Zdecydowana większość przepisów Cyber Resilience Act (CRA) zacznie być stosowana dopiero 11 grudnia 2027 r. Przedsiębiorcy nie mogą jednak czekać do ostatniej chwili. Wybrane regulacje weszły bowiem w życie wcześniej – 11 czerwca 2026 r. – wprowadzając obowiązki związane z raportowaniem aktywnie wykorzystywanych podatności i poważnych incydentów bezpieczeństwa. Wymagają one od producentów produktów z elementami cyfrowymi wdrożenia odpowiednich procedur, procesów i narzędzi służących zarządzaniu cyberbezpieczeństwem.
1. Czym jest CRA?
Cyber Resilience Act (CRA), czyli rozporządzenie (UE) 2024/2847, to unijna regulacja wprowadzająca jednolite wymogi cyberbezpieczeństwa dla produktów z elementami cyfrowymi. Obejmuje zarówno sprzęt, jak i oprogramowanie oraz wybrane usługi związane z ich funkcjonowaniem. Celem przepisów jest zwiększenie odporności tych rozwiązań na cyberzagrożenia poprzez zapewnienie odpowiedniego poziomu bezpieczeństwa na każdym etapie ich cyklu życia – od projektowania i rozwoju, przez produkcję, aż po utrzymanie i aktualizacje.
CRA może dotyczyć między innymi:
- producentów oprogramowania,
- twórców aplikacji mobilnych,
- software house’ów rozwijających własne produkty,
- producentów urządzeń IoT i
- elektroniki użytkowej,
- dostawców komponentów sprzętowych i programowych,
- firm przemysłowych wykorzystujących inteligentne systemy i urządzenia.
2. Jakie obowiązki już dziś obowiązują?
Choć pełne wdrożenie przepisów CRA nastąpi dopiero w grudniu 2027 r., pierwsze obowiązki mają zastosowanie już od 11 września 2026 r. Dotyczą one przede wszystkim raportowania podatności i incydentów bezpieczeństwa związanych z produktami z elementami cyfrowymi. Oznacza to, że producenci muszą posiadać procedury umożliwiające szybkie wykrywanie zagrożeń, ocenę ich wpływu na bezpieczeństwo produktu oraz terminowe przekazywanie wymaganych zgłoszeń do właściwych organów.
- Zgłaszanie aktywnie wykorzystywanych podatności (actively exploited vulnerabilities) – producenci są zobowiązani do powiadomienia odpowiednich organów (w Polsce CERT Polska / CSIRT NASK) w ciągu 24 godzinod powzięcia informacji o zagrożeniu, a następnie przesłania pełnego zgłoszenia w ciągu 72 godzin. Raport końcowy należy przekazać nie później niż 14 dni po udostępnieniu środka naprawczego lub łagodzącego, zgodnie z zasadami określonymi w CRA.
- Zgłaszanie poważnych incydentów bezpieczeństwa – wczesne ostrzeżenie należy przesłać w ciągu 24 godzin, a powiadomienie do ENISA oraz właściwych zespołów CSIRT – w ciągu 72 godzin od wykrycia incydentu.
- Sposób przekazywania zgłoszeń – powiadomienia przesyła się za pośrednictwem platformy Single Reporting Platform (SRP), prowadzonej przez Agencję Unii Europejskiej ds. Cyberbezpieczeństw Informacje te trafiają do właściwego zespołu reagowania na incydenty bezpieczeństwa komputerowego (CSIRT).
3.Obowiązki, które wejdą w życie 11 grudnia 2027 r.
Największe zmiany dla producentów produktów cyfrowych nastąpią 11 grudnia 2027 r. Wówczas pełne zastosowanie znajdzie większość wymagań przewidzianych w CRA. Firmy będą musiały nie tylko reagować na zagrożenia, ale przede wszystkim wykazać, że cyberbezpieczeństwo zostało uwzględnione na każdym etapie cyklu życia produktu.
1) Zasady projektowania (secure by design / default) – produkty cyfrowe wprowadzane na rynek UE będą musiały zapewniać bezpieczeństwo już od etapu projektowania i posiadać odpowiednie ustawienia domyślne.
2) Zarządzanie podatnościami przez cały cykl życia – producenci będą zobowiązani do monitorowania zagrożeń i zapewnienia wsparcia w zakresie bezpieczeństwa przez cały deklarowany okres wsparcia produktu.
3) Dokumentacja techniczna i ocena zgodności – przed wprowadzeniem produktu na rynek konieczne będzie przygotowanie dokumentacji technicznej potwierdzającej zgodność z CRA. W przypadku określonych kategorii wymagany może być również udział jednostki notyfikowanej w tej procedurze.
4) Wykaz SBOM (Software Bill of Materials) – firmy będą musiały tworzyć i aktualizować listę komponentów oprogramowania wykorzystanych w produkcie. Ma to ułatwiać identyfikację podatności i zarządzanie ryzykiem w całym łańcuchu dostaw.
5) Odpowiedzialność całego łańcucha dostaw – nowe obowiązki obejmą nie tylko producentów, lecz także importerów i dystrybutorów. Każdy z tych podmiotów będzie musiał, stosownie do swojej roli, zadbać o spełnienie wymagań CRA przez produkt.
6) Kary finansowe – brak zgodności z rozporządzeniem może skutkować dotkliwymi sankcjami finansowymi. W przypadku określonych naruszeń maksymalna wysokość kary może wynieść 15 mln euro lub 2,5 % całkowitego rocznego światowego obrotu przedsiębiorstwa za poprzedni rok obrotowy – w zależności od tego, która wartość jest wyższa. Dla pozostałych kategorii naruszeń przewidziano odrębne pułapy.
4.Jak należy się przygotować do zmian?
Przygotowania do spełnienia wymogów CRA warto rozpocząć jak najwcześniej. W pierwszej kolejności przedsiębiorcy powinni ustalić, czy oferowane przez nich produkty podlegają nowym regulacjom oraz jaką rolę pełnią w łańcuchu dostaw. Kolejnym krokiem jest przeprowadzenie analizy luk i oceny ryzyka cyberbezpieczeństwa, które pozwolą określić zakres niezbędnych działań dostosowawczych.
Równie ważny jest przegląd procesów związanych z wykrywaniem podatności, zarządzaniem aktualizacjami bezpieczeństwa oraz obsługą incydentów. Firmy powinny także wdrożyć procedury raportowania zgodne z wymogami obowiązującymi już od września 2026 r. Niezbędne będzie również uporządkowanie dokumentacji technicznej oraz stworzenie lub zaaktualizowanie wykazu komponentów oprogramowania wykorzystywanych w produktach (SBOM).
Eksperci zwracają ponadto uwagę na konieczność weryfikacji zasad współpracy z dostawcami i podwykonawcami. CRA obejmuje bowiem nie tylko producentów, ale także inne podmioty uczestniczące w łańcuchu dostaw.
W praktyce dostosowanie do rozporządzenia wymaga koordynacji pracy działów IT, cyberbezpieczeństwa, compliance, zakupów i prawnego. Im wcześniej organizacja rozpocznie przygotowania, tym łatwiej będzie jej spełnić wymagania obowiązujące od 2027 r., ograniczyć ryzyko kosztownych zmian wdrażanych na ostatnią chwilę oraz uniknąć wysokich kar za brak zgodności z nowymi przepisami.
Podsumowanie
Cyber Resilience Act (CRA) wprowadza jednolite wymagania w zakresie cyberbezpieczeństwa dla produktów cyfrowych, w tym oprogramowania, urządzen1 IoT i elektroniki. Od 11 września 2026 r. obowiązują wymogi dotyczące zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów bezpieczeństwa. Natomiast od 11 grudnia 2027 r. zacznie być stosowana większość przepisów, obejmujących bezpieczne projektowanie, zarządzanie podatnościami, dokumentacjętechniczną, SBOM oraz zapewnienie zgodności w łańcuchu dostaw. Firmy powinny już teraz przeanalizować swoje obowiązki, wdrożyć odpowiednie procedury i przygotować się na pozostałe regulacje, aby ograniczyć ryzyko naruszeń i wysokich kar finansowych.
