Dyrektywa o produktach wadliwych (PLD): cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Wiedz, które produkty podlegają nowym zasadom, jaką rolę pełnisz przy każdym i co po wydaniu zostaje pod Twoją kontrolą.

1. 1.1

   wypisz produkty i wydania objęte nowymi zasadami

   Wypisz każdy produkt i każde wydanie oprogramowania, które wprowadzasz do obrotu lub oddajesz do użytku, z datą. Produkty wprowadzone po 9 grudnia 2026 r. podlegają nowym zasadom, wcześniejsze zostają pod dawną dyrektywą w brzmieniu prawa krajowego.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   lista produktów i wydań z datami wprowadzenia do obrotu

   dowód, który zostaje

   lista z datą, aktualizowana przy każdym wydaniu

   strona pracyzabezpieczenie: asset-inventory

   podstawa PLD art. 2(1), 21

2. 1.2

   ustal swoją rolę przy każdym produkcie

   Oznacz każdy produkt jako wytworzony przez Ciebie, sprzedawany pod Twoją nazwą, część składową dostarczaną innym, importowany, reprezentowany za producenta spoza UE, obsługiwany w realizacji zamówień albo dystrybuowany. Zanotuj, gdzie znacząco modyfikujesz cudzy produkt, bo wtedy stajesz się jego producentem.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   rola przy każdym produkcie z uzasadnieniem

   dowód, który zostaje

   wpisy przeglądane przy zmianie produktu lub umowy

   podstawa PLD art. 4(10), 4(15), 8(1), 8(2)

3. 1.3

   opisz, co zostaje pod kontrolą producenta

   Dla każdego produktu wypisz powiązane usługi, bez których nie działa, aktualizacje, które dostarczasz, oraz części składowe i aplikacje innych, które dostarczasz, na które zezwalasz lub które przedstawiasz jako część produktu. Zostają pod Twoją kontrolą po wydaniu, a z nimi Twoja odpowiedzialność za spowodowane przez nie wady.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   mapa kontroli dla każdego produktu

   dowód, który zostaje

   mapa przeglądana przy każdym większym wydaniu

   podstawa PLD art. 4(3), 4(5), 11(2)

Umiej pokazać, jaki był każdy produkt, gdy wyszedł z Twoich rąk, i przedstawić to, gdy sąd nakaże ujawnienie dowodów.

1. 2.1

   ustal, jak długo przechowujesz dokumenty produktu

   Ustal zasadę przechowywania, która obejmuje okres, w którym można wnieść roszczenie: 10 lat od wprowadzenia do obrotu, liczone od nowa po znaczącej modyfikacji, i do 25 lat, gdy możliwa jest utajona szkoda na osobie. Zdecyduj, gdzie są dokumenty i kto jest ich właścicielem.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   zasada przechowywania dowodów produktowych

   dowód, który zostaje

   zasada zatwierdzona przez kierownictwo i sprawdzenie, że stare wydania da się odnaleźć

   podstawa PLD art. 16(1), 17(1), 17(2)

2. 2.2

   powiąż każde wydanie z testami i częściami składowymi

   Dla każdego wydania przechowuj wersję, datę, wyniki testów i przeglądów, notatki o ryzyku, listę części składowych i dołączone instrukcje. Sąd ocenia produkt takim, jaki był w chwili wprowadzenia do obrotu albo wyjścia spod Twojej kontroli.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   zapis każdej wersji

   dowód, który zostaje

   zapisy wydań powiązane z oznaczeniami wersji

   zabezpieczenie: sbom-supply-chain

   podstawa PLD art. 7(2)

3. 2.3

   prowadź datowany rejestr podatności i poprawek

   Zapisuj każdą podatność, o której się dowiadujesz, datę, w której się o niej dowiedziałeś, decyzję i datę wydania poprawki. Wada wynikająca z braku niezbędnej aktualizacji bezpieczeństwa pod Twoją kontrolą utrzymuje Twoją odpowiedzialność, więc daty są Twoim dowodem.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   rejestr podatności z datami od zgłoszenia do poprawki

   dowód, który zostaje

   rejestr i opublikowane poprawki

   strona pracyzabezpieczenie: vulnerability-management

   podstawa PLD art. 11(2)

4. 2.4

   przygotuj się na nakaz ujawnienia dowodów

   Wiedz, gdzie leży każdy rodzaj dokumentów, oznacz tajemnice przedsiębiorstwa i umiej wyjaśnić dowody techniczne w przystępnej formie, bo sąd może tego zażądać. Jeśli nie ujawnisz tego, co nakazał sąd, wadliwość się domniemywa.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   indeks dowodów i rejestr tajemnic przedsiębiorstwa dla dokumentów produktowych

   dowód, który zostaje

   indeks i próbne odszukanie dokumentów jednego wydania

   podstawa PLD art. 9(1), 9(5), 9(6), 10(2)

Zdecyduj, jak długo utrzymujesz bezpieczeństwo produktów aktualizacjami, dopilnuj, by aktualizacje docierały do użytkowników, i rozpoznawaj, kiedy aktualizacja zmienia produkt.

1. 3.1

   zdecyduj, jak długo dostarczasz aktualizacje bezpieczeństwa

   Dyrektywa nie nakłada obowiązku aktualizacji, ale brak aktualizacji niezbędnych do utrzymania bezpieczeństwa produktu, który pozostaje pod Twoją kontrolą, utrzymuje Twoją odpowiedzialność. Zdecyduj, jak długo dostarczasz aktualizacje bezpieczeństwa dla każdego produktu, i zapisz uzasadnienie. Gdzie obowiązuje CRA, uzgodnij to z okresem wsparcia.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   polityka aktualizacji dla każdej linii produktów

   dowód, który zostaje

   polityka podpisana przez kierownictwo

   podstawa PLD art. 11(2); CRA art. 13(8)

2. 3.2

   dopilnuj, by aktualizacje docierały, i zapisuj to

   Udostępniaj aktualizacje drogą, z której użytkownicy mogą skorzystać, informuj, co naprawia każda aktualizacja bezpieczeństwa i co trzeba zrobić, i zapisuj, co i kiedy udostępniono. Wina samego użytkownika, na przykład niedbałe niezainstalowanie aktualizacji, może zmniejszyć Twoją odpowiedzialność.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   droga aktualizacji i komunikaty dla użytkowników

   dowód, który zostaje

   wysłane komunikaty i rejestr wydań aktualizacji

   podstawa PLD art. 13(2)

3. 3.3

   sprawdzaj większe zmiany pod kątem znaczącej modyfikacji

   Przed większą aktualizacją sprawdź, czy zmienia ona pierwotny sposób działania, cel lub rodzaj produktu poza Twoją pierwotną oceną ryzyka i czy zmienia zagrożenie. Znacząca modyfikacja czyni produkt nowym dla celów odpowiedzialności i otwiera nowy okres 10 lat.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   notatka z oceny zmiany przy każdym większym wydaniu

   dowód, który zostaje

   notatki dołączone do zapisów wydań

   zabezpieczenie: secure-development

   podstawa PLD art. 4(18), 17(1)

4. 3.4

   testuj działanie produktu z tym, z czym się łączy

   Testuj produkt z innymi produktami, z którymi ma być używany, i sprawdź, co się dzieje po utracie połączenia. Zapisuj wyniki. Sąd bierze pod uwagę przewidywalny wpływ połączonych produktów na bezpieczeństwo.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   plan testów użycia w połączeniu

   dowód, który zostaje

   raporty z testów dla każdego wydania

   zabezpieczenie: secure-development

   podstawa PLD art. 7(2)

Wiedz, kto wytworzył to, co jest w Twoim produkcie, i dopilnuj, by umowy wspierały roszczenia zwrotne i dostęp do dowodów.

1. 4.1

   wypisz części składowe i powiązane usługi od innych

   Dla każdego produktu wypisz części składowe i powiązane usługi dostarczane przez innych, ich producentów i miejsce siedziby. Odpowiadasz za wadliwą część składową, którą wbudowałeś, a jej producent odpowiada obok Ciebie.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   lista części składowych i dostawców dla każdego produktu

   dowód, który zostaje

   lista aktualizowana przy każdym wydaniu

   strona pracyzabezpieczenie: supplier-management

   podstawa PLD art. 8(1)

2. 4.2

   przejrzyj umowy z dostawcami pod kątem regresu i dowodów

   Sprawdź, co umowy z dostawcami mówią o roszczeniu zwrotnym, gdy zapłacisz odszkodowanie za szkodę spowodowaną ich częścią, o współpracy przy dowodach i o aktualizacjach. Pamiętaj, że mikro lub mały producent oprogramowania może umówić się z Tobą, że zrzekasz się wobec niego roszczenia zwrotnego. Zdecyduj, co akceptujesz.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   przejrzane warunki umów z dostawcami z zapisanymi decyzjami

   dowód, który zostaje

   notatka z przeglądu i podpisane umowy

   strona pracy

   podstawa PLD art. 12(1), 12(2), 14

3. 4.3

   sprawdź, kto w UE stoi za producentem spoza UE

   Gdy produkt lub część składowa pochodzi od producenta spoza UE, ustal importera albo upoważnionego przedstawiciela. Jeśli dystrybuujesz i nie da się wskazać nikogo w UE, odpowiadasz, chyba że w ciągu miesiąca wskażesz swojego dostawcę.

   • właściciel zakupy
   • zdecyduj i udokumentuj

   co powstaje

   wpis o podmiocie w UE dla każdego źródła spoza UE

   dowód, który zostaje

   wpisy i dokumenty dostawców, na których się opierają

   podstawa PLD art. 8(1), 8(3)

4. 4.4

   sprawdź, co warunki umów obiecują użytkownikom

   Odpowiedzialności wobec osoby poszkodowanej nie można ograniczyć ani wyłączyć umową. Sprawdź, czy Twoje warunki i strony produktowe nie sugerują czegoś innego, a ograniczenia w umowach między firmami stosuj tylko tam, gdzie mogą zgodnie z prawem działać.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   przejrzane warunki dla klientów

   dowód, który zostaje

   notatka z przeglądu z datą

   podstawa PLD art. 15

Podejmij decyzję zarządu o ochronie ubezpieczeniowej i wiedz, co się dzieje w dniu, w którym przychodzi roszczenie albo żądanie dowodów.

1. 5.1

   przejrzyj ubezpieczenie od odpowiedzialności za produkt jako decyzję zarządu

   Zapytaj brokera, czy obecna polisa obejmuje oprogramowanie, powiązane usługi, utratę danych i roszczenia wniesione do 10 lat po wydaniu. Zapisz odpowiedź i decyzję zarządu: utrzymać, zmienić albo zaakceptować lukę.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja zarządu w sprawie ubezpieczenia od odpowiedzialności za produkt

   dowód, który zostaje

   protokół i pisemna odpowiedź brokera

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 5.2

   ustal drogę dla roszczeń i żądań dowodów

   Wskaż, kto przyjmuje roszczenie, wniosek o wskazanie dostawcy albo nakaz sądu i kto zabezpiecza odpowiednie dokumenty przed usunięciem. Dystrybutor ma miesiąc na wskazanie dostawcy, a poszkodowany trzy lata od dowiedzenia się o szkodzie, wadliwości i odpowiedzialnym podmiocie.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   droga roszczeń z właścicielami i zasada zabezpieczania dokumentów

   dowód, który zostaje

   opis drogi i próba na wymyślonym wniosku

   zabezpieczenie: incident-management

   podstawa PLD art. 8(3), 16(1)

3. 5.3

   śledź prawo krajowe i publikowane orzeczenia

   Sprawdzaj, kiedy wchodzi w życie krajowa ustawa, czy państwo utrzymuje lub wprowadza przepisy odbierające zarzut ryzyka rozwoju, oraz prawomocne orzeczenia publikowane przez państwa członkowskie. Aktualizuj kroki powyżej, gdy coś się zmieni.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   lista obserwacji z właścicielem i rytmem sprawdzeń

   dowód, który zostaje

   lista z datami sprawdzeń i opisem zmian

   podstawa PLD art. 18(1), 19(1), 22(1)

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Dyrektywa (UE) 2024/2853 w sprawie odpowiedzialności za produkty wadliwe (PLD) (EUR-Lex)
• Rozporządzenie (UE) 2024/2847 (akt o cyberodporności, CRA) (EUR-Lex)