – tam, gdzie to technicznie wykonalne – powiadomić użytkownika (art. 13 ust. 19).
• Dostępność aktualizacji przez 10 lat – każda aktualizacja zabezpieczeń udostępniona w okresie wsparcia musi pozostać dostępna przez co najmniej 10 lat od jej wydania lub przez pozostałą część okresu wsparcia, w zależności od tego, który okres jest dłuższy (art. 13 ust. 9).
• Komponenty stron trzecich i open source – należyta staranność przy integrowaniu komponentów stron trzecich, w tym open source; wykrytą w komponencie podatność producent zgłasza podmiotowi utrzymującemu komponent i udostępnia mu opracowaną poprawkę (art. 13 ust. 5–6).
• Dokumentacja techniczna, deklaracja zgodności UE i oznakowanie CE – sporządzenie dokumentacji technicznej (załącznik VII), przeprowadzenie oceny zgodności, wystawienie deklaracji zgodności UE i umieszczenie oznakowania CE; przechowywanie dokumentacji przez co najmniej 10 lat lub przez okres wsparcia, jeżeli jest dłuższy (art. 13 ust. 12–13).
• Informacje i instrukcje dla użytkowników – dołączenie do produktu informacji określonych w załączniku II – m.in. danych kontaktowych producenta, pojedynczego punktu kontaktowego do zgłaszania podatności, informacji o przeznaczeniu i środowisku bezpieczeństwa, daty zakończenia okresu wsparcia, instrukcji bezpiecznej instalacji, aktualizacji i wycofania z użytku (art. 13 ust. 16–18).
• Środki naprawcze – niezwłoczne wprowadzenie środków naprawczych, wycofanie lub odzyskanie produktu w razie stwierdzenia niezgodności oraz współpraca z organami nadzoru rynku (art. 13 ust. 21–22).
• Zaprzestanie działalności – obowiązek uprzedniego poinformowania organów nadzoru rynku i użytkowników o zaprzestaniu działalności, które uniemożliwi dalsze zapewnianie zgodności (art. 13 ust. 23).

7. Obowiązki zgłaszania – terminy 24h / 72h / 14 dni / 1 miesiąc

Aktywnie wykorzystywane podatności (art. 14 ust. 1–2)

• Wczesne ostrzeżenie – bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od momentu, w którym producent dowiedział się o aktywnie wykorzystywanej podatności – ze wskazaniem, w stosownych przypadkach, państw członkowskich, w których produkt jest udostępniany.
• Zgłoszenie podatności – nie później niż w ciągu 72 godzin – z ogólnymi informacjami o produkcie, charakterze wykorzystania i podatności oraz o podjętych środkach naprawczych lub łagodzących i środkach, które mogą podjąć użytkownicy.
• Sprawozdanie końcowe – nie później niż 14 dni po udostępnieniu środka naprawczego lub łagodzącego – z opisem podatności, jej dotkliwości i skutków, informacjami o podmiocie, który ją wykorzystał (jeżeli są dostępne), oraz szczegółami aktualizacji zabezpieczeń.

Poważne incydenty mające wpływ na bezpieczeństwo produktu (art. 14 ust. 3–5)

• Wczesne ostrzeżenie – nie później niż w ciągu 24 godzin – ze wskazaniem, czy istnieje podejrzenie, że incydent został spowodowany działaniem bezprawnym lub w złym zamiarze.
• Zgłoszenie incydentu – nie później niż w ciągu 72 godzin od momentu, w którym producent dowiedział się o incydencie.
• Sprawozdanie końcowe – w terminie jednego miesiąca od zgłoszenia 72-godzinnego – z opisem incydentu, jego dotkliwości i skutków, pierwotnej przyczyny oraz zastosowanych środków ograniczających ryzyko.
• Kiedy incydent jest „poważny” – gdy negatywnie wpływa lub może wpływać na zdolność produktu do ochrony dostępności, autentyczności, integralności lub poufności wrażliwych lub ważnych danych lub funkcji, albo gdy doprowadził lub może doprowadzić do wprowadzenia lub uruchomienia złośliwego kodu w produkcie lub w systemach użytkownika (art. 14 ust. 5).
• Informowanie użytkowników – producent informuje użytkowników, na których podatność lub incydent ma wpływ (a w stosownych przypadkach wszystkich użytkowników), o zdarzeniu i środkach łagodzących; jeżeli tego nie zrobi w odpowiednim czasie, informację może przekazać CSIRT (art. 14 ust. 8).

Zgłoszeń dokonuje się wyłącznie za pośrednictwem pojedynczej platformy sprawozdawczej ENISA, z wykorzystaniem punktu zgłoszeń CSIRT wyznaczonego na koordynatora w państwie członkowskim głównej siedziby producenta w UE – tj. w państwie, w którym głównie podejmowane są decyzje dotyczące cyberbezpieczeństwa jego produktów (art. 14 ust. 7). Zgłoszenie jest jednocześnie dostępne dla ENISA i przekazywane innym właściwym CSIRT – nie trzeba go dokonywać odrębnie w każdym państwie, w którym produkt jest sprzedawany. Producenci spoza UE ustalają właściwy CSIRT według kolejności wskazanej w rozporządzeniu (siedziba upoważnionego przedstawiciela, importera, dystrybutora, a w ostateczności państwo z największą liczbą użytkowników). Dla producentów z główną siedzibą w Polsce koordynatorem jest CERT Polska (CSIRT NASK).

Obowiązek dotyczy wyłącznie podatności aktywnie wykorzystywanych, tj. takich, co do których istnieją wiarygodne dowody, że podmiot działający w złym zamiarze wykorzystał je bez zgody właściciela systemu (art. 3 pkt 42). Podatności wykryte i usunięte, zanim zostały wykorzystane, nie podlegają obowiązkowemu zgłoszeniu (rozporządzenie przewiduje natomiast możliwość zgłoszeń dobrowolnych – art. 15). Mikro- i małym przedsiębiorcom nie grozi kara pieniężna za niedotrzymanie terminu 24-godzinnego wczesnego ostrzeżenia (art. 64 ust. 10 lit. a) – nie zwalnia ich to jednak z samego obowiązku zgłoszenia.

8. Obowiązki importerów i dystrybutorów

Importerzy (art. 19)

• Weryfikacja przed wprowadzeniem do obrotu – upewnienie się, że producent przeprowadził ocenę zgodności, sporządził dokumentację techniczną, a produkt nosi oznakowanie CE i posiada deklarację zgodności UE, instrukcje, dane kontaktowe oraz informację o okresie wsparcia.
• Zakaz wprowadzania produktów niezgodnych – jeżeli importer ma powody sądzić, że produkt lub procedury producenta nie są zgodne z CRA, nie wprowadza go do obrotu; w razie znacznego ryzyka informuje producenta i organy nadzoru rynku.
• Oznaczenie importera – umieszczenie na produkcie, opakowaniu lub w dokumentach swojej nazwy i danych kontaktowych.
• Podatności i środki naprawcze – niezwłoczne informowanie producenta o wykrytych podatnościach, wprowadzanie środków naprawczych oraz informowanie organów i użytkowników, gdy producent zaprzestał działalności.
• Przechowywanie dokumentów – przechowywanie kopii deklaracji zgodności UE przez co najmniej 10 lat lub przez okres wsparcia, jeżeli jest dłuższy.

Dystrybutorzy (art. 20)

• Należyta staranność – sprawdzenie przed udostępnieniem produktu, czy nosi on oznakowanie CE oraz czy producent i importer wypełnili obowiązki informacyjne (dane kontaktowe, instrukcje, okres wsparcia, deklaracja zgodności).
• Wstrzymanie sprzedaży i informowanie – nieudostępnianie produktów, co do których istnieją podejrzenia niezgodności, informowanie producenta o podatnościach oraz – w razie istotnego ryzyka – organów nadzoru rynku.

9. Nadzór rynku i sankcje

• Organy nadzoru rynku – państwa członkowskie wyznaczają organy nadzoru rynku działające na podstawie rozporządzenia (UE) 2019/1020, koordynowane w ramach grupy współpracy administracyjnej (ADCO). Organy mogą żądać dokumentacji, nakazywać środki naprawcze, ograniczać udostępnianie produktu na rynku, wycofywać go z obrotu lub nakazywać jego odzyskanie.
• Najpoważniejsze naruszenia – niezgodność z zasadniczymi wymaganiami (załącznik I) oraz z obowiązkami producenta z art. 13 i 14 (w tym obowiązkiem zgłaszania) – administracyjna kara pieniężna do 15 000 000 EUR lub do 2,5% łącznego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa (art. 64 ust. 2).
• Pozostałe obowiązki – naruszenie m.in. obowiązków upoważnionych przedstawicieli, importerów i dystrybutorów, zasad dotyczących deklaracji zgodności, oznakowania CE, dokumentacji technicznej i procedur oceny zgodności – kara do 10 000 000 EUR lub do 2% łącznego rocznego światowego obrotu (art. 64 ust. 3).
• Nieprawdziwe informacje – przekazanie jednostkom notyfikowanym lub organom nadzoru rynku informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd – kara do 5 000 000 EUR lub do 1% łącznego rocznego światowego obrotu (art. 64 ust. 4).
• Wymiar kary – przy ustalaniu wysokości kary uwzględnia się charakter, wagę i czas trwania naruszenia, wcześniejsze kary za podobne naruszenia oraz wielkość i udział w rynku podmiotu – ze szczególnym uwzględnieniem MŚP i start-upów (art. 64 ust. 5).
• Powództwa przedstawicielskie – naruszenia CRA szkodzące zbiorowym interesom konsumentów mogą być dochodzone w drodze powództw przedstawicielskich na podstawie dyrektywy (UE) 2020/1828 (art. 65).

Szczegółowe przepisy dotyczące kar oraz wskazanie organów nadzoru rynku należą do państw członkowskich (art. 64 ust. 1). Zalecamy bieżące śledzenie prac legislacyjnych w Polsce w tym zakresie.

10. Przepisy przejściowe i powiązania z innymi aktami

• Produkty już znajdujące się na rynku – produkty wprowadzone do obrotu przed 11 grudnia 2027 r. podlegają wymaganiom CRA tylko wtedy, gdy po tej dacie zostaną istotnie zmodyfikowane (art. 69 ust. 2). Istotną modyfikacją jest zmiana wpływająca na zgodność z zasadniczymi wymaganiami lub zmieniająca przeznaczenie produktu (art. 3 pkt 30).
• Wyjątek – obowiązek zgłaszania – obowiązki z art. 14 stosuje się do wszystkich produktów objętych CRA, także wprowadzonych do obrotu przed 11 grudnia 2027 r. (art. 69 ust. 3) – w praktyce od 11 września 2026 r.
• Kolejne wersje oprogramowania – w przypadku kolejnych istotnie zmodyfikowanych wersji oprogramowania producent może zapewniać aktualizacje tylko dla wersji najnowszej, pod warunkiem że użytkownicy starszych wersji mają do niej bezpłatny dostęp bez dodatkowych kosztów dostosowania (art. 13 ust. 10).
• Systemy AI wysokiego ryzyka – produkty spełniające zasadnicze wymagania CRA uznaje się za spełniające wymogi cyberbezpieczeństwa z art. 15 aktu o sztucznej inteligencji (rozporządzenie (UE) 2024/1689), jeżeli zostało to wykazane w deklaracji zgodności UE; ocenę przeprowadza się w procedurze właściwej dla AI Act (art. 12).
• Certyfikaty wydane na podstawie innych przepisów – certyfikaty badania typu UE w zakresie cyberbezpieczeństwa wydane na podstawie innego unijnego prawodawstwa harmonizacyjnego zachowują ważność do 11 czerwca 2028 r. (art. 69 ust. 1).

Uwaga – kluczowe zastrzeżenie: choć główne obowiązki CRA będą stosowane dopiero od 11 grudnia 2027 r., z przygotowaniami nie należy czekać. Obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów jest egzekwowalny już od 11 września 2026 r. i obejmuje wszystkie produkty obecne na rynku UE – samo rozporządzenie nie przewiduje dla niego okresu karencji. Jednocześnie produkty, które są obecnie projektowane i będą sprzedawane po 11 grudnia 2027 r., już teraz powinny być rozwijane zgodnie z zasadą security by design, ponieważ wymogi dotyczą całego cyklu życia produktu, a dostępność jednostek notyfikowanych dla produktów klasy II i produktów krytycznych może okazać się ograniczona.

11. Co warto rozważyć

• Inwentaryzację portfela produktów i ich klasyfikację – ustalenie, które produkty (w tym oprogramowanie, aplikacje, urządzenia i komponenty) są objęte CRA, czy należą do kategorii domyślnej, ważnej (klasa I lub II) czy krytycznej, oraz w jakiej roli występuje spółka: producenta, importera czy dystrybutora (z uwzględnieniem modeli white label i istotnych modyfikacji).
• Natychmiastowe wdrożenie procedury zgłaszania w reżimie 24h / 72h / 14 dni / 1 miesiąc – ustalenie państwa głównej siedziby i właściwego CSIRT, rejestrację na platformie sprawozdawczej ENISA, wyznaczenie osób odpowiedzialnych, dyżurów i ścieżki eskalacji oraz przygotowanie wzorów zgłoszeń i komunikatów dla użytkowników.
• Wdrożenie procesu monitorowania podatności w produktach i ich komponentach, w tym informacji o aktywnym wykorzystaniu podatności – bez wiedzy o komponentach produktu dotrzymanie 24-godzinnego terminu jest w praktyce niemożliwe.
• Przygotowanie zestawienia komponentów oprogramowania (SBOM) w formacie nadającym się do odczytu maszynowego dla każdego produktu.
• Opracowanie i opublikowanie polityki skoordynowanego ujawniania podatności (CVD) oraz uruchomienie pojedynczego punktu kontaktowego dla zgłoszeń od użytkowników i badaczy bezpieczeństwa.
• Określenie okresu wsparcia dla poszczególnych produktów (co do zasady co najmniej 5 lat) i oszacowanie kosztów zapewnienia aktualizacji zabezpieczeń oraz ich 10-letniej dostępności.
• Przegląd umów z dostawcami komponentów, podwykonawcami (w tym software house’ami), importerami i dystrybutorami – pod kątem obowiązków dotyczących informowania o podatnościach, przekazywania SBOM, zapewniania poprawek, okresu wsparcia oraz podziału odpowiedzialności za naruszenia CRA.
• Włączenie zasad security by design i security by default do procesu wytwórczego, przeprowadzenie i udokumentowanie oceny ryzyka w cyberprzestrzeni oraz przygotowanie dokumentacji technicznej zgodnej z załącznikiem VII.
• Wybór procedury oceny zgodności i – w przypadku produktów ważnych klasy II i krytycznych, a także produktów klasy I bez pełnego zastosowania norm zharmonizowanych – wczesne nawiązanie kontaktu z jednostką notyfikowaną.
• Aktualizację informacji i instrukcji dla użytkowników (załącznik II), w tym wskazanie daty zakończenia okresu wsparcia, oraz przygotowanie wzoru deklaracji zgodności UE.
• Bieżące śledzenie aktów wykonawczych i delegowanych Komisji, norm zharmonizowanych, wytycznych ENISA i grupy ADCO oraz polskich przepisów dotyczących organów nadzoru rynku i kar.
• Uwzględnienie powiązań z innymi reżimami – ustawą o KSC (NIS2), aktem o sztucznej inteligencji, RODO oraz rozporządzeniem w sprawie maszyn – tak, aby wdrażane procedury i dokumentacja mogły służyć jednocześnie kilku celom regulacyjnym.

KONSULTACJA

W przypadku pytań lub chęci nawiązania współpracy, serdecznie zapraszamy do kontaktu.