Cyber Resilience Act (rozporządzenie (UE) 2024/2847) obowiązuje etapami. Od 11 września 2026 r. producenci zgłaszają aktywnie wykorzystywane podatności i poważne incydenty dotyczące swoich produktów. Od 11 grudnia 2027 r. stosuje się pozostałe przepisy: produkt z elementami cyfrowymi musi spełniać wymagania CRA, żeby trafić do obrotu w UE.
- CRA weszło w życie 10 grudnia 2024 r., ale większość przepisów stosuje się od 11 grudnia 2027 r.
- Obowiązek zgłaszania z art. 14 działa od 11 września 2026 r. i obejmuje także produkty, które są już na rynku.
- Od 11 czerwca 2026 r. stosuje się przepisy o jednostkach oceniających zgodność.
- Od 11 grudnia 2027 r. nowy produkt potrzebuje oceny zgodności, dokumentacji technicznej, deklaracji zgodności UE i oznakowania CE także w zakresie cyberbezpieczeństwa.
- Prace nad produktem trwają dłużej niż formalności, dlatego plan warto ułożyć od daty premiery wstecz.
Od kiedy obowiązuje CRA? Cztery daty
CRA weszło w życie 10 grudnia 2024 r., ale stosuje się je etapami (art. 71). Od 11 czerwca 2026 r. działają przepisy o jednostkach oceniających zgodność, od 11 września 2026 r. obowiązuje zgłaszanie z art. 14, a od 11 grudnia 2027 r. pozostałe wymagania wobec produktów, producentów, importerów i dystrybutorów.
| Data | Co się zmienia | Kogo dotyczy |
|---|---|---|
| 10 grudnia 2024 r. | Rozporządzenie wchodzi w życie. Biegnie okres przejściowy. | Wszystkich, ale bez nowych obowiązków |
| 11 czerwca 2026 r. | Stosuje się przepisy o notyfikowaniu jednostek oceniających zgodność (rozdział IV). | Państw członkowskich i jednostek, pośrednio producentów produktów ważnych i krytycznych |
| 11 września 2026 r. | Producenci zgłaszają aktywnie wykorzystywane podatności i poważne incydenty mające wpływ na bezpieczeństwo produktu (art. 14). | Producentów wszystkich produktów objętych CRA, także wprowadzonych do obrotu wcześniej |
| 11 grudnia 2027 r. | Stosuje się pozostałe przepisy: zasadnicze wymagania cyberbezpieczeństwa, ocena zgodności, dokumentacja techniczna, deklaracja zgodności UE, oznakowanie CE, obowiązki importerów i dystrybutorów. | Producentów, importerów i dystrybutorów |
Co obowiązuje już teraz?
Już teraz obowiązuje zgłaszanie z art. 14. Od 11 września 2026 r. każdy producent produktu objętego CRA zgłasza aktywnie wykorzystywane podatności i poważne incydenty mające wpływ na bezpieczeństwo produktu. Pozostałe wymagania, w tym ocena zgodności i oznakowanie CE, zaczną się stosować 11 grudnia 2027 r.
Od 11 września 2026 r. producent, który dowie się o aktywnie wykorzystywanej podatności w swoim produkcie albo o poważnym incydencie mającym wpływ na bezpieczeństwo produktu, musi to zgłosić. Zgłoszenie składa się przez pojedynczą platformę sprawozdawczą prowadzoną przez ENISA. Trafia do CSIRT wyznaczonego na koordynatora w państwie, w którym producent ma główną siedzibę. W Polsce jest to CSIRT NASK (CERT Polska).
Terminy liczą się od chwili, gdy producent dowiedział się o zdarzeniu:
- 24 godziny: wczesne ostrzeżenie,
- 72 godziny: zgłoszenie podatności lub incydentu,
- sprawozdanie końcowe: dla podatności najpóźniej 14 dni po udostępnieniu środka naprawczego lub łagodzącego, dla incydentu w ciągu miesiąca od zgłoszenia.
Ten obowiązek nie zależy od daty wprowadzenia produktu do obrotu. Art. 69 ust. 3 obejmuje nim także produkty wprowadzone do obrotu przed 11 grudnia 2027 r. Jak przygotować firmę do tych terminów, opisujemy w artykule Zgłaszanie podatności i incydentów CRA: zasady 24 i 72 godzin.
Co zmienia się 11 grudnia 2027 r.?
Od 11 grudnia 2027 r. produkt z elementami cyfrowymi można wprowadzić do obrotu w UE tylko wtedy, gdy spełnia zasadnicze wymagania CRA, przeszedł ocenę zgodności i ma dokumentację techniczną, deklarację zgodności UE oraz oznakowanie CE. Od tej daty obowiązki mają też importerzy i dystrybutorzy. Producent musi przed wprowadzeniem produktu do obrotu:
- przeprowadzić ocenę ryzyka cyberbezpieczeństwa produktu i uwzględniać ją w projektowaniu, produkcji i utrzymaniu,
- spełnić zasadnicze wymagania z załącznika I, dotyczące właściwości produktu i obsługi podatności,
- ustalić okres wsparcia i zapewniać w nim aktualizacje zabezpieczeń,
- sporządzić dokumentację techniczną,
- przeprowadzić ocenę zgodności właściwą dla kategorii produktu,
- sporządzić deklarację zgodności UE i umieścić oznakowanie CE.
Importerzy i dystrybutorzy też dostają obowiązki. Importer sprawdza przed wprowadzeniem produktu do obrotu, czy producent przeprowadził ocenę zgodności, sporządził dokumentację i umieścił oznakowanie CE. Dystrybutor przed udostępnieniem produktu sprawdza oznakowanie CE i wymagane dokumenty. Firma, która sprzedaje cudzy produkt pod własną marką albo istotnie go modyfikuje, ma obowiązki producenta.
Zakres wymagań dla urządzeń opisujemy w artykule CRA dla producentów IoT i elektroniki, a ścieżki oceny zgodności w artykule CRA a oznakowanie CE.
Co z produktami, które są już na rynku?
Produkt wprowadzony do obrotu przed 11 grudnia 2027 r. nie musi być dostosowany do CRA, dopóki po tej dacie nie zostanie istotnie zmodyfikowany. Wyjątkiem jest zgłaszanie z art. 14, które dotyczy go od 11 września 2026 r. Art. 69 rozróżnia dwie sytuacje:
- Produkt wprowadzony do obrotu przed 11 grudnia 2027 r. podlega wymaganiom CRA dopiero wtedy, gdy po tej dacie zostanie istotnie zmodyfikowany. Zgłaszanie z art. 14 dotyczy go jednak od 11 września 2026 r.
- Produkt wprowadzany do obrotu od 11 grudnia 2027 r. musi spełniać wszystkie wymagania. Dotyczy to każdego egzemplarza wprowadzanego do obrotu, także modelu, który producent sprzedaje od lat (motyw 38).
Producent sprzedaje bramkę IoT od 2023 r. i planuje sprzedawać ją do 2029 r. Egzemplarze, które trafią do obrotu po 11 grudnia 2027 r., muszą spełniać wymagania CRA, więc model wymaga oceny ryzyka, dokumentacji technicznej i oceny zgodności, choć jego konstrukcja się nie zmienia.
Egzemplarze wprowadzone do obrotu wcześniej nie wymagają dostosowania, dopóki producent istotnie ich nie zmodyfikuje. Jeśli jednak w ich oprogramowaniu pojawi się aktywnie wykorzystywana podatność, producent zgłasza ją w terminach z art. 14.
Dlaczego rok na przygotowanie to mało?
Bo najwięcej czasu zajmują zmiany w produkcie i w sposobie pracy zespołu, a nie formalności. Deklarację zgodności UE i oznakowanie CE przygotowuje się na końcu. Wcześniej trzeba przeprowadzić ocenę ryzyka, uzupełnić mechanizmy bezpieczeństwa, uporządkować obsługę podatności i zebrać dokumentację. Najwięcej czasu pochłaniają:
- ocena ryzyka i decyzje projektowe, które z niej wynikają,
- mechanizm bezpiecznych aktualizacji, jeśli produkt go nie ma,
- wykaz komponentów oprogramowania (SBOM) i proces śledzenia podatności w zależnościach,
- procedura przyjmowania zgłoszeń podatności i wydawania poprawek,
- dokumentacja techniczna, którą trzeba zebrać z wielu źródeł,
- przy produktach, których ocena zgodności wymaga jednostki notyfikowanej: termin w tej jednostce.
Część tych prac wymaga zmian w firmware albo w sprzęcie, a te planuje się razem z kolejną wersją produktu. Dlatego plan zgodności warto układać od daty premiery lub od 11 grudnia 2027 r. wstecz.
Co powinien zrobić producent?
Producent powinien zacząć od trzech ustaleń: które produkty podlegają CRA, jaka jest rola firmy i do której kategorii należy produkt. Równolegle trzeba uruchomić zgłaszanie z art. 14, bo ten obowiązek już działa. Dopiero potem warto planować zmiany w produkcie i dokumentację.
- Ustal, czy i które produkty podlegają CRA. Zrób listę produktów z oprogramowaniem i sprawdź zakres oraz wyłączenia. Pomoże w tym bezpłatny skaner i artykuł Czy Cyber Resilience Act dotyczy Twojego produktu?.
- Przygotuj zgłaszanie z art. 14. Ten obowiązek już działa. Potrzebujesz osoby odpowiedzialnej, kanału przyjmowania zgłoszeń i procedury, która mieści się w 24 godzinach.
- Ustal rolę firmy i kategorię produktu. Od kategorii zależy ścieżka oceny zgodności i to, czy potrzebna jest jednostka notyfikowana.
- Zrób analizę luk. Porównaj produkt, procesy i dokumentację z wymaganiami. Wynikiem powinna być lista braków według priorytetów.
- Ułóż plan z datami. Zmiany w produkcie wpisz do planu wydań, a dokumenty i procedury przygotuj równolegle.
Nie wiesz, od czego zacząć? Diagnoza CRA kończy się raportem z planem działań.
Zobacz zakres diagnozy