Rozporządzenie (UE) 2024/2847Cyber Resilience Act
Od 11 września 2026 r. producenci zgłaszają aktywnie wykorzystywane podatności w swoich produktach. Od 11 grudnia 2027 r. produkt z elementami cyfrowymi musi spełniać wymagania CRA, żeby trafić do obrotu w UE. Sprawdzimy, czy CRA obejmuje Twój produkt, co trzeba zmienić i w jakiej kolejności.
Stół kontrolnyzałącznik I, art. 13 i 14
Oznakowanie CE, dane producenta i data końca okresu wsparcia. Za nimi stoją deklaracja zgodności UE i dokumentacja techniczna.
Ocena ryzyka wskazuje, które z 13 wymagań załącznika I dotyczą produktu: bezpieczna konfiguracja domyślna, kontrola dostępu, ochrona danych, ograniczenie powierzchni ataku.
Wykaz komponentów oprogramowania (SBOM), śledzenie podatności w zależnościach i należyta staranność wobec komponentów od dostawców.
Bezpłatne aktualizacje zabezpieczeń przez okres wsparcia, co do zasady co najmniej 5 lat. Aktywnie wykorzystywaną podatność zgłaszasz w 24 i 72 godziny.
01Czym jest CRA
Cyber Resilience Act to rozporządzenie (UE) 2024/2847, które wprowadza obowiązkowe wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi.1
Obejmuje m.in. projektowanie bezpiecznych urządzeń i oprogramowania, zarządzanie podatnościami, aktualizacje zabezpieczeń, dokumentację techniczną i ocenę zgodności.2
CRA może dotyczyć tysięcy polskich przedsiębiorstw.3 Przede wszystkim producentów oprogramowania, elektroniki i urządzeń z elementami cyfrowymi, ale także importerów i dystrybutorów takich produktów.
Kary do 15 mln EUR lub 2,5% światowego obrotu firmy, zależnie od tego, która kwota jest wyższa. To górna granica, m.in. za niespełnienie zasadniczych wymagań.1
Gdy produkt stwarza istotne ryzyko, organ nadzoru rynku może nakazać działania naprawcze, a potem ograniczyć sprzedaż lub nakazać wycofanie produktu.
Ocena ryzyka, obsługa podatności, aktualizacje zabezpieczeń i dokumentacja techniczna to praca dla zespołu R&D, którą trzeba zaplanować obok bieżącego rozwoju produktu.
Na wczesne ostrzeżenie o aktywnie wykorzystywanej podatności lub poważnym incydencie.
Na zgłoszenie podatności lub incydentu od uzyskania o nich wiedzy.
Górna granica kary albo 2,5% światowego obrotu, zależnie od tego, która kwota jest wyższa.
Od tej daty stosuje się większość wymagań CRA.
Odpowiedz na kilka pytań o jeden produkt. Wynik pojawi się po ostatniej odpowiedzi. Odpowiedzi nie są nigdzie wysyłane.
To wyjaśnienia do pytań ze skanera. Pomożemy sklasyfikować produkt i ustalić Twoje obowiązki. Skaner daje wstępny wynik. W diagnozie sprawdzamy odpowiedź na każde pytanie na podstawie Twojego produktu i dokumentacji.
Producent, importer, dystrybutor albo firma, która istotnie modyfikuje produkt. Twoje obowiązki zależą od roli, a nie tylko od tego, czy produkt podlega CRA. Importer lub dystrybutor, który sprzedaje produkt pod własną marką albo istotnie go zmienia, ma obowiązki producenta.
Chodzi o wszystko, co zawiera oprogramowanie: urządzenia (np. router, kamera, inteligentny zegarek) i same programy (np. system operacyjny, aplikacja na komputer). Pojedyncze części, takie jak układ scalony czy biblioteka programistyczna, również podlegają CRA, jeśli sprzedaje się je osobno.
CRA dotyczy produktów, których przeznaczenie lub dające się przewidzieć użycie obejmuje bezpośrednie lub pośrednie połączenie danych z urządzeniem lub siecią. Sama elektronika nie wystarcza. Jeśli sygnał tylko uruchamia lub zasila funkcję i nie przenosi informacji zakodowanej cyfrowo, produkt pozostaje poza zakresem CRA.
Chodzi o dostarczanie produktu w działalności handlowej, odpłatnie lub nieodpłatnie, na rynek któregokolwiek państwa UE.
Liczy się to, gdzie program faktycznie działa. Program, który użytkownik pobiera i instaluje na swoim urządzeniu, jest produktem objętym CRA. Usługa dostępna tylko przez stronę internetową, działająca u dostawcy, co do zasady nie jest objęta CRA. Wyjątek: usługa online niezbędna do działania urządzenia lub programu, np. serwer producenta, przez który aplikacja steruje kamerą. Wtedy ta część również podlega CRA.
CRA nie stosuje się m.in. do:
Nie wiesz, jak odpowiedzieć na któreś z tych pytań? Pomożemy z klasyfikacją.
Umów bezpłatną konsultacjęNajczęściej firmy zatrudniające od 50 do 500 osób, z własnym zespołem firmware albo zewnętrznym biurem projektowym.
Najczęściej pytają
Brak zgodności to nie tylko ryzyko kary, ale też wstrzymana sprzedaż, problemy z aktualizacjami i pytania klientów, na które trudno odpowiedzieć.
Nowa seria bramek IoT ma wejść do sprzedaży po 11 grudnia 2027 r., ale nie ma oceny ryzyka, dokumentacji technicznej ani oceny zgodności. Bez deklaracji zgodności UE i oznakowania CE produkt nie może legalnie trafić do obrotu.
Atakujący przejmuje serwer aktualizacji albo klucz do podpisywania firmware. Złośliwa aktualizacja trafia do urządzeń klientów, a producent musi w ciągu 24 godzin od uzyskania o tym wiedzy wysłać wczesne ostrzeżenie o poważnym incydencie.
Odbiorca OEM prosi o SBOM (wykaz komponentów oprogramowania), deklarowany okres wsparcia i procedurę obsługi podatności. Organ nadzoru rynku może zażądać dokumentacji technicznej. Firma nie potrafi szybko wykazać, że wdrożyła wymagane środki.
Terminy liczą się od uzyskania wiedzy o aktywnie wykorzystywanej podatności lub poważnym incydencie.1
Nie każdy incydent w firmie trzeba zgłosić. Zgłasza się tylko aktywnie wykorzystywane podatności i poważne incydenty mające wpływ na bezpieczeństwo produktu z elementami cyfrowymi. Zgłoszenia składa się przez pojedynczą platformę sprawozdawczą ENISA; jeśli główna siedziba producenta jest w Polsce, trafiają do CSIRT NASK (CERT Polska).4
Lepiej przygotować produkt teraz, niż zatrzymywać jego sprzedaż później.
Sprawdź gotowość swojej firmyZaczynasz od diagnozy. Kolejne etapy zamawiasz tylko wtedy, gdy są potrzebne.
Sprawdzimy, czy CRA dotyczy Twojego produktu i firmy, a jeśli tak, to co musisz zrobić.
Przygotujemy dokumenty, procedury i procesy, których wymaga CRA, dopasowane do Twojego produktu.
Cena w przedziale zależy od liczby produktów, kategorii produktu i stanu dokumentacji. Podajemy ją po diagnozie. Cena nie obejmuje certyfikacji, oceny zgodności przez jednostkę notyfikowaną ani oznakowania CE.
Masz się do kogo zwrócić, gdy pojawi się nowa podatność, pytanie klienta albo zmiana w przepisach.
Zakres pracy i czas reakcji określa umowa. Zgłoszenie wysyła producent i to on musi być gotowy, żeby zdążyć w 24 godziny.
Nie certyfikujemy, nie jesteśmy jednostką notyfikowaną ani upoważnionym przedstawicielem, nie podpisujemy deklaracji zgodności i nie gwarantujemy zgodności. Za zgodność produktu odpowiada producent.
Pytania spoza listy omówimy na bezpłatnej konsultacji, na przykładzie Twojego produktu.
Bezpłatny skaner bez rejestracji, a jeśli chcesz, bezpłatna konsultacja.
Ustalamy obowiązki, kategorię produktu i luki w zgodności. Dostajesz raport z planem działań.
Procedury, dokumentacja, Secure SDLC i rekomendacje techniczne dopasowane do produktu.
Nowe podatności, zgłoszenia, pytania klientów i zmiany w przepisach.
Konkretne odpowiedzi na pytania o terminy, zakres, dokumentację i zgłoszenia. Z odwołaniami do przepisów.
Kalendarz CRA dla producentów: zgłaszanie podatności od 11 września 2026 r., pozostałe wymagania od 11 grudnia 2027 r. Sprawdź, co zrobić przed każdą datą.
Kogo dotyczy CRA? Pięć warunków zakresu, wyłączenia i przykłady: IoT, firmware, aplikacje, SaaS i open source. Przejdź listę kontrolną i sprawdź swój produkt.
Kto za co odpowiada w CRA: obowiązki producenta, importera i dystrybutora, upoważniony przedstawiciel i własna marka. Sprawdź, jaką rolę ma Twoja firma.
Opisz krótko produkt i to, czego potrzebujesz.
