EN 40000 i CRA — co zmieniło się w październiku 2026?
Październikowa matryca DIN/DKE pokazuje dla części 1-1 i 1-2 zakończony etap Voting EN oraz przejście do przyjęcia EN. Jednocześnie oficjalne karty CEN-CENELEC nadal wskazują etap zatwierdzania, a ratyfikację planują na 2 listopada 2026 r. To postęp przed ratyfikacją, nie potwierdzenie jej dokonania.
Dla obu dokumentów pole dotyczące Dziennika Urzędowego UE ma wartość No citation expected. Nie przedstawiamy ich jako podstawy domniemania zgodności z art. 27 CRA. Zespół może wykorzystać kierunek prac do przygotowania procesu i dowodów, zachowując osobną ocenę prawną oraz techniczną produktu.
EN 40000-1-1, -1-2, -1-3 i -1-4 — różne role i różne etapy
Części 1-1 i 1-2 mają wspierać wspólne podejście do cyberbezpieczeństwa. Części 1-3 i 1-4 dotyczą odpowiednio obsługi podatności oraz ogólnych wymagań bezpieczeństwa. Numer w katalogu projektu nie jest sam w sobie dowodem ratyfikacji ani cytowania w OJEU.
Statusy niżej to datowany przegląd konkretnych dokumentów, nie automatyczny monitoring całego programu normalizacyjnego. Sprawdzaj je ponownie przed decyzją o zastosowaniu normy lub wyborze procedury oceny zgodności.
| Dokument | Zakres | Potwierdzony etap | Znaczenie dla zespołu |
|---|---|---|---|
| EN 40000-1-1 | Słownictwo | Katalog CEN-CENELEC: Under Approval; planowana ratyfikacja 2.11.2026 | Wspólne pojęcia; brak podstawy domniemania zgodności |
| EN 40000-1-2 | Zasady, ryzyko produktu i cykl życia | Katalog CEN-CENELEC: Under Approval; planowana ratyfikacja 2.11.2026 | Struktura procesu; brak podstawy domniemania zgodności |
| Projekt EN 40000-1-3 | Obsługa podatności | Matryca DIN/DKE: opracowanie EN po etapie głosowania nad prEN | Obserwacja zmian; nie traktuj projektu jako przyjętej normy |
| Projekt EN 40000-1-4 | Ogólne wymagania bezpieczeństwa | Matryca DIN/DKE: opracowanie prEN | Wczesny kierunek prac; nie gotowa podstawa oceny |
EN 40000-1-1: wspólne słownictwo dla engineering i compliance
Część 1-1 porządkuje terminologię rodziny dokumentów dla produktów z elementami cyfrowymi. Jej wartość organizacyjna polega na wspólnym języku: zespoły powinny rozumieć tak samo zakres produktu, ryzyko i czynności w cyklu życia.
Praktyczny krok to własny, wersjonowany słownik projektu. Oddziel w nim pojęcia wynikające z CRA od wewnętrznych nazw rekordów. Na przykład etykieta „release zaakceptowany” powinna wyjaśniać, kto zaakceptował wydanie i na jakiej podstawie; nie może automatycznie oznaczać „produkt zgodny z CRA”. To rekomendacja organizacyjna, nie odtworzenie definicji z normy.
EN 40000-1-2: ryzyko produktu w całym cyklu życia
Publiczny opis części 1-2 obejmuje zasady cyberbezpieczeństwa, ocenę i postępowanie z ryzykiem oraz działania we wszystkich fazach życia produktu. Nie jest katalogiem szczegółowych czynności dla każdej kategorii sprzętu czy oprogramowania.
Dla zespołu produktowego oznacza to sensowny kierunek przygotowań: powiązać decyzję o zabezpieczeniu z konkretnym ryzykiem, testem i wydaniem. Nowe finding po release powinno prowadzić do ponownego przeglądu tego łańcucha, zamiast kończyć się anonimowym ticketem w backlogu. To nasz przykład operacyjny, nie wymóg konkretnego punktu EN 40000-1-2.
- Nazwa produktu i dokładny release: co obejmuje decyzja?
- Scenariusz ryzyka: w jakich warunkach może dojść do naruszenia?
- Zabezpieczenie i test: co wybrano oraz co rzeczywiście sprawdzono?
- Osoba zatwierdzająca: kto ocenił wynik i pozostałe braki?
- Przegląd po zmianie: które nowe dane wymagają ponownego otwarcia decyzji?
Jak EN 40000-1-2 łączy się z vulnerability handling i security controls?
Webinar CEN-CENELEC z 5 marca 2026 r. przedstawia część 1-2 jako ramę działań w cyklu życia, część 1-3 jako rozwinięcie obsługi podatności, a część 1-4 jako obszar wymagań i zabezpieczeń produktu. Są to materiały informacyjne o kierunku prac, nie finalna treść norm ani dowód ich aktualnego zatwierdzenia.
W praktyce warto zachować osobne zapisy: ryzyko i decyzja projektowa, analiza podatności, weryfikacja zabezpieczenia oraz potwierdzenie wydania poprawki. Jeden raport ze skanera nie opisuje całego procesu, a informacja o podatności nie jest automatycznie zgłoszeniem z art. 14.
Zatwierdzenie, ratyfikacja, dostępność tekstu i OJEU to nie to samo
Art. 27 ust. 1 CRA wiąże domniemanie zgodności z zastosowaniem norm zharmonizowanych lub ich części, których odniesienia opublikowano w Dzienniku Urzędowym UE. Domniemanie obejmuje wymagania objęte taką normą lub jej częścią, nie automatycznie wszystkie obowiązki producenta.
Karty dwóch pierwszych części wskazują również planowaną dostępność tekstu 25 listopada 2026 r. To odrębna data od ratyfikacji. Żadna z tych dat nie zastępuje publikacji odniesienia w OJEU. Pole o braku oczekiwanego cytowania jest stanem planu w katalogu, nie niezmienną gwarancją dotyczącą przyszłości.
Co przygotować teraz, bez deklaracji harmonised-standard conformity?
Zacznij od wymagań CRA i identyfikacji produktu. Następnie uporządkuj dowody, właścicieli oraz daty przeglądu. Powiązanie z kierunkiem EN 40000 może ułatwić późniejszą analizę, ale nie powinno nadawać statusu „compliant” ani otwierać procedury samoceny tylko dlatego, że dokument przeszedł głosowanie.
Najważniejsze kolejne punkty kontroli to potwierdzenie ratyfikacji części 1-1 i 1-2, postęp części 1-3 i 1-4 oraz ewentualna publikacja odniesień norm dla CRA w OJEU. Ten artykuł nie ustanawia automatycznych alertów ani nowej funkcji Workspace.
EN 40000 a CRA — najczęstsze pytania
Czy EN 40000-1-1 i EN 40000-1-2 są już ratyfikowane?
W stanie sprawdzonym 7 października 2026 r. ratyfikacja jest planowana na 2 listopada. Nie opisujemy przyszłego kamienia milowego jako zakończonego.
Czy zastosowanie EN 40000-1-2 daje domniemanie zgodności z CRA?
Nie na podstawie opisanych tu źródeł. Karta nie przewiduje cytowania dla CRA. Domniemanie oparte na normie wymaga publikacji jej odniesienia w OJEU i dotyczy tylko objętych nią wymagań.
Czym EN 40000 różni się od draftów ETSI EN 304 6xx?
Części EN 40000-1 dotyczą wspólnych pojęć i procesów. Drafty ETSI EN 304 6xx są powiązane z określonymi kategoriami produktów. Sam numer EN w dokumentacji projektu nie potwierdza przyjęcia ani skutku prawnego.
Czy trzeba czekać na normy, żeby gromadzić dowody CRA?
Nie. Można już porządkować wymagania, wersje produktu, ocenę ryzyka i wyniki testów. Przy wykorzystaniu materiałów projektowych należy zapisywać wersję i status źródła oraz nie utożsamiać mapy dowodów z oceną zgodności.
Oficjalne źródła
Podstawa materiału została sprawdzona 7 października 2026.