Cyber Resilience Act (CRA): cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Ustal, które produkty są objęte, jaką rolę pełnisz przy każdym i do jakiego pasma każdy należy.

1. 1.1

   wypisz produkty objęte rozporządzeniem

   Wypisz każdy produkt sprzętowy lub programowy, którego przeznaczenie albo dające się przewidzieć użycie obejmuje połączenie z urządzeniem lub siecią, bezpośrednie albo pośrednie. Dodaj produkty udostępniane bezpłatnie i te, które już są na rynku, bo obowiązek zgłaszania je także obejmuje.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   rejestr produktów z powodem, dla którego każdy produkt jest objęty albo nie

   dowód, który zostaje

   rejestr z datą, zatwierdzony przez kierownictwo

   strona pracy

   podstawa CRA art. 2(1); CRA art. 69(3)

2. 1.2

   ustal swoją rolę przy każdym produkcie

   Oznacz każdy produkt jako wytwarzany, importowany albo dystrybuowany przez Ciebie. Importer lub dystrybutor jest traktowany jak producent, gdy wprowadza produkt do obrotu pod własną nazwą lub znakiem towarowym albo istotnie modyfikuje produkt już będący na rynku.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   wpis o roli przy każdym produkcie, z uzasadnieniem

   dowód, który zostaje

   wpisy w rejestrze, przeglądane przy zmianie produktu lub umowy

   podstawa CRA art. 3(13), 3(16), 3(17); CRA art. 21

3. 1.3

   przypisz każdy produkt do pasma

   Porównaj główną funkcję każdego produktu z wykazami produktów ważnych (klasa I i klasa II) oraz krytycznych. Większość produktów należy do pasma domyślnego. Pasmo decyduje o tym, jak rygorystyczna musi być ocena zgodności.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   wpis o paśmie przy każdym produkcie ze sprawdzoną kategorią z załącznika

   dowód, który zostaje

   wpisy w rejestrze i notatki, na których się opierają

   podstawa CRA art. 7(1), 8(1); CRA załącznik III

4. 1.4

   wskaż właściciela i zapisz terminy

   Wskaż jednego odpowiedzialnego właściciela dla każdej linii produktów i jedną osobę prowadzącą zgłaszanie. Przy każdym produkcie zapisz daty: zgłaszanie od 11 września 2026 r., reszta od 11 grudnia 2027 r., a dla produktów wprowadzonych wcześniej wymagania dopiero po istotnej modyfikacji. Ustal, który krajowy organ nadzoru rynku Cię dotyczy i jakie ma przepisy o karach.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   właściciel każdej linii produktów i arkusz terminów

   dowód, który zostaje

   decyzja zarządu wskazująca właścicieli oraz arkusz terminów ze źródłami

   podstawa CRA art. 71(2); CRA art. 69(2)

Zamień wymagania dla produktu w rzeczy, które zespół projektuje, buduje i testuje.

1. 2.1

   oceń ryzyka dla cyberbezpieczeństwa każdego produktu

   Przeanalizuj ryzyka wynikające z przeznaczenia produktu, dającego się przewidzieć użycia, warunków użytkowania i czasu, przez jaki produkt ma być używany. Napisz, które wymagania dla produktu mają zastosowanie i jak je spełniasz, a przy tych, które nie mają, uzasadnij to. Aktualizuj ocenę w okresie wsparcia.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   udokumentowana ocena ryzyka dla cyberbezpieczeństwa każdego produktu

   dowód, który zostaje

   ocena z datą i aktualizacjami, złożona w dokumentacji technicznej

   zabezpieczenie: risk-register

   podstawa CRA art. 13(2), 13(3), 13(4)

2. 2.2

   zamień wymagania dla produktu w reguły projektowe

   Przejdź listę z pierwszej części załącznika i zrób z każdej pozycji regułę, którą zespół da się sprawdzić: brak znanych podatności możliwych do wykorzystania przy wprowadzeniu do obrotu, bezpieczne ustawienia domyślne z możliwością przywrócenia stanu początkowego, kontrola dostępu, ochrona danych przechowywanych i przesyłanych, minimalizacja danych, ograniczona powierzchnia ataku, rejestrowanie zdarzeń i sposób bezpiecznego usuwania danych użytkownika. Jeśli pozycja nie ma zastosowania, ocena ryzyka mówi dlaczego.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   lista kontrolna wymaganie po wymaganiu dla każdego produktu, z właścicielami

   dowód, który zostaje

   lista zatwierdzana przed każdym wydaniem

   zabezpieczenie: secure-development

   podstawa CRA art. 13(1); CRA załącznik I

3. 2.3

   sprawdzaj komponenty zewnętrzne i open source

   Zachowaj należytą staranność przed włączeniem komponentu, żeby nie osłabił produktu, także gdy to komponent open source. Gdy znajdziesz podatność w komponencie, zgłoś ją temu, kto go utrzymuje, i podziel się swoją poprawką, jeśli to stosowne.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   reguła przyjmowania komponentów i lista komponentów z wynikami sprawdzenia

   dowód, który zostaje

   zapisy z przyjęcia i zgłoszenia wysłane opiekunom komponentów

   zabezpieczenie: sbom-supply-chain

   podstawa CRA art. 13(5), 13(6)

4. 2.4

   przygotuj dostarczanie aktualizacji bezpieczeństwa

   Zbuduj bezpieczny sposób dystrybucji aktualizacji, z automatycznymi aktualizacjami domyślnie włączonymi tam, gdzie pasuje to do produktu, i jasną możliwością ich wyłączenia. Gdy to technicznie wykonalne, dostarczaj aktualizacje bezpieczeństwa oddzielnie od aktualizacji funkcji, bezpłatnie i z komunikatem, co użytkownik ma zrobić.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   mechanizm aktualizacji i polityka aktualizacji

   dowód, który zostaje

   test drogi aktualizacji i tekst polityki

   podstawa CRA załącznik I

5. 2.5

   testuj bezpieczeństwo produktu i rób to stale

   Przeprowadzaj skuteczne testy i przeglądy bezpieczeństwa przed każdym wydaniem, a potem regularnie. Zapisuj, co znaleziono, co naprawiono i co zaakceptowano.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   plan testów i raporty z testów dla każdego produktu

   dowód, który zostaje

   raporty z datą, przechowywane na potrzeby dokumentacji technicznej

   zabezpieczenie: secure-development

   podstawa CRA załącznik I

Umieć przyjąć zgłoszenie podatności, naprawić lukę i wysłać wczesne ostrzeżenie, zgłoszenie po 72 godzinach i sprawozdanie końcowe na czas.

1. 3.1

   opublikuj politykę ujawniania i punkt kontaktowy

   Opublikuj politykę koordynowanego ujawniania podatności i adres kontaktowy do zgłoszeń oraz wskaż jeden punkt kontaktowy, który użytkownicy łatwo znajdą i z którym mogą się skontaktować wybranym sposobem, a nie tylko przez narzędzia zautomatyzowane. Umieść oba w informacjach dla użytkownika.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   opublikowana polityka, monitorowany adres kontaktowy i jeden punkt kontaktowy

   dowód, który zostaje

   działająca strona z polityką oraz testowe zgłoszenie, które wpłynęło i zostało zapisane

   strona pracyzabezpieczenie: vulnerability-disclosure

   podstawa CRA art. 13(8), 13(17); CRA załącznik I

2. 3.2

   uruchom segregację zgłoszeń i naprawianie

   Zapisuj każdą podatność, o której się dowiesz, razem z informacjami od osób trzecich, w sposób dopasowany do charakteru i ryzyk produktu. Każdą usuwaj bez zwłoki, a po udostępnieniu aktualizacji publikuj informacje o usuniętych podatnościach.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   tryb segregacji zgłoszeń, rejestr podatności i polityka poprawek

   dowód, który zostaje

   rejestr z datami od zgłoszenia do poprawki oraz opublikowane komunikaty

   strona pracyzabezpieczenie: vulnerability-management

   podstawa CRA art. 13(7), 13(8); CRA załącznik I

3. 3.3

   ustal, co podlega zgłoszeniu

   Zapisz dla swoich produktów, czym jest aktywnie wykorzystywana podatność (wiarygodne dowody, że ktoś wykorzystał ją bez zgody właściciela) i czym jest poważny incydent. Ustal, kto może to ocenić o każdej porze, bo termin biegnie od chwili, gdy dowiesz się o zdarzeniu.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   jednostronicowa reguła zgłaszania z wyznaczonymi decydentami

   dowód, który zostaje

   reguła zatwierdzona przez kierownictwo

   podstawa CRA art. 3(42), 14(5)

4. 3.4

   przygotuj trzy zgłoszenia

   W każdym przypadku potrzebne są wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiadomości, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe. Przy podatności sprawozdanie końcowe jest wymagane najpóźniej 14 dni po udostępnieniu poprawki lub środka zaradczego, a przy incydencie w ciągu miesiąca od zgłoszenia po 72 godzinach. Przygotuj szablon każdego z nich i ustal, kto może go wysłać.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   trzy szablony dla podatności, trzy dla incydentów i reguła, kto je wysyła

   dowód, który zostaje

   szablony i próba na sucho

   strona pracyzabezpieczenie: incident-management

   podstawa CRA art. 14(2), 14(4)

5. 3.5

   ustal, dokąd trafiają zgłoszenia

   Zgłoszenia idą przez jedną platformę sprawozdawczą prowadzoną przez ENISA do zespołu CSIRT państwa Twojej głównej siedziby w UE, czyli państwa, w którym głównie zapadają decyzje o cyberbezpieczeństwie Twoich produktów. Jeśli nie masz siedziby w UE, tekst ustala kolejność rozwiązań zastępczych, zaczynając od Twojego upoważnionego przedstawiciela. Zapisz państwo i drogę zgłoszenia.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   notatka wskazująca właściwy zespół CSIRT i drogę przesyłania zgłoszeń

   dowód, który zostaje

   notatka z datą i uzasadnieniem

   podstawa CRA art. 14(7); CRA art. 16(1)

6. 3.6

   przygotuj się na informowanie dotkniętych użytkowników

   Gdy dowiesz się o wykorzystywanej podatności lub poważnym incydencie, poinformuj dotkniętych użytkowników, a tam, gdzie to stosowne, wszystkich, wraz ze środkami, które mogą zastosować. Tam, gdzie to stosowne, użyj ustrukturyzowanego formatu nadającego się do odczytu maszynowego. Jeśli nie zrobisz tego na czas, może to zrobić zespół CSIRT.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   szablon komunikatu dla użytkowników i sposób dotarcia do użytkowników każdego produktu

   dowód, który zostaje

   szablon i testowa wysyłka

   podstawa CRA art. 14(8)

7. 3.7

   przećwicz zgłoszenie na prawdziwym produkcie

   Przeprowadź ćwiczenie z wymyśloną wykorzystywaną podatnością w jednym ze swoich produktów. Sprawdź, czy właściwe osoby potrafią zdecydować, wysłać wczesne ostrzeżenie w 24 godziny i poinformować użytkowników. Zapisz, co zawiodło i kto to naprawia.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   raport z ćwiczenia z działaniami i właścicielami

   dowód, który zostaje

   raport i lista działań, zamknięte albo z datą

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Zdecyduj, jak długo wspierasz każdy produkt, prowadź dowody w dokumentacji technicznej i zakończ ocenę zgodności dla pasma produktu.

1. 4.1

   ustal okres wsparcia i zapisz dlaczego

   Dopasuj okres wsparcia do przewidywanego czasu używania produktu, biorąc pod uwagę rozsądne oczekiwania użytkowników i charakter produktu. Wynosi co najmniej pięć lat, chyba że produkt ma być używany krócej. Zapisz, co uwzględniono, bo trafia to do dokumentacji technicznej.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja o okresie wsparcia każdego produktu z uzasadnieniem

   dowód, który zostaje

   decyzja podpisana przez kierownictwo

   podstawa CRA art. 13(8)

2. 4.2

   podaj datę końca wsparcia przy zakupie

   Podaj datę końca okresu wsparcia, co najmniej z miesiącem i rokiem, wyraźnie tam, gdzie klient kupuje. Gdy to technicznie wykonalne, pokaż użytkownikom komunikat, że wsparcie się skończyło. Każda aktualizacja bezpieczeństwa ma pozostać dostępna co najmniej 10 lat albo do końca okresu wsparcia, jeśli to dłużej.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   data końca wsparcia na stronie produktu, opakowaniu lub w umowie oraz reguła przechowywania aktualizacji

   dowód, który zostaje

   zrzut ekranu lub kopia oświadczenia oraz reguła przechowywania

   podstawa CRA art. 13(19); CRA art. 13(9)

3. 4.3

   prowadź SBOM (listę składników oprogramowania)

   Zapisuj komponenty każdego produktu w powszechnie używanym formacie nadającym się do odczytu maszynowego, obejmującym co najmniej zależności najwyższego poziomu, i aktualizuj zapis razem z produktem. Organ może go zażądać, a Komisja może później określić format. Czy przekazać go klientom, to Twoja decyzja.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   SBOM dla każdego wydania produktu

   dowód, który zostaje

   pliki powiązane z wersjami wydań

   zabezpieczenie: sbom-supply-chain

   podstawa CRA załącznik I; CRA załącznik VII; CRA art. 13(24)

4. 4.4

   napisz dokumentację techniczną

   Sporządź ją przed wprowadzeniem produktu do obrotu i aktualizuj w okresie wsparcia. Zawiera ogólny opis, procesy projektowania i obsługi podatności, ocenę ryzyka, uzasadnienie okresu wsparcia, zastosowane normy, raporty z testów i kopię deklaracji zgodności.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   dokumentacja techniczna każdego produktu

   dowód, który zostaje

   dokumentacja z historią wersji

   podstawa CRA art. 31(1), 31(2); CRA załącznik VII

5. 4.5

   wybierz procedurę oceny zgodności dla swojego pasma

   W paśmie domyślnym możesz stosować między innymi kontrolę wewnętrzną. Dla ważnych produktów klasy I potrzebna jest procedura z udziałem strony trzeciej, chyba że w pełni zastosowano normy lub schemat certyfikacji. Dla ważnych produktów klasy II potrzebna jest taka procedura albo schemat certyfikacji co najmniej na poziomie istotnym. Dla produktów krytycznych Komisja może wymagać schematu certyfikacji.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   zapisany wybór procedury dla każdego produktu z uzasadnieniem

   dowód, który zostaje

   notatka z decyzją

   podstawa CRA art. 32(1), 32(2), 32(3), 32(4)

6. 4.6

   zakończ ocenę, podpisz deklarację i oznacz produkt

   Przeprowadź wybraną procedurę. Gdy zgodność jest wykazana, sporządź deklarację zgodności, przez którą przejmujesz odpowiedzialność za zgodność, i umieść oznakowanie. Dołącz do produktu kopię deklaracji albo jej skróconą wersję z adresem pełnej, a dokumentację i deklarację przechowuj co najmniej 10 lat albo przez okres wsparcia, jeśli jest dłuższy.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   podpisana deklaracja, naniesione oznakowanie i reguła przechowywania

   dowód, który zostaje

   deklaracja, zapis z oceny i reguła przechowywania

   podstawa CRA art. 13(12), 13(13), 13(20); CRA art. 28(4); CRA art. 30(1)

7. 4.7

   dołącz do produktu identyfikację i informacje dla użytkownika

   Nadaj każdemu produktowi numer typu, partii lub numer seryjny, podaj swoją nazwę i dane kontaktowe oraz informacje dla użytkownika z drugiego załącznika: jeden punkt kontaktowy, przeznaczenie, koniec wsparcia i instrukcje bezpiecznej instalacji, aktualizacji i wycofania z użytku. Utrzymuj je w dyspozycji co najmniej 10 lat albo przez okres wsparcia, jeśli jest dłuższy.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   oznaczenie produktu i zestaw informacji dla użytkownika

   dowód, który zostaje

   zestaw i oznaczona próbka

   podstawa CRA art. 13(15), 13(16), 13(18); CRA załącznik II

8. 4.8

   utrzymuj zgodność każdego produktu w czasie

   Wprowadź procedury, dzięki którym produkty z serii pozostają zgodne, także gdy zmieniają się normy albo Twój proces. Jeśli dowiesz się, że produkt lub Twój proces jest niezgodny, natychmiast podejmij działania naprawcze albo wycofaj produkt lub odwołaj go od użytkowników. Na uzasadnione żądanie organu przekaż dokumenty, których potrzebuje.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   tryb kontroli zmian i zgodności oraz rejestr działań naprawczych

   dowód, który zostaje

   rejestr i zapisy z kontroli

   podstawa CRA art. 13(14), 13(21), 13(22)

Sprawdź, co dostajesz z łańcucha, poproś własnych dostawców o to, czego wymaga od Ciebie prawo, i przygotuj się na pytania klientów.

1. 5.1

   jeśli importujesz, sprawdź, co daje producent

   Zanim wprowadzisz produkt do obrotu, sprawdź, czy producent przeprowadził procedurę oceny zgodności, sporządził dokumentację techniczną, umieścił oznakowanie oraz dostarczył deklarację i informacje dla użytkownika. Jeśli uważasz, że produkt jest niezgodny, nie wprowadzaj go do obrotu. Umieść swoją nazwę i dane kontaktowe na produkcie i przechowuj kopię deklaracji co najmniej 10 lat albo przez okres wsparcia, jeśli jest dłuższy.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   lista kontrolna importu dla każdego produktu i zapis każdego sprawdzenia

   dowód, który zostaje

   wypełnione sprawdzenia i przechowywane deklaracje

   podstawa CRA art. 19(2), 19(3), 19(4), 19(6)

2. 5.2

   jeśli dystrybuujesz, sprawdź przed sprzedażą

   Działaj z należytą starannością. Sprawdź, czy produkt ma oznakowanie i czy producent oraz importer dostarczyli wymagane dokumenty. Jeśli masz powody sądzić, że produkt jest niezgodny, wstrzymaj go i poinformuj producenta o każdej podatności, o której się dowiesz.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   kontrola przyjęcia po stronie dystrybutora

   dowód, który zostaje

   wypełnione sprawdzenia i rejestr kontaktów z producentami

   podstawa CRA art. 20(2), 20(3), 20(4)

3. 5.3

   zadaj dostawcom komponentów właściwe pytania

   Zapytaj każdego dostawcę, czy jest producentem w rozumieniu rozporządzenia i w jakim paśmie, kiedy kończy się okres wsparcia, do kogo zwrócić się w sprawie podatności, jak poinformuje Cię o wykorzystywanych podatnościach i czy udostępnia SBOM. Jeśli włączasz jego produkt do swojego, poproś o informacje potrzebne do spełnienia wymagań i obowiązku dokumentacji.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   standardowy zestaw pytań do dostawców i otrzymane odpowiedzi

   dowód, który zostaje

   zestaw pytań, odpowiedzi i uzgodnione zapisy umowne

   strona pracyzabezpieczenie: supplier-management

   podstawa CRA art. 13(5); CRA załącznik II

4. 5.4

   przygotuj odpowiedzi dla kupujących

   Kupujący publiczni muszą przy zamówieniach uwzględniać wymagania dla produktu i Twoją zdolność do obsługi podatności, a kupujący objęci dyrektywą NIS2 przyglądają się swojemu łańcuchowi dostaw. Przygotuj jeden pakiet: Twoja rola i pasmo, koniec wsparcia, polityka ujawniania i kontakt, deklaracja zgodności, sposób informowania użytkowników i Twoje stanowisko w sprawie udostępniania zestawienia komponentów.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   pakiet odpowiedzi dla klienta, z wersjami

   dowód, który zostaje

   pakiet i rejestr pytań zadawanych przez klientów

   podstawa CRA art. 5(2); NIS2 art. 21(2)(d)

5. 5.5

   obserwuj normy, formaty i wytyczne

   Regularnie sprawdzaj Dziennik Urzędowy i strony Komisji pod kątem norm zharmonizowanych, formatu SBOM oraz formatu i procedury zgłoszeń. Wytyczne Komisji z 27 lipca 2026 r. nie są wiążące. Gdy coś się zmieni, zaktualizuj swoje procedury.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   lista obserwacji z właścicielem i rytmem sprawdzania

   dowód, który zostaje

   lista z datami każdego sprawdzenia i opisem zmian

   podstawa CRA art. 13(24); CRA art. 14(10)

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Rozporządzenie (UE) 2024/2847 (akt o cyberodporności, CRA) (EUR-Lex)
• Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)