RED: cyberbezpieczeństwo: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Ustal, które urządzenia są objęte, które z trzech wymagań dotyczą każdego z nich i jaką rolę pełnisz.

1. 1.1

   wypisz swoje urządzenia radiowe

   Wypisz każdy produkt wprowadzany przez Ciebie do obrotu, który celowo emituje lub odbiera fale radiowe: Wi-Fi, Bluetooth, łączność komórkową, satelitarną i podobne. Przy każdym zapisz, czy może wymieniać dane z internetem, bezpośrednio albo przez inne urządzenie, na przykład telefon lub bramkę.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   rejestr urządzeń radiowych z odpowiedzią na pytanie o internet przy każdym

   dowód, który zostaje

   rejestr z datą, zatwierdzony przez kierownictwo

   zabezpieczenie: asset-inventory

   podstawa RED art. 1(3), 2(1)

2. 1.2

   zaznacz, które wymaganie dotyczy którego urządzenia

   Ochrona sieci dotyczy każdego urządzenia podłączonego do internetu. Ochrona danych osobowych i prywatności obowiązuje, gdy urządzenie może przetwarzać dane osobowe, dane o ruchu lub dane dotyczące lokalizacji, i obejmuje urządzenia do opieki nad dziećmi, zabawki radiowe i urządzenia noszone także bez internetu. Ochrona przed oszustwami dotyczy urządzeń podłączonych do internetu, które pozwalają przekazywać pieniądze lub walutę wirtualną. Zaznacz wyłączenia dla wyrobów medycznych, pojazdów, lotnictwa i poboru opłat drogowych.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   wpis o wymaganiach przy każdym urządzeniu z uzasadnieniem

   dowód, który zostaje

   wpisy w rejestrze i notatki, na których się opierają

   podstawa RED DA art. 1(1), 1(2), 1(3); RED DA art. 2(1), 2(2)

3. 1.3

   ustal swoją rolę przy każdym urządzeniu

   Oznacz każde urządzenie jako wytwarzane, importowane albo dystrybuowane przez Ciebie. Jeśli sprzedajesz urządzenie pod własną nazwą lub znakiem towarowym albo zmieniasz je tak, że może to wpłynąć na zgodność, przejmujesz obowiązki producenta.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   wpis o roli przy każdym urządzeniu z uzasadnieniem

   dowód, który zostaje

   wpisy w rejestrze, przeglądane przy każdej zmianie produktu lub umowy

   podstawa RED art. 2(1); RED art. 14

4. 1.4

   wskaż właściciela i zapisz terminy

   Wskaż jednego odpowiedzialnego właściciela dla każdej linii produktów. Zapisz terminy przy każdym urządzeniu: wymagania obowiązują już teraz, a od 11 grudnia 2027 r. wymagania dla produktu wyznacza w ich miejsce Cyber Resilience Act. Ustal krajowy organ nadzoru rynku i przepisy o karach.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   właściciel dla każdej linii produktów i arkusz terminów

   dowód, który zostaje

   uchwała zarządu wskazująca właścicieli i arkusz terminów ze źródłami

   podstawa Rozporządzenie 2026/339 art. 1; CRA art. 71(2)

Zamień mające zastosowanie wymagania w reguły projektowe, które zespół buduje i testuje.

1. 2.1

   przeanalizuj ryzyka dla każdego urządzenia

   Przejrzyj wszystkie przewidywane warunki eksploatacji i wszystkie konfiguracje urządzenia i zapytaj, jak mogłoby zaszkodzić sieci, ujawnić dane osobowe albo ułatwić oszustwo. Ocena zgodności musi objąć je wszystkie.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   udokumentowana analiza ryzyka dla każdego urządzenia

   dowód, który zostaje

   analiza z datą, dołączona do dokumentacji technicznej

   strona pracyzabezpieczenie: risk-register

   podstawa RED art. 17(1)

2. 2.2

   projektuj według norm zharmonizowanych

   Zastosuj normę odpowiadającą każdemu wymaganiu, które dotyczy urządzenia: ochronie sieci, prywatności albo ochronie przed oszustwami. Przeczytaj ograniczenia w publikacji i projektuj tak, żeby żadne z nich Cię nie dotyczyło, bo klauzula objęta ograniczeniem nie daje domniemania zgodności.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   lista kontrolna klauzula po klauzuli dla każdego urządzenia, z właścicielami

   dowód, który zostaje

   lista zatwierdzona przed każdym wydaniem

   zabezpieczenie: secure-development

   podstawa RED art. 16; Decyzja 2025/138 art. 1

3. 2.3

   wymagaj hasła ustawionego przez użytkownika

   Nie pozwalaj użytkownikowi pominąć ustawienia i używania hasła. W zabawkach i urządzeniach do opieki nad dziećmi wbuduj kontrolę dostępu przez rodzica lub opiekuna. Oba warunki wynikają z ograniczeń nałożonych na normy.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   projekt uwierzytelniania dla każdego urządzenia

   dowód, który zostaje

   test pokazujący, że urządzenia nie da się używać bez ustawionego hasła

   strona pracy

   podstawa Decyzja 2025/138 art. 1

4. 2.4

   chroń dane osobowe w urządzeniu i w transmisji

   Jeśli urządzenie może przetwarzać dane osobowe, dane o ruchu lub dane dotyczące lokalizacji, wbuduj zabezpieczenia, które je chronią: kto ma do nich dostęp, jak są przechowywane i jak są przesyłane. Ustawienia nie mogą być dostępne po domyślnym haśle.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   projekt ochrony danych dla każdego urządzenia

   dowód, który zostaje

   projekt i wyniki testów, które go sprawdzają

   zabezpieczenie: encryption-keys

   podstawa RED art. 3(3)(e)

5. 2.5

   testuj urządzenie i zachowuj wyniki

   Testuj każde urządzenie względem mających zastosowanie wymagań przed wydaniem i przy każdej zmianie projektu. Zapisz, co znaleziono, co naprawiono i co zaakceptowano. Wyniki trafiają do dokumentacji technicznej, którą stale aktualizujesz.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   plan testów i raporty z testów dla każdego urządzenia

   dowód, który zostaje

   raporty z datami, powiązane z wersjami oprogramowania układowego

   zabezpieczenie: vulnerability-management

   podstawa RED art. 21(1), 21(2)

Wybierz procedurę oceny zgodności, zachowaj dowody w dokumentacji technicznej i podpisz deklarację.

1. 3.1

   wybierz procedurę oceny zgodności

   Jeśli zastosowano normy zharmonizowane w całości, możesz ocenić urządzenie samodzielnie w ramach wewnętrznej kontroli produkcji. Jeśli zastosowano je tylko częściowo, pominięto je albo żadna norma nie pasuje, użyj badania typu UE albo pełnego zapewnienia jakości, w obu przypadkach z jednostką notyfikowaną.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   zapisany wybór procedury dla każdego urządzenia z uzasadnieniem

   dowód, który zostaje

   notatka z decyzją i, jeśli dotyczy, certyfikat jednostki notyfikowanej

   podstawa RED art. 17(3), 17(4)

2. 3.2

   napisz dokumentację techniczną

   Sporządź ją przed wprowadzeniem urządzenia do obrotu i stale aktualizuj. Zawiera dane i środki użyte do spełnienia wymagań: analizę ryzyka, zastosowane normy, notatki projektowe i raporty z testów.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   dokumentacja techniczna dla każdego urządzenia

   dowód, który zostaje

   dokumentacja z historią wersji

   podstawa RED art. 10(3); RED art. 21(1), 21(2)

3. 3.3

   podpisz deklarację i umieść oznakowanie

   Gdy procedura wykaże zgodność, sporządź deklarację zgodności UE, przez którą bierzesz odpowiedzialność za zgodność, i umieść oznakowanie CE. Dołącz do każdego urządzenia kopię deklaracji albo uproszczoną deklarację z adresem pełnego tekstu.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   podpisana deklaracja i umieszczone oznakowanie

   dowód, który zostaje

   deklaracja i zapis z oceny zgodności

   podstawa RED art. 10(3), 10(9); RED art. 18(1), 18(4)

4. 3.4

   utrzymuj zgodność serii i przechowuj dokumentację

   Wprowadź procedury, dzięki którym każdy egzemplarz serii pozostaje zgodny, także po zmianie projektu lub norm. Przechowuj dokumentację techniczną i deklarację przez 10 lat od wprowadzenia urządzenia do obrotu.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   procedura sprawdzania zmian i zasada przechowywania

   dowód, który zostaje

   zapisy zmian i zasada przechowywania

   podstawa RED art. 10(4), 10(5)

Sprawdzaj, co otrzymujesz i sprzedajesz, działaj, gdy coś nie jest zgodne, i zaplanuj przejście na Cyber Resilience Act.

1. 4.1

   jeśli importujesz, sprawdź, co daje producent

   Przed wprowadzeniem urządzenia do obrotu sprawdź, czy producent przeprowadził procedurę oceny zgodności, sporządził dokumentację techniczną i umieścił oznakowanie. Jeśli uważasz, że urządzenie nie jest zgodne, nie wprowadzaj go do obrotu. Przechowuj kopię deklaracji przez 10 lat.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   lista kontrolna importu dla każdego urządzenia i zapis każdej kontroli

   dowód, który zostaje

   wykonane kontrole i przechowywane deklaracje

   strona pracyzabezpieczenie: supplier-management

   podstawa RED art. 12(1), 12(2), 12(8)

2. 4.2

   jeśli dystrybuujesz, sprawdź przed sprzedażą

   Działaj z należytą starannością. Przed sprzedażą sprawdź oznakowanie CE, dokumenty i instrukcje. Jeśli masz powody sądzić, że urządzenie nie jest zgodne, wstrzymaj je, dopóki nie zostanie doprowadzone do zgodności.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   kontrola przyjęcia u dystrybutora

   dowód, który zostaje

   wykonane kontrole i rejestr kontaktów z dostawcami

   podstawa RED art. 13(1), 13(2)

3. 4.3

   działaj, gdy urządzenie nie jest zgodne

   Jeśli dowiesz się, że urządzenie wprowadzone do obrotu lub sprzedane przez Ciebie nie jest zgodne, podejmij albo dopilnuj działań naprawczych, wycofania z rynku lub odzyskania od użytkowników. Jeśli stwarza zagrożenie, poinformuj organy w państwach, w których je sprzedano.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   procedura postępowania z niezgodnością ze wskazanymi decydentami

   dowód, który zostaje

   rejestr działań naprawczych

   podstawa RED art. 10(11); RED art. 12(7); RED art. 13(4)

4. 4.4

   zaplanuj przejście na CRA

   Urządzenia, które są też produktami z elementami cyfrowymi, już podlegają obowiązkowi zgłaszania z CRA dla wykorzystywanych podatności i poważnych incydentów. Od 11 grudnia 2027 r. wymagania dla produktu wyznacza już tylko CRA. Zestaw to, co zbudowano na potrzeby przepisów radiowych, z planem dla CRA i wypisz luki, na przykład obsługę podatności i okres wsparcia.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   lista luk względem planu dla CRA, z właścicielami

   dowód, który zostaje

   lista luk z datą i podjęte na jej podstawie decyzje

   strona pracyzabezpieczenie: vulnerability-disclosure

   podstawa Rozporządzenie 2026/339 art. 1; CRA art. 14(1)

5. 4.5

   obserwuj normy i wytyczne

   Regularnie sprawdzaj Dziennik Urzędowy UE i strony Komisji: zmiany opublikowanych norm i ich ograniczeń oraz wytyczne dla urządzeń objętych jednocześnie przepisami radiowymi i CRA. Aktualizuj procedury, gdy coś się zmieni.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   lista obserwacji z właścicielem i rytmem sprawdzania

   dowód, który zostaje

   lista z datą każdego sprawdzenia i opisem zmian

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Dyrektywa 2014/53/UE (dyrektywa radiowa, RED), akt, na którym opiera się RED cyber (EUR-Lex)
• Rozporządzenie delegowane Komisji (UE) 2022/30 (RED cyber: wymagania cyberbezpieczeństwa dyrektywy radiowej) (EUR-Lex)
• Decyzja wykonawcza Komisji (UE) 2025/138, normy zharmonizowane RED cyber (EUR-Lex)
• Rozporządzenie delegowane Komisji (UE) 2026/339, uchylające rozporządzenie RED cyber (EUR-Lex)
• Rozporządzenie (UE) 2024/2847 (akt o cyberodporności, CRA) (EUR-Lex)