Cyber Resilience Act (CRA)

w skrócie

czym jest

Rozporządzenie (UE) 2024/2847, stosowane bezpośrednio. Prawo o produktach: ustanawia wymagania bezpieczeństwa dla produktów z elementami cyfrowymi, a egzekwowanie przebiega jak przy innych produktach z oznakowaniem CE.

kogo dotyczy

Producentów, importerów i dystrybutorów sprzętu i oprogramowania udostępnianych na rynku UE. Opiekunowie oprogramowania otwartego mają własne, lżejsze obowiązki.

próg wielkości

Brak dla obowiązków. Mikro i małe przedsiębiorstwa mają ulgę w dwóch sprawach: jeden termin zgłoszenia i przepisy o karach za jego uchybienie.

górne granice kar

15 mln euro lub 2,5% światowego obrotu za wymagania bezpieczeństwa oraz podstawowe obowiązki producenta i zgłaszanie. 10 mln euro lub 2% za inne wymienione obowiązki. 5 mln euro lub 1% za wprowadzające w błąd informacje dla organów.

terminy

11 września 2026 r. zgłaszanie. 11 grudnia 2027 r. cała reszta. 11 czerwca 2026 r. przepisy o jednostkach notyfikowanych.

stan

W mocy od 10 grudnia 2024 r. Zgłaszanie obowiązuje już teraz.

podstawa CRA art. 2(1), 3(13), 14(2), 64(2), 64(3), 64(4), 64(10), 71(2)

czy Cię dotyczy?

cała praca, po kolei

Fazy, z właścicielem każdego kroku i dowodem, który zostaje. Otwórz fazę, żeby zobaczyć jej kroki.

• poznaj swoją rolę i swój produkt

  Ustal, które produkty są objęte, jaką rolę pełnisz przy każdym i do jakiego pasma każdy należy.

  kroków: 4
• wbuduj bezpieczeństwo w produkt

  Zamień wymagania dla produktu w rzeczy, które zespół projektuje, buduje i testuje.

  kroków: 5
• obsługuj podatności i zgłaszaj

  Umieć przyjąć zgłoszenie podatności, naprawić lukę i wysłać wczesne ostrzeżenie, zgłoszenie po 72 godzinach i sprawozdanie końcowe na czas.

  kroków: 7
• ustal okres wsparcia i zbuduj dokumentację techniczną

  Zdecyduj, jak długo wspierasz każdy produkt, prowadź dowody w dokumentacji technicznej i zakończ ocenę zgodności dla pasma produktu.

  kroków: 8
• pytaj dostawców i odpowiadaj kupującym

  Sprawdź, co dostajesz z łańcucha, poproś własnych dostawców o to, czego wymaga od Ciebie prawo, i przygotuj się na pytania klientów.

  kroków: 5

terminy

Co od kiedy obowiązuje. Odwołanie stoi pod każdą datą.

1. 11 czerwca 2026zaczynają obowiązywać przepisy o jednostkach notyfikowanych do oceny zgodnościCRA art. 71(2)obowiązuje
2. 11 września 2026zaczyna obowiązywać zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentówCRA art. 71(2)obowiązuje
3. 11 grudnia 2027zaczyna obowiązywać reszta Cyber Resilience ActCRA art. 71(2)wchodzi

górne granice kar

Górne granice, które ustala każdy tekst. Odwołanie stoi pod każdą.

• wymagania bezpieczeństwa i podstawowe obowiązkido 15 mln euro lub 2,5% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaCRA art. 64(2)

  Obejmuje wymagania bezpieczeństwa oraz podstawowe obowiązki producenta i obowiązki zgłoszeniowe.

• pozostałe wymienione obowiązkido 10 mln euro lub 2% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaCRA art. 64(3)

  Pozostałe obowiązki wymienione w artykule.

• wprowadzające w błąd informacjedo 5 mln euro lub 1% całkowitego rocznego obrotu na świecie, zależnie od tego, która kwota jest wyższaCRA art. 64(4)

  Za wprowadzające w błąd informacje podane organom.

czego wymaga i czym to spełnić

Przepis opisuje, co ma być prawdą w firmie. Nie wskazuje narzędzi ani metod: wybierasz je Ty, a za wybór odpowiadają wdrażający i zarząd. Pod każdym wymaganiem stoją zabezpieczenia, którymi najczęściej się je spełnia. To nasze odczytanie przepisu, nie lista z aktu.

1. CRA art. 13(1)

   Producenci: produkt zaprojektowany, opracowany i wytworzony tak, by spełniał wymagania bezpieczeństwa z załącznika I części I.

   • bezpieczne wytwarzanie oprogramowania
2. CRA art. 13(5)

   Komponenty podmiotów trzecich, także otwartoźródłowe, wymagają należytej staranności.

   • SBOM i sprawdzanie komponentów
3. CRA art. 14(1)

   Producenci zgłaszają aktywnie wykorzystywaną podatność w swoim produkcie: wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie w ciągu 72 godzin i sprawozdanie końcowe.

   • ujawnianie podatności
4. CRA załącznik I część I

   Brak znanych możliwych do wykorzystania podatności w chwili wydania, bezpieczne ustawienia domyślne, kontrola dostępu, ochrona danych, ograniczona powierzchnia ataku i rejestrowanie zdarzeń.

   • bezpieczne wytwarzanie oprogramowania
5. CRA załącznik I część II

   Producenci: aktualizacje bezpieczeństwa bez zwłoki, regularne testy bezpieczeństwa i publiczna informacja o naprawionych podatnościach.

   • zarządzanie podatnościami
   • ujawnianie podatności
   • SBOM i sprawdzanie komponentów
6. dodatkowo w planie wdrożenia
   • rejestr ryzyka
   • zarządzanie dostawcami
   • zarządzanie incydentami

jak pasuje do pozostałych

• NIS2

  CRA uzupełnia NIS2: NIS2 dotyczy tego, jak prowadzisz własne bezpieczeństwo, a CRA produktów, które wytwarzasz lub sprzedajesz.