CRA a NIS2 i RED: czym różnią się wymagania?

Krótka odpowiedź

CRA i RED regulują produkt, a NIS2 reguluje organizację. CRA stawia wymagania cyberbezpieczeństwa produktom z elementami cyfrowymi wprowadzanym do obrotu. RED z rozporządzeniem delegowanym 2022/30 stawia trzy wymagania cyberbezpieczeństwa określonym urządzeniom radiowym, ale tylko do 10 grudnia 2027 r.: rozporządzenie 2022/30 traci moc z dniem pełnego stosowania CRA. NIS2 wymaga od podmiotów kluczowych i ważnych zarządzania ryzykiem we własnych sieciach i systemach. Zgodność z jednym aktem nie oznacza zgodności z pozostałymi.

Najważniejsze informacje

CRA: produkty z elementami cyfrowymi, stosowanie od 11 grudnia 2027 r., zgłaszanie z art. 14 od 11 września 2026 r.
RED: wymagania z art. 3 ust. 3 lit. d, e i f dla wskazanych urządzeń radiowych stosuje się od 1 sierpnia 2025 r. Rozporządzenie 2022/30 traci moc 11 grudnia 2027 r. (rozporządzenie 2026/339).
NIS2: dyrektywa wdrażana prawem krajowym. Obejmuje m.in. średnie i większe firmy produkujące elektronikę, urządzenia elektryczne i maszyny (załącznik II).
Wymagania CRA obejmują wszystkie elementy trzech wymagań RED (motyw 30 CRA). Zgodność z RED nie oznacza przez to zgodności z CRA.
Zgłoszenia są osobne: NIS2 dotyczy incydentów w usługach firmy, CRA dotyczy podatności i incydentów w produkcie.

Czym różnią się CRA, NIS2 i RED?

Różnią się przedmiotem regulacji. CRA i RED stawiają wymagania produktowi, który trafia na rynek, i kończą się oceną zgodności oraz oznakowaniem CE. NIS2 stawia wymagania organizacji: dotyczy sieci i systemów informatycznych, których firma używa do prowadzenia działalności. Dlatego NIS2 nie zastępuje CRA, a CRA nie zastępuje NIS2.

Zestawienie na podstawie tekstów aktów unijnych. Przepisów krajowych wdrażających NIS2 i RED ten artykuł nie opisuje.
	CRA: rozporządzenie (UE) 2024/2847	NIS2: dyrektywa (UE) 2022/2555	RED: dyrektywa 2014/53/UE z rozporządzeniem delegowanym (UE) 2022/30
Kto ma obowiązki	Producent, importer i dystrybutor produktu z elementami cyfrowymi, bez progu wielkości firmy	Podmioty kluczowe i ważne z sektorów z załączników I i II, co do zasady średnie i większe (art. 2 i 3)	Producent urządzenia radiowego (art. 10) i pozostałe podmioty gospodarcze
Co jest objęte	Sprzęt i oprogramowanie, których użycie obejmuje połączenie danych z urządzeniem lub siecią (art. 2 ust. 1)	Sieci i systemy informatyczne używane przez podmiot do prowadzenia działalności lub świadczenia usług (art. 21 ust. 1)	Urządzenia radiowe podłączone do internetu oraz wskazane urządzenia przetwarzające dane osobowe lub umożliwiające przekazywanie pieniędzy (art. 1 rozporządzenia 2022/30, z wyłączeniami z art. 2)
Czego wymaga	Zasadniczych wymagań z załącznika I, oceny ryzyka, obsługi podatności, dokumentacji, oceny zgodności, zgłaszania z art. 14	Środków zarządzania ryzykiem (art. 21) i zgłaszania poważnych incydentów (art. 23)	Ochrony sieci, ochrony danych osobowych i prywatności, ochrony przed oszustwami (art. 3 ust. 3 lit. d, e i f)
Kluczowe daty	Art. 14 od 11 września 2026 r., całość od 11 grudnia 2027 r. (art. 71)	Przepisy krajowe miały być stosowane od 18 października 2024 r. (art. 41)	Rozporządzenie 2022/30 stosuje się od 1 sierpnia 2025 r. i traci moc ze skutkiem od 11 grudnia 2027 r. (rozporządzenie 2026/339)
Egzekwowanie	Organy nadzoru rynku (art. 52). Najwyższe kary: do 15 mln EUR lub 2,5% obrotu (art. 64 ust. 2)	Właściwe organy krajowe (art. 32 i 33). Górna granica kar co najmniej 10 mln EUR lub 2% obrotu dla podmiotów kluczowych i 7 mln EUR lub 1,4% dla ważnych (art. 34)	Organy nadzoru rynku (art. 39 i 40). Sankcje określa prawo krajowe (art. 46)

Kogo i czego dotyczy CRA?

CRA stosuje się do udostępnianych na rynku produktów z elementami cyfrowymi, których przeznaczenie lub racjonalnie przewidywalne wykorzystanie obejmuje bezpośrednie lub pośrednie, logiczne lub fizyczne połączenie danych z urządzeniem lub siecią (art. 2 ust. 1). Obejmuje sprzęt i oprogramowanie. Nie ma znaczenia, czy urządzenie ma radio, ani jak duża jest firma.

Wyłączenia w art. 2 dotyczą m.in. wyrobów medycznych, pojazdów objętych rozporządzeniem (UE) 2019/2144, produktów certyfikowanych w lotnictwie cywilnym i wyposażenia morskiego. Urządzeń radiowych wśród nich nie ma, więc urządzenie radiowe podlega także CRA. Daty stosowania określa art. 71 ust. 2.

Jak sprawdzić własny produkt, opisuje artykuł Czy CRA dotyczy mojego produktu?.

Kogo dotyczy NIS2 i czego wymaga?

NIS2 stosuje się do podmiotów z sektorów wymienionych w załącznikach I i II, które są co najmniej średnimi przedsiębiorstwami (art. 2 ust. 1). Podmioty kluczowe i ważne mają stosować środki zarządzania ryzykiem we własnych sieciach i systemach (art. 21) oraz zgłaszać poważne incydenty (art. 23). To dyrektywa, więc konkretne obowiązki wynikają z prawa krajowego.

Dla producentów ważny jest załącznik II. W sektorze „Produkcja” wymienia m.in.:

produkcję komputerów, wyrobów elektronicznych i optycznych (dział 26 NACE Rev. 2),
produkcję urządzeń elektrycznych (dział 27),
produkcję maszyn i urządzeń, gdzie indziej niesklasyfikowaną (dział 28).

Podmioty z załącznika II, które nie są podmiotami kluczowymi, dyrektywa uznaje za podmioty ważne (art. 3 ust. 2). Załącznik I obejmuje m.in. dostawców usług chmurowych i dostawców usług zarządzanych. Motyw 12 CRA potwierdza ten podział dla oprogramowania: do usług w modelu SaaS, PaaS i IaaS ma zastosowanie NIS2, a do CRA należy tylko takie zdalne przetwarzanie danych, które jest częścią produktu.

Stan wdrożenia NIS2 w Polsce sprawdź osobno. Państwa miały przyjąć przepisy do 17 października 2024 r. (art. 41) i mogą przyjąć surowsze niż dyrektywa (art. 5). Polskich przepisów wdrażających tu nie opisujemy, bo nie potwierdziliśmy ich w źródle urzędowym.

Czego wymaga RED w zakresie cyberbezpieczeństwa?

Dyrektywa RED zawiera w art. 3 ust. 3 trzy wymagania związane z cyberbezpieczeństwem: urządzenie nie szkodzi sieci (lit. d), chroni dane osobowe i prywatność (lit. e) oraz chroni przed oszustwami (lit. f). Rozporządzenie delegowane 2022/30 wskazuje, których urządzeń radiowych dotyczą. Stosuje się je od 1 sierpnia 2025 r. i traci moc 11 grudnia 2027 r.

Zakres określa art. 1 rozporządzenia 2022/30, a wyłączenia art. 2 (m.in. urządzenia objęte rozporządzeniami o wyrobach medycznych (UE) 2017/745 i 2017/746):

lit. d (ochrona sieci): urządzenia radiowe, które same mogą komunikować się przez internet, bezpośrednio lub za pośrednictwem innych urządzeń,
lit. e (dane osobowe i prywatność): urządzenia podłączone do internetu, urządzenia do opieki nad dziećmi, zabawki objęte dyrektywą 2009/48/WE i urządzenia noszone na ciele lub odzieży, jeżeli mogą przetwarzać dane osobowe, dane o ruchu lub dane o lokalizacji,
lit. f (ochrona przed oszustwami): urządzenia podłączone do internetu, które umożliwiają przekazanie środków pieniężnych, wartości pieniężnej lub waluty wirtualnej.

Datę 1 sierpnia 2025 r. ustaliło rozporządzenie delegowane 2023/2444, które przesunęło pierwotny termin o rok, żeby organizacje normalizacyjne zdążyły opracować normy zharmonizowane. W praktyce producenci pracują z normami z serii EN 18031. Czy i z jakimi ograniczeniami odniesienia do nich opublikowano w Dzienniku Urzędowym, sprawdź w aktualnym wykazie norm dla RED.

Jeżeli producent nie zastosował norm zharmonizowanych albo zastosował je tylko częściowo, urządzenie w zakresie tych wymagań przechodzi badanie typu UE albo procedurę pełnego zapewnienia jakości (art. 17 ust. 4 RED).

Rozporządzenie delegowane (UE) 2026/339 uchyliło rozporządzenie 2022/30 ze skutkiem od 11 grudnia 2027 r., czyli od dnia pełnego stosowania CRA. Powód podaje motyw 4: urządzenia radiowe nie mają podlegać wymaganiom cyberbezpieczeństwa z obu aktów jednocześnie. Uchylono rozporządzenie delegowane, a nie dyrektywę RED. Uchylenie nie wpływa na nadzór rynku nad urządzeniami wprowadzonymi do obrotu między 1 sierpnia 2025 r. a 10 grudnia 2027 r.: nadal można kontrolować ich zgodność z wymaganiami z lit. d, e i f (motyw 5).

Czy zgodność z RED wystarcza do zgodności z CRA?

Nie. Zasadnicze wymagania CRA obejmują wszystkie elementy wymagań z art. 3 ust. 3 lit. d, e i f dyrektywy RED (motyw 30 CRA, motyw 3 rozporządzenia 2026/339). Zależność działa w jedną stronę: CRA zawiera to, czego wymaga RED, i dodaje własne obowiązki. Dla produktów wprowadzanych do obrotu od 11 grudnia 2027 r. zgodność trzeba wykazać według CRA.

Obowiązki CRA, których trzy wymagania RED nie obejmują, to między innymi:

ocena ryzyka w cyberprzestrzeni uwzględniana w całym cyklu życia produktu (art. 13 ust. 2),
obsługa podatności w okresie wsparcia, w tym SBOM (załącznik I część II),
zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów (art. 14),
należyta staranność wobec komponentów stron trzecich (art. 13 ust. 5, motyw 34),
produkty bez radia i samo oprogramowanie, których RED w ogóle nie dotyczy.

Dla urządzeń wprowadzanych do obrotu od 11 grudnia 2027 r. dowody przygotowane dla RED nie przechodzą więc automatycznie. To nasz wniosek z zestawienia przepisów, a nie cytat. Przepis przejściowy zawiera art. 69 ust. 1 CRA: certyfikaty badania typu UE i decyzje o zatwierdzeniu wydane w odniesieniu do wymagań cyberbezpieczeństwa na podstawie innego unijnego prawodawstwa harmonizacyjnego zachowują ważność do 11 czerwca 2028 r., chyba że wygasają wcześniej lub to inne prawodawstwo stanowi inaczej. Analiza zagrożeń, opisy zabezpieczeń i wyniki badań to materiał, który warto przenieść do dokumentacji CRA po sprawdzeniu, czego w nim brakuje. Według motywu 30 CRA Komisja powinna wydać wytyczne dla producentów, którzy w okresie przejściowym podlegają obu aktom.

Czego ten artykuł nie przesądza. Czy normy EN 18031 dają domniemanie zgodności z CRA: domniemanie dają normy zharmonizowane, do których odniesienie opublikowano w Dzienniku Urzędowym (art. 27 ust. 1), a obok nich art. 27 przewiduje wspólne specyfikacje (ust. 5) i europejskie certyfikaty cyberbezpieczeństwa (ust. 8). Jeżeli masz certyfikat badania typu UE wydany dla RED, zapytaj jednostkę notyfikowaną, co oznaczają dla niego uchylenie rozporządzenia 2022/30 i art. 69 ust. 1 CRA.

Czy praca wykonana dla NIS2 liczy się w CRA?

Tylko częściowo. NIS2 dotyczy bezpieczeństwa organizacji, a CRA bezpieczeństwa produktu, więc wdrożenie NIS2 nie daje zgodności produktu z CRA. Przydają się natomiast elementy wspólne: procedury obsługi incydentów i podatności, zasady bezpiecznego rozwoju systemów oraz wymagania wobec dostawców. Trzeba je rozszerzyć z systemów firmy na produkt i jego użytkowników.

Obowiązki zgłaszania są odrębne, choć mają podobne terminy. Według NIS2 podmiot zgłasza właściwemu CSIRT lub organowi incydent mający istotny wpływ na świadczenie jego usług: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, sprawozdanie końcowe do miesiąca od zgłoszenia (art. 23). Według CRA producent zgłasza aktywnie wykorzystywaną podatność w produkcie i poważny incydent mający wpływ na bezpieczeństwo produktu, także w rytmie 24 i 72 godzin, przez pojedynczą platformę sprawozdawczą (art. 14). Jedno zdarzenie może wymagać dwóch zgłoszeń. Szczegóły opisuje artykuł Zgłaszanie podatności i incydentów CRA.

NIS2 wpływa na producenta także przez klientów. Podmioty kluczowe i ważne mają brać pod uwagę jakość produktów i praktyki cyberbezpieczeństwa dostawców, w tym ich procedury bezpiecznego opracowywania (art. 21 ust. 3). Według motywu 125 CRA rozporządzenie ułatwi im te obowiązki.

Które akty mogą dotyczyć jednej firmy jednocześnie?

Wszystkie trzy. Akty odpowiadają na różne pytania: czy produkt jest produktem z elementami cyfrowymi (CRA), czy jest urządzeniem radiowym wskazanym w rozporządzeniu 2022/30 (RED) oraz czy firma jest podmiotem kluczowym lub ważnym (NIS2). Każde pytanie sprawdza się osobno. Z uchylenia rozporządzenia 2022/30 wnioskujemy, że od 11 grudnia 2027 r. wymagania cyberbezpieczeństwa dla urządzeń radiowych wynikają już tylko z CRA.

Przykład hipotetyczny

Średniej wielkości producent wytwarza sterownik ogrzewania z Wi-Fi i aplikacją mobilną. Sterownik jest urządzeniem radiowym podłączonym do internetu i przetwarza dane osobowe użytkownika, więc egzemplarze wprowadzane do obrotu od 1 sierpnia 2025 r. do 10 grudnia 2027 r. muszą spełniać wymagania RED z art. 3 ust. 3 lit. d i e. Jest też produktem z elementami cyfrowymi, więc egzemplarze wprowadzane do obrotu od 11 grudnia 2027 r. muszą spełniać CRA, a obowiązek zgłaszania z art. 14 już działa.

Firma prowadzi działalność z działu 26 NACE i jest średnim przedsiębiorstwem, więc mieści się w zakresie NIS2 jako podmiot z załącznika II. Jej obowiązki wynikają z przepisów krajowych.

Dla producenta samego oprogramowania układ jest prostszy: RED nie ma zastosowania, CRA dotyczy oprogramowania wprowadzanego do obrotu, a NIS2 może objąć firmę, jeżeli świadczy np. usługi chmurowe lub usługi zarządzane i przekracza progi wielkości.

Co powinien zrobić producent?

Producent powinien osobno ustalić, czy podlega każdemu z trzech aktów, a potem porównać to, co już zrobił dla RED lub NIS2, z wymaganiami CRA. Wynikiem jest lista braków, a nie nowy projekt od zera. Dokumenty warto ułożyć tak, żeby jedna analiza ryzyka i jeden zestaw dowodów obsługiwały kilka aktów.

Sprawdź zakres trzy razy. Produkt wobec art. 2 CRA, produkt wprowadzany do obrotu do 10 grudnia 2027 r. wobec art. 1 i 2 rozporządzenia 2022/30, firmę wobec załączników I i II dyrektywy NIS2 oraz przepisów krajowych.
Zbierz to, co masz z RED. Analizę zagrożeń, wyniki badań, opisy zabezpieczeń i ewentualny certyfikat badania typu UE.
Porównaj ten materiał z załącznikiem I CRA. Zaznacz wymagania, których RED nie obejmował: obsługę podatności, SBOM, okres wsparcia, aktualizacje zabezpieczeń.
Uruchom zgłaszanie z art. 14 CRA i ustal, jak łączy się z procedurą zgłaszania incydentów z NIS2, jeśli firma jej podlega.
Zaplanuj przejście z RED na CRA przed 11 grudnia 2027 r. i sprawdź wykaz norm zharmonizowanych dla CRA, wytyczne Komisji oraz polskie przepisy wdrażające NIS2.
Zaplanuj jedną deklarację zgodności UE obejmującą wszystkie akty, którym podlega produkt (art. 28 ust. 3 CRA).

Wymagania CRA wobec urządzenia opisuje artykuł CRA dla producentów IoT i elektroniki, a wybór procedury artykuł CRA a oznakowanie CE: ocena zgodności produktów cyfrowych.

Najczęstsze pytania

Czy zgodność z RED oznacza zgodność z CRA?

Nie. Wymagania CRA obejmują wszystkie elementy wymagań z art. 3 ust. 3 lit. d, e i f dyrektywy RED (motyw 30), ale CRA dodaje m.in. obsługę podatności w okresie wsparcia, SBOM i zgłaszanie z art. 14. Praca wykonana dla RED jest materiałem wyjściowym, a nie dowodem zgodności z CRA.

Czy normy EN 18031 dają domniemanie zgodności z CRA?

Tego nie potwierdziliśmy i nie przesądzamy. Domniemanie zgodności z CRA dają normy zharmonizowane, do których odniesienie opublikowano w Dzienniku Urzędowym UE na potrzeby CRA (art. 27 ust. 1). Motyw 30 mówi tylko, że prace normalizacyjne prowadzone dla RED powinny zostać uwzględnione przy tworzeniu norm dla CRA.

Czy mała firma produkująca elektronikę podlega NIS2?

Co do zasady nie. NIS2 stosuje się do podmiotów z sektorów z załączników I i II, które są co najmniej średnimi przedsiębiorstwami (art. 2 ust. 1). Wyjątki niezależne od wielkości wymienia art. 2 ust. 2–4, a o konkretnej firmie rozstrzygają przepisy krajowe. CRA nie ma progu wielkości firmy.

Czy rozporządzenie delegowane 2022/30 przestanie obowiązywać, gdy zacznie się stosować CRA?

Tak. Rozporządzenie delegowane (UE) 2026/339 uchyla je ze skutkiem od 11 grudnia 2027 r., czyli od dnia pełnego stosowania CRA. Według motywu 4 chodzi o to, żeby urządzenia radiowe nie podlegały wymaganiom cyberbezpieczeństwa z obu aktów jednocześnie. Urządzenia wprowadzone do obrotu między 1 sierpnia 2025 r. a 10 grudnia 2027 r. nadal podlegają nadzorowi rynku pod kątem wymagań RED (motyw 5).

Źródła

Zespół Bersec CRA

Zespół Bersec CRA przygotowuje producentów elektroniki, IoT i oprogramowania do wymagań Cyber Resilience Act: od diagnozy, przez dokumentację i procedury, po stałe wsparcie. Twierdzenia o przepisach sprawdzamy w urzędowym tekście rozporządzenia (UE) 2024/2847 i podajemy numer artykułu. Artykuł ma charakter informacyjny i nie jest poradą prawną. Opisuje stan prawny na dzień aktualizacji: 13 listopada 2026.

O nas i zasady redakcyjne · Słownik pojęć CRA