cyber resilience act (CRA)

Ta strona opisuje CRA na poziomie UE. Nie czytano w źródle żadnego polskiego przepisu wykonawczego do CRA ani wskazania polskiego organu nadzoru rynku, więc ich tu nie ma. Sprawdź je w prawie krajowym.

NIS2 nakłada obowiązki na organizacje. Cyber Resilience Act (CRA), po polsku akt o cyberodporności, nakłada je na produkty. Obejmuje sprzęt i oprogramowanie oraz zdalne przetwarzanie danych, które producent zaprojektował jako część produktu, o ile produkt może łączyć się z urządzeniem lub siecią, bezpośrednio albo pośrednio.

Jesteś producentem, jeśli opracowujesz lub wytwarzasz taki produkt albo zlecasz jego wytworzenie i wprowadzasz go do obrotu pod własną nazwą handlową lub znakiem towarowym. Bezpłatne udostępnienie też się liczy. Jesteś importerem, jeśli masz siedzibę w Unii i wprowadzasz do obrotu produkt opatrzony nazwą handlową firmy spoza Unii. Jesteś dystrybutorem, jeśli udostępniasz produkt w łańcuchu dostaw bez zmiany jego właściwości. Opiekunowie oprogramowania otwartego to osoby prawne inne niż producenci, które systematycznie i stale wspierają konkretne produkty open source przeznaczone do celów komercyjnych. Mają lżejsze obowiązki: politykę bezpieczeństwa, współpracę z organami i zgłaszanie.

Część produktów jest wyłączona, bo obejmują je inne przepisy: wyroby medyczne, pojazdy silnikowe, certyfikowane produkty lotnicze, części zamienne oraz produkty tworzone wyłącznie na potrzeby bezpieczeństwa narodowego lub obronności. Strona internetowa albo usługa w chmurze zaprojektowana poza odpowiedzialnością producenta produktu nie jest produktem. Oprogramowanie jako usługa (SaaS) pozostaje pod NIS2. Według brzmienia definicji oprogramowanie, które piszesz i używasz tylko wewnątrz własnej firmy, nie jest udostępniane na rynku. Wytyczne Komisji z 27 lipca 2026 r. pokazują na przykładach, gdzie biegną granice. Nie są wiążące i nie czytano ich szczegółowo na potrzeby tej strony.

Większość produktów należy do pasma domyślnego. Producent sam sprawdza swój produkt i podpisuje deklarację, stosując procedurę kontroli wewnętrznej.

Ważne produkty wymienia załącznik III. Klasa I obejmuje między innymi oprogramowanie do zarządzania tożsamością i uprzywilejowanym dostępem, przeglądarki, menedżery haseł, oprogramowanie antymalware, produkty VPN, systemy zarządzania siecią, systemy SIEM, systemy operacyjne, routery, modemy i przełączniki oraz niektóre produkty inteligentnego domu i do noszenia. Klasa II jest węższa: hiperwizory i środowiska uruchomieniowe kontenerów, zapory sieciowe oraz systemy wykrywania i zapobiegania włamaniom, a także mikroprocesory i mikrokontrolery odporne na manipulacje. W klasie II producent musi zastosować procedurę z udziałem strony trzeciej albo schemat certyfikacji. W klasie I to samo dotyczy producenta, który nie zastosował w pełni norm zharmonizowanych, wspólnych specyfikacji ani schematu certyfikacji co najmniej na poziomie istotnym.

Produkty krytyczne wymienia załącznik IV: urządzenia sprzętowe ze skrzynkami zabezpieczającymi, bramy inteligentnych liczników oraz karty inteligentne lub podobne elementy zabezpieczające. Komisja może aktem delegowanym wymagać dla nich europejskiego certyfikatu cyberbezpieczeństwa. Dopóki go nie wymaga, stosuje się procedury klasy II.

Włączenie ważnego produktu do większego produktu nie czyni większego produktu produktem ważnym.

• 10 grudnia 2024 r. Rozporządzenie weszło w życie.
• 11 czerwca 2026 r. Zaczął obowiązywać rozdział IV, o jednostkach notyfikowanych.
• 11 września 2026 r. Zaczął obowiązywać obowiązek zgłaszania przez producenta. To ten, który działa dzisiaj.
• 11 grudnia 2027 r. Reszta rozporządzenia zaczyna obowiązywać.

Produkty wprowadzone do obrotu przed 11 grudnia 2027 r. podlegają wymaganiom tylko wtedy, gdy po tej dacie zostaną istotnie zmodyfikowane. Wyjątkiem jest obowiązek zgłaszania: dotyczy on wszystkich produktów objętych rozporządzeniem, także wprowadzonych do obrotu przed tą datą. Opiekunowie oprogramowania otwartego zgłaszają od 11 grudnia 2027 r., według strony Komisji o zgłaszaniu.

Wbudować bezpieczeństwo. Przed wprowadzeniem produktu do obrotu producent ocenia ryzyka dla cyberbezpieczeństwa, dokumentuje ocenę i aktualizuje ją w okresie wsparcia. Produkt musi spełniać wymagania z załącznika I część I: brak znanych podatności możliwych do wykorzystania w chwili wprowadzenia do obrotu, bezpieczna konfiguracja domyślna z możliwością przywrócenia stanu początkowego, aktualizacje usuwające luki, kontrola dostępu, ochrona danych przechowywanych i przesyłanych, minimalizacja danych, ograniczona powierzchnia ataku, rejestrowanie zdarzeń i bezpieczne usuwanie danych użytkownika. Komponenty zewnętrzne, także open source, wymagają należytej staranności.

Obsługiwać podatności. Załącznik I część II wymaga zapisu komponentów produktu w SBOM (liście składników oprogramowania) w powszechnie używanym formacie nadającym się do odczytu maszynowego, obejmującym co najmniej zależności najwyższego poziomu. Wymaga aktualizacji bezpieczeństwa bez zwłoki, regularnych testów bezpieczeństwa, publicznej informacji o usuniętych podatnościach, polityki koordynowanego ujawniania podatności, adresu kontaktowego do zgłoszeń i bezpiecznej dystrybucji aktualizacji. Wymagany jest też jeden punkt kontaktowy dla użytkowników.

Wyznaczyć okres wsparcia. Odzwierciedla on przewidywany czas użytkowania produktu i trwa co najmniej pięć lat, chyba że produkt ma być używany krócej. Datę końca, co najmniej z miesiącem i rokiem, podaje się w chwili zakupu. Aktualizacja bezpieczeństwa pozostaje dostępna co najmniej 10 lat lub do końca okresu wsparcia, zależnie od tego, co trwa dłużej.

Udowodnić to. Producent sporządza dokumentację techniczną, przeprowadza procedurę oceny zgodności dla pasma swojego produktu, wystawia deklarację zgodności UE i umieszcza oznakowanie CE. Dokumentację i deklarację przechowuje co najmniej 10 lat, a jeśli okres wsparcia jest dłuższy, przez ten okres.

Producent zgłasza każdą aktywnie wykorzystywaną podatność w swoim produkcie, czyli taką, co do której istnieją wiarygodne dowody, że podmiot działający w złych zamiarach wykorzystał ją bez zgody właściciela systemu. Zgłasza także każdy poważny incydent wpływający na bezpieczeństwo produktu. W obu przypadkach są trzy kroki: wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiadomości, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe. Sprawozdanie końcowe jest wymagane najpóźniej 14 dni po udostępnieniu poprawki lub środka zaradczego w przypadku podatności oraz w ciągu miesiąca od zgłoszenia 72-godzinnego w przypadku incydentu.

Producent zgłasza raz, przez jedną platformę sprawozdawczą prowadzoną przez ENISA (unijną agencję ds. cyberbezpieczeństwa). Zgłoszenie trafia do krajowego zespołu CSIRT (zespołu reagowania na incydenty) państwa, w którym producent ma główną siedzibę w UE. ENISA widzi je jednocześnie. Według Komisji platforma działa od 11 września 2026 r. Producent informuje też dotknięte nim osoby korzystające z produktu, wraz ze środkami zaradczymi, jeśli są.

Mikro i mali producenci nie podlegają przepisom o karach za uchybienie 24-godzinnemu terminowi wczesnego ostrzeżenia.

Rozporządzenie egzekwują krajowe organy nadzoru rynku, a przepisy o karach ustala każde państwo samo; kary muszą być skuteczne, proporcjonalne i odstraszające. Rozporządzenie ustala takie górne granice administracyjnych kar pieniężnych:

• do 15 mln euro lub 2,5% łącznego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa, za naruszenie wymagań z załącznika I oraz podstawowych obowiązków producenta i obowiązków zgłoszeniowych
• do 10 mln euro lub 2% za naruszenie innych wymienionych obowiązków, wśród nich obowiązków importerów i dystrybutorów, deklaracji zgodności, oznakowania CE, dokumentacji technicznej i procedur oceny zgodności
• do 5 mln euro lub 1% za przekazanie organom lub jednostkom notyfikowanym informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd

Wielkość przedsiębiorstwa i udział w rynku należą do okoliczności, które organy biorą pod uwagę. Tekst wyłącza też opiekunów oprogramowania otwartego spod kar z ustępów 3 do 9. Jak to wyłączenie i wyłączenie dla mikro i małych producentów odnoszą się do pierwszej granicy, to pytanie do prawnika. Nazwę organu i przepisy o karach sprawdź w prawie krajowym.

NIS2. Komisja mówi, że CRA uzupełnia NIS2. NIS2 dotyczy tego, jak organizacja prowadzi bezpieczeństwo, w tym bezpieczeństwo swojego łańcucha dostaw, i nadal obejmuje usługi w chmurze. CRA dotyczy produktu, który trafia do tego łańcucha. Rozsądna lektura: jeśli jesteś podmiotem objętym NIS2, CRA daje Ci konkretny temat do rozmowy z dostawcami produktów, obok pytań z pracy nad dostawcami.

AI Act. Produkt z elementami cyfrowymi, który jest zarazem systemem AI wysokiego ryzyka, uznaje się za spełniający wymóg cyberbezpieczeństwa z AI Act, jeśli spełnia wymagania CRA z załącznika I, procesy producenta spełniają część II, a deklaracja zgodności UE wykazuje osiągnięcie poziomu ochrony wymaganego przez AI Act. Stosuje się procedurę oceny zgodności z AI Act, a jednostki notyfikowane, które się nią zajmują, mogą na warunkach określonych w tekście sprawdzać także wymagania CRA.

CRA nie wymaga od Ciebie jako kupującego żadnego z tych pytań, a większość dostawców nie będzie miała gotowych odpowiedzi przed grudniem 2027 r. To rozsądne pytania na start.

• Czy dostawca uważa się za producenta w rozumieniu CRA i w jakim paśmie umieszcza produkt?
• Kiedy kończy się okres wsparcia i gdzie jest to podane?
• Do kogo zwrócić się w sprawie podatności i jaka jest polityka ujawniania?
• Jak poinformujecie nas o aktywnie wykorzystywanej podatności lub poważnym incydencie w produkcie? Rozporządzenie zobowiązuje producenta do informowania dotkniętych nimi użytkowników.
• Czy możecie udostępnić SBOM? SBOM to zapis, który prowadzi producent. Tekst przeczytany na potrzeby tej strony nie mówi, że trafia do klientów, a załącznika II, który wymienia, co otrzymuje użytkownik, nie czytano. Jeśli go chcesz, zapisz to w umowie.
• Czy od grudnia 2027 r. produkt ma oznakowanie CE i czy jest deklaracja zgodności UE?

Organy publiczne mają własną regułę: krajowe zamówienia muszą uwzględniać wymagania z załącznika I, w tym zdolność producenta do obsługi podatności. Starsze produkty, które już używasz, obejmuje przed istotną modyfikacją tylko obowiązek zgłaszania.