Koszt przygotowania do CRA zależy głównie od trzech rzeczy: liczby i kategorii produktów, tego, ile trzeba zmienić w samym produkcie, oraz stanu dokumentacji i procesów. W Bersec diagnoza kosztuje 5 000 zł, przygotowanie dokumentów i procedur 15 000–30 000 zł, a stałe wsparcie 3 000 zł miesięcznie. Do tego dochodzą koszty, których nie da się podać bez znajomości produktu: praca zespołu R&D, testy i, dla części produktów, jednostka notyfikowana.
- Koszt ma sześć składników: diagnoza, dokumenty i procedury, zmiany w produkcie, testy, ocena zgodności, utrzymanie.
- Największą niewiadomą są zmiany w produkcie. Ich zakres pokazuje dopiero analiza luk.
- Jednostka notyfikowana jest potrzebna tylko dla części produktów z załączników III i IV.
- CRA to koszt stały, a nie jednorazowy: obsługa podatności i aktualizacje trwają przez okres wsparcia, co do zasady co najmniej 5 lat.
- Najtaniej jest zacząć od ustalenia, które produkty podlegają CRA i w jakiej kategorii.
Z czego składa się koszt przygotowania do CRA?
Koszt składa się z sześciu części: diagnozy, dokumentów i procedur, zmian w produkcie, testów bezpieczeństwa, oceny zgodności z udziałem strony trzeciej oraz utrzymania. Dwie pierwsze można wycenić z góry. Pozostałe zależą od produktu, a jednostka notyfikowana jest potrzebna tylko dla części produktów.
| Składnik | Co obejmuje | Kto wykonuje | Czy da się podać cenę z góry |
|---|---|---|---|
| 1. Diagnoza | Zakres, rola firmy, kategoria produktu, analiza luk, plan działań | Doradca z udziałem zespołu produktu | Tak. W Bersec 5 000 zł |
| 2. Dokumenty i procedury | Polityki, procedury obsługi podatności i incydentów, Secure SDLC, zasady aktualizacji, wsparcie przy dokumentacji technicznej | Doradca razem z firmą | W przedziale. W Bersec 15 000–30 000 zł, dokładnie po diagnozie |
| 3. Zmiany w produkcie | Prace w firmware i sprzęcie, np. mechanizm aktualizacji, uwierzytelnianie, generowanie SBOM | Zespół R&D producenta lub biuro projektowe | Nie. Zależy od wyniku analizy luk |
| 4. Testy bezpieczeństwa | Testy i przeglądy potwierdzające zgodność, których wyniki trafiają do dokumentacji | Zespół QA, laboratorium lub zewnętrzni testerzy | Po ustaleniu zakresu testów |
| 5. Ocena zgodności z udziałem strony trzeciej | Badanie typu UE, ocena systemu jakości albo certyfikacja | Jednostka notyfikowana albo jednostka certyfikująca w europejskim programie certyfikacji | Wycenia jednostka. Dotyczy tylko części produktów |
| 6. Utrzymanie | Śledzenie podatności, aktualizacje zabezpieczeń, zgłoszenia, aktualizacja dokumentacji | Producent, opcjonalnie ze wsparciem | Wsparcie doradcze w Bersec 3 000 zł miesięcznie. Praca zespołu zależy od produktu |
W tym artykule nie podajemy „średnich kosztów rynkowych” wdrożenia CRA. Nie znamy wiarygodnych danych, które pozwalałyby je podać, a rozrzut między produktami jest duży.
Od czego zależy koszt?
Koszt zależy od liczby produktów i ich podobieństwa, kategorii produktu, stanu samego produktu, stanu procesów i dokumentacji oraz długości okresu wsparcia. Największą różnicę robi to, ile trzeba zmienić w sprzęcie i firmware.
Liczba produktów i ich podobieństwo
Ocena ryzyka i dokumentacja techniczna dotyczą konkretnego produktu. Trzy urządzenia na wspólnej platformie sprzętowej i jednym firmware to znacznie mniej pracy niż trzy niezależne konstrukcje.
Kategoria produktu
W kategorii domyślnej producent sam przeprowadza ocenę zgodności. Ważne produkty klasy II zawsze wymagają udziału strony trzeciej albo certyfikacji, a klasy I wtedy, gdy producent nie zastosował w całości norm zharmonizowanych, wspólnych specyfikacji lub programu certyfikacji. To dodatkowy koszt i czas. Szczegóły w artykule CRA a oznakowanie CE.
Stan produktu
Najwięcej kosztują zmiany w urządzeniu, które nie ma bezpiecznego mechanizmu aktualizacji, używa wspólnych haseł fabrycznych albo opiera się na komponentach bez wsparcia. Jeśli produkt był projektowany z myślą o bezpieczeństwie, praca polega głównie na udokumentowaniu tego, co już jest.
Stan procesów i dokumentacji
Firma, która ma kontrolę wersji, powtarzalny proces budowania, system zgłoszeń i dokumentację projektową, zbiera dokumentację CRA dużo szybciej. Gdy tych elementów nie ma, trzeba je najpierw stworzyć.
Okres wsparcia
Okres wsparcia wynosi co najmniej 5 lat, chyba że produkt będzie używany krócej, a każda aktualizacja zabezpieczeń ma pozostać dostępna co najmniej 10 lat od wydania albo do końca okresu wsparcia, jeśli trwa on dłużej. Utrzymanie środowiska budowania, śledzenie podatności w zależnościach i wydawanie poprawek to koszt, który trzeba doliczyć do kosztu produktu na cały ten czas.
Czego nie obejmuje cena doradztwa?
Przy porównywaniu ofert warto sprawdzić, co jest w cenie. Usługa doradcza zwykle nie obejmuje:
- pracy programistów i konstruktorów nad zmianami w produkcie,
- testów penetracyjnych i badań laboratoryjnych,
- opłat jednostki notyfikowanej i certyfikacji,
- narzędzi, na przykład do skanowania zależności,
- wystawienia deklaracji zgodności UE, bo robi to producent na własną odpowiedzialność.
Tak jest również w naszej ofercie: nie certyfikujemy, nie jesteśmy jednostką notyfikowaną i nie podpisujemy deklaracji zgodności. Przygotowujemy firmę i produkt do tego, żeby producent mógł to zrobić.
Jak rozkłada się praca? Przykład
Producent ma dwa modele bramek IoT na wspólnej platformie, w kategorii domyślnej. Zakładamy, że diagnoza potwierdziła kategorię domyślną: bramka, której podstawową funkcją jest routing, mogłaby być ważnym produktem klasy I. Producent ma mechanizm aktualizacji OTA, ale firmware nie jest podpisany, nie ma SBOM ani polityki zgłaszania podatności.
Diagnoza (5 000 zł) potwierdza zakres i kategorię oraz wskazuje luki. Przygotowanie (cena z przedziału 15 000–30 000 zł, ustalona po diagnozie) obejmuje procedury obsługi podatności i zgłoszeń, zasady wydawania aktualizacji, Secure SDLC i wsparcie przy dokumentacji technicznej. Zespół firmware producenta wdraża podpisywanie firmware i generowanie SBOM w procesie budowania. Tego kosztu nie da się podać bez znajomości kodu i sprzętu. Jednostka notyfikowana nie jest potrzebna, bo produkt jest w kategorii domyślnej. Po wdrożeniu producent decyduje, czy utrzymuje procesy sam, czy ze stałym wsparciem (3 000 zł miesięcznie).
Ile kosztuje brak zgodności z CRA?
Brak zgodności oznacza przede wszystkim brak możliwości wprowadzenia produktu do obrotu w UE od 11 grudnia 2027 r. Organ nadzoru rynku może też nakazać działania naprawcze lub wycofanie produktu, a za naruszenie obowiązków producenta przewidziano kary administracyjne. Najważniejsze ryzyka:
- Brak sprzedaży. Od 11 grudnia 2027 r. produkt bez oceny zgodności, deklaracji i oznakowania CE w zakresie CRA nie może trafić do obrotu w UE.
- Decyzje organu nadzoru rynku. Organ może nakazać działania naprawcze, a następnie ograniczyć udostępnianie produktu albo nakazać jego wycofanie (art. 54).
- Kary administracyjne. Do 15 mln EUR lub 2,5% łącznego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa, za naruszenie zasadniczych wymagań i obowiązków producenta z art. 13 i 14. To górne granice. Przepisy o karach ustanawia każde państwo członkowskie, a przy wymiarze kary bierze się pod uwagę m.in. wielkość przedsiębiorstwa (art. 64).
- Wymagania klientów. Odbiorcy biznesowi mogą wymagać od dostawców SBOM, informacji o okresie wsparcia i procedury obsługi podatności.
Jak ograniczyć koszt przygotowania do CRA?
Koszt najskuteczniej ogranicza dobra kolejność prac: najpierw ustalenie zakresu, potem grupowanie produktów w rodziny, planowanie zmian razem z kolejną wersją produktu i automatyzacja powtarzalnych czynności. Warto też wykorzystać istniejącą dokumentację CE i wyniki wcześniejszych testów.
- Najpierw zakres. Nie przygotowuj pełnej zgodności dla produktów, które nie podlegają CRA albo których po 11 grudnia 2027 r. nie będziesz już wprowadzać do obrotu. Pamiętaj jednak, że zgłaszanie z art. 14 dotyczy także ich.
- Grupuj produkty w rodziny o wspólnej architekturze i dokumentacji.
- Planuj zmiany razem z kolejną wersją produktu, zamiast robić osobny projekt.
- Automatyzuj to, co powtarzalne: SBOM, skan zależności, podpisywanie firmware.
- Wykorzystaj to, co masz: dokumentację CE, wyniki wcześniejszych testów, istniejące procedury jakości.
- Nie odkładaj prac na ostatni kwartał. Pośpiech podnosi koszt zmian w produkcie i utrudnia dostęp do laboratoriów oraz jednostek.
Co powinien zrobić producent?
Producent powinien sprawdzić zakres, zamówić analizę luk dla jednego reprezentatywnego produktu i dopiero na jej podstawie planować budżet. Budżet warto podzielić na dokumenty i procedury oraz prace w produkcie, a osobno policzyć koszt utrzymania przez cały okres wsparcia.
- Sprawdź zakres. Zacznij od bezpłatnego skanera i listy produktów.
- Zamów analizę luk dla jednego, reprezentatywnego produktu. Pokaże skalę prac dla całej rodziny.
- Rozdziel budżet na dwie części: dokumenty i procedury oraz prace w produkcie.
- Ustal kategorię, żeby wiedzieć, czy w budżecie ma się znaleźć jednostka notyfikowana.
- Policz koszt utrzymania na cały okres wsparcia i uwzględnij go w cenie produktu.
Terminy, do których trzeba dopasować budżet, opisujemy w artykule CRA 2026–2027: najważniejsze terminy i obowiązki producentów. Zawartość dokumentacji opisuje artykuł Dokumentacja techniczna CRA.