Cyber Resilience Act, czyli rozporządzenie (UE) 2024/2847, wprowadza horyzontalne wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi udostępnianych na rynku Unii Europejskiej. Dotyczy więc nie tylko sposobu ochrony wewnętrznej infrastruktury firmy, lecz także sprzętu, oprogramowania i określonych rozwiązań zdalnego przetwarzania danych związanych z funkcjonowaniem produktu.
Dla przedsiębiorcy kluczowe jest ustalenie, czy firma występuje jako producent, importer czy dystrybutor, a następnie uporządkowanie oceny ryzyka, dokumentacji, oceny zgodności i procesu obsługi podatności. Poniżej przedstawiono praktyczny schemat przygotowań. Materiał opisuje stan danych i prawny na 10 września 2026 r. Nie zastępuje indywidualnej analizy prawnej, regulacyjnej ani technicznej konkretnego produktu.
Cyber Resilience Act — co to jest i dlaczego dotyczy firm
CRA ustanawia wymagania cyberbezpieczeństwa odnoszące się do produktów z elementami cyfrowymi. Chodzi o produkty sprzętowe i programowe, które są udostępniane na rynku Unii, a także o komponenty wprowadzane osobno. Regulacja patrzy na produkt szerzej niż tylko przez pryzmat chwili sprzedaży: znaczenie mają również projektowanie, rozwój, dokumentacja i obsługa podatności w cyklu życia produktu.
Regulacja dotycząca produktów, nie tylko organizacji
W praktyce oznacza to konieczność przeanalizowania, w jaki sposób produkt działa, jakie ma przeznaczenie i jakie elementy cyfrowe wpływają na jego bezpieczeństwo. CRA nie jest ogólnym poradnikiem ochrony każdej sieci firmowej. Skupia się na wymaganiach związanych z produktem oraz odpowiedzialności podmiotów, które go tworzą, importują lub udostępniają.
Firma powinna zatem rozpocząć od mapy produktów i ról, a nie od założenia, że sama obecność działu IT albo stosowanie oznakowania CE rozwiązuje wszystkie kwestie. Oznakowanie CE nie oznacza automatycznie pełnego bezpieczeństwa produktu ani nie eliminuje ryzyka cyberataku.
Które firmy i produkty obejmuje Cyber Resilience Act
CRA obejmuje produkty z elementami cyfrowymi udostępniane na rynku Unii Europejskiej. Zakres może dotyczyć zarówno produktu końcowego, jak i komponentu wprowadzanego na rynek osobno. W określonych sytuacjach uwzględniane są także zdalne rozwiązania przetwarzania danych, jeżeli są niezbędne do funkcjonowania produktu.
Regulacja ma znaczenie przede wszystkim dla firm działających jako producenci, importerzy i dystrybutorzy. Faktyczna rola przedsiębiorstwa może zależeć od sposobu działania w łańcuchu dostaw, a nie wyłącznie od nazwy zapisanej w umowie lub używanej w materiałach handlowych.
Produkt z elementami cyfrowymi a usługa powiązana z produktem
Wstępna kwalifikacja powinna uwzględniać funkcję produktu, sposób jego udostępniania, zależności techniczne oraz ewentualne modyfikacje. Nie każdy ogólny serwis chmurowy lub SaaS automatycznie staje się produktem objętym CRA. Znaczenie ma związek rozwiązania z funkcjonowaniem konkretnego produktu.
Praktyczna lista pytań może obejmować:
- Jakie produkty sprzętowe i programowe firma udostępnia na rynku Unii?
- Czy poszczególne komponenty są oferowane osobno?
- Czy działanie produktu zależy od określonego zdalnego przetwarzania danych?
- Jaką faktyczną rolę pełni firma przy tworzeniu, imporcie lub dystrybucji?
- Czy produkt był modyfikowany w sposób wymagający ponownej analizy?
To dopiero kwalifikacja wstępna. Nie pozwala bez dodatkowej analizy przypisać konkretnego produktu do kategorii produktów ważnych lub krytycznych ani przesądzić o pełnym zakresie obowiązków.
CRA dla producenta — najważniejsze obowiązki
Producent odpowiada za znacznie szerszy zakres działań niż samo przekazanie produktu odbiorcy. Powinien uwzględnić cyberbezpieczeństwo w projektowaniu i rozwoju, przeprowadzić ocenę ryzyka oraz przygotować dokumentację pozwalającą wykazać spełnienie zasadniczych wymagań.
Dokumentacja techniczna powinna obejmować między innymi ogólny opis produktu, jego przeznaczenie oraz wersje oprogramowania wpływające na spełnienie wymagań cyberbezpieczeństwa. Producent przygotowuje ją przed wprowadzeniem produktu na rynek. Zakres i sposób wykonania poszczególnych działań zależą jednak od konkretnego produktu.
Od oceny ryzyka do dokumentacji i deklaracji zgodności
Logiczne uporządkowanie prac może wyglądać następująco:
- rozpoznanie funkcji produktu, jego elementów cyfrowych i przeznaczenia;
- ocena ryzyka cyberbezpieczeństwa;
- uwzględnienie wymagań bezpieczeństwa w projektowaniu i rozwoju;
- zebranie informacji potrzebnych do dokumentacji technicznej;
- przeprowadzenie właściwej procedury oceny zgodności;
- sporządzenie deklaracji zgodności oraz zapewnienie informacji dla użytkownika;
- ustanowienie procesu obsługi podatności w okresie wsparcia.
Lista nie jest kompletną oceną zgodności dla każdego produktu. Właściwa procedura oceny zgodności wymaga analizy konkretnego rozwiązania. Podobnie sama deklaracja zgodności nie powinna być traktowana jako zastępstwo dla bieżącego zarządzania podatnościami i zmianami produktu.
CRA dla importera i dystrybutora
Importer i dystrybutor nie muszą pełnić funkcji projektanta produktu, ale mają obowiązki kontrolne i informacyjne przed jego udostępnieniem. Ich zadaniem jest zachowanie należytej staranności oraz reagowanie, gdy pojawia się podejrzenie niezgodności.
Importer powinien przed wprowadzeniem produktu na rynek sprawdzić między innymi, czy przeprowadzono właściwą ocenę zgodności, sporządzono dokumentację techniczną, umieszczono oznakowanie CE oraz przygotowano deklarację zgodności, instrukcje i informacje dla użytkownika. Jeżeli ma powody sądzić, że produkt jest niezgodny, nie powinien go udostępniać do czasu usunięcia niezgodności.
Kontrola przed udostępnieniem produktu
Dystrybutor działa z należytą starannością i przed udostępnieniem produktu sprawdza między innymi oznakowanie CE oraz dostępność wymaganych dokumentów i informacji. W razie podejrzenia niezgodności powinien podjąć działania przewidziane w rozporządzeniu, w tym współpracować z producentem i organami nadzoru.
Organizacyjna kontrola może obejmować:
- weryfikację oznakowania CE i deklaracji zgodności;
- sprawdzenie dostępności instrukcji oraz informacji dla użytkownika;
- ustalenie, czy dokumentacja odpowiada produktowi i jego wersji;
- opis sposobu wstrzymania udostępniania produktu przy podejrzeniu niezgodności;
- określenie osób odpowiedzialnych za kontakt z producentem.
Taka kontrola nie jest tym samym co pełna techniczna ocena produktu. Szczegółowe obowiązki zależą od faktycznej roli firmy, produktu i sposobu jego udostępniania.
Raportowanie podatności i poważnych incydentów
Producent musi zgłaszać aktywnie wykorzystywane podatności oraz poważne incydenty wpływające na bezpieczeństwo produktu za pośrednictwem jednolitej platformy raportowania. Wymaga to nie tylko znajomości samego obowiązku, ale również przygotowania wewnętrznego procesu, który pozwoli szybko ocenić zdarzenie i przypisać odpowiedzialność.
Research wskazuje na wczesne ostrzeżenie bez zbędnej zwłoki i nie później niż w ciągu 24 godzin od uzyskania wiedzy o zdarzeniu lub podatności, a następnie kolejne informacje i raport końcowy zgodnie z właściwymi terminami. Nie należy utożsamiać tego terminu z każdym zgłoszeniem bezpieczeństwa. Trzeba odróżnić aktywnie wykorzystywaną podatność, poważny incydent oraz inne podatności obsługiwane w procesie bezpieczeństwa.
Jak zbudować organizacyjny proces obsługi podatności
Organizacyjny proces może obejmować kilka powiązanych elementów:
- kanał przyjmowania zgłoszeń i rejestrację informacji o zdarzeniu;
- wstępną ocenę oraz triage podatności lub incydentu;
- decyzję, czy zdarzenie należy do kategorii objętej raportowaniem;
- działania naprawcze i zarządzanie odpowiednią wersją produktu;
- komunikację z zainteresowanymi podmiotami;
- przygotowanie zgłoszeń oraz późniejszych informacji zgodnie z właściwymi wymaganiami;
- udokumentowanie decyzji i odpowiedzialności.
W proces mogą być zaangażowane obszary bezpieczeństwa produktu, kwestie prawne i komunikacja. Nie ma jednak jednego modelu organizacyjnego właściwego dla każdej firmy. Przed wykorzystaniem procedury operacyjnie należy ponownie zweryfikować aktualne wytyczne, działanie platformy ENISA oraz informacje właściwych organów.
Dokumentacja i ocena zgodności — praktyczna checklista
Przygotowanie do CRA warto prowadzić jako uporządkowany projekt. Najpierw firma powinna zmapować produkty, ich wersje oraz faktyczne role w łańcuchu dostaw. Następnie należy zebrać informacje o architekturze, przeznaczeniu, komponentach, zależnościach i wersjach oprogramowania wpływających na wymagania cyberbezpieczeństwa.
Kolejny etap obejmuje ocenę ryzyka cyberbezpieczeństwa, przygotowanie i aktualizowanie dokumentacji technicznej oraz ustalenie właściwej procedury oceny zgodności. W dalszej kolejności trzeba przygotować deklarację zgodności, informacje dla użytkownika i proces obsługi podatności. Warto również uwzględnić zarządzanie zmianami oraz analizę istotnej modyfikacji produktu.
Minimalny rejestr przygotowań firmy
Jako materiał organizacyjny firma może prowadzić rejestr obejmujący:
- listę produktów z elementami cyfrowymi i ich wersji;
- mapę ról przedsiębiorstwa: producenta, importera lub dystrybutora;
- opis przeznaczenia, funkcji i zależności produktowych;
- informacje o architekturze, komponentach i wersjach oprogramowania;
- status oceny ryzyka cyberbezpieczeństwa;
- status dokumentacji technicznej i oceny zgodności;
- deklarację zgodności oraz informacje dla użytkownika;
- proces przyjmowania, oceny i obsługi podatności;
- odpowiedzialności za raportowanie i komunikację;
- rejestr zmian oraz analizę ewentualnej istotnej modyfikacji.
Checklista pomaga uporządkować pracę, ale nie potwierdza zgodności konkretnego produktu. Jej zakres i kolejność mogą zależeć od funkcji produktu, roli firmy, sposobu udostępniania oraz wprowadzanych zmian.
Harmonogram wdrożenia CRA i ograniczenia poradnika
Terminy CRA należy czytać z rozróżnieniem między obowiązkami raportowania a pełnym stosowaniem rozporządzenia. Research wskazuje, że obowiązki raportowania z art. 14 CRA stosują się od 11 września 2026 r., natomiast pełne stosowanie rozporządzenia przewidziano od 11 grudnia 2027 r.
Terminy i granice ogólnej checklisty
Wytyczne Komisji Europejskiej mają charakter pomocniczy i niewiążący. Punktem odniesienia pozostaje tekst rozporządzenia oraz właściwe akty wykonawcze lub delegowane. Research nie obejmuje szczegółowej analizy polskich organów nadzoru, krajowych procedur egzekwowania, indywidualnych sankcji ani praktyki administracyjnej w Polsce.
Dlatego przed publikacją lub wykorzystaniem materiału operacyjnie należy ponownie sprawdzić aktualne wytyczne i informacje dotyczące platformy raportowania. W złożonych przypadkach potrzebna jest odrębna analiza prawna i techniczna konkretnego produktu, roli firmy, jego modyfikacji oraz sposobu udostępniania.
Przygotowanie do Cyber Resilience Act dla firmy warto zacząć od identyfikacji produktów i ustalenia faktycznej roli przedsiębiorstwa. Następnie należy uporządkować ocenę ryzyka, dokumentację, ocenę zgodności, informacje dla użytkownika oraz proces obsługi podatności. Producent, importer i dystrybutor mają różne zadania, dlatego nie wystarczy zastosować jednej ogólnej procedury do całego łańcucha dostaw. Trzeba też pamiętać o różnicy między rozpoczęciem obowiązków raportowania 11 września 2026 r. a pełnym stosowaniem CRA od 11 grudnia 2027 r. Ogólna checklista nie potwierdza zgodności konkretnego rozwiązania. Sprawdź inne materiały Łączy nas Biznes i rozwijaj firmę w oparciu o praktyczną, aktualną wiedzę.
