Jakie kary przewiduje Cyber Resilience Act?
Art. 64 CRA ustanawia trzy maksymalne poziomy kar: do 15 mln EUR lub 2,5% światowego obrotu, do 10 mln EUR lub 2% obrotu oraz do 5 mln EUR lub 1% obrotu. W przypadku przedsiębiorstwa w każdym poziomie porównuje się kwotę stałą z procentem całkowitego światowego rocznego obrotu z poprzedniego roku obrotowego i przyjmuje wyższy pułap.
Rozporządzenie wymaga, aby sankcje ustanowione i stosowane przez państwa członkowskie były skuteczne, proporcjonalne i odstraszające. Ostateczna wysokość kary zależy od okoliczności konkretnego przypadku.
Trzy poziomy kar administracyjnych w CRA
| Poziom | Maksymalny pułap | Przykładowy zakres naruszeń |
|---|---|---|
| Najwyższy | 15 mln EUR albo 2,5% światowego rocznego obrotu — wyższa wartość | zasadnicze wymagania cyberbezpieczeństwa z Annex I oraz obowiązki z art. 13 i 14 |
| Drugi | 10 mln EUR albo 2% światowego rocznego obrotu — wyższa wartość | wskazane obowiązki m.in. upoważnionych przedstawicieli, importerów, dystrybutorów, oceny zgodności, dokumentacji, CE i jednostek notyfikowanych |
| Informacje dla organów | 5 mln EUR albo 1% światowego rocznego obrotu — wyższa wartość | nieprawidłowe, niekompletne lub wprowadzające w błąd informacje przekazane na żądanie jednostki notyfikowanej albo organu nadzoru rynku |
15 mln EUR czy 2,5% obrotu — którą wartość stosuje CRA?
Art. 64 nie wybiera automatycznie niższej wartości. Dla przedsiębiorstwa maksymalnym pułapem jest wyższa z kwoty wskazanej w euro i odpowiedniego procentu całkowitego światowego rocznego obrotu z poprzedniego roku obrotowego.
| Światowy obrót | 2,5% obrotu | Wyższy maksymalny pułap |
|---|---|---|
| 100 mln EUR | 2,5 mln EUR | 15 mln EUR |
| 600 mln EUR | 15 mln EUR | 15 mln EUR |
| 1 mld EUR | 25 mln EUR | 25 mln EUR |
Maksymalny pułap nie oznacza automatycznej kary
Organ nie powinien traktować tabeli z art. 64 jak taryfikatora. Przy ustalaniu wysokości administracyjnej kary pieniężnej trzeba uwzględnić wszystkie istotne okoliczności konkretnej sprawy.
- charakter, waga i czas trwania naruszenia
- konsekwencje naruszenia
- wcześniejsze administracyjne kary za podobne naruszenie
- wielkość operatora gospodarczego, ze szczególnym uwzględnieniem mikroprzedsiębiorstw i MŚP, w tym startupów
- udział operatora gospodarczego w rynku
Sankcja to nie tylko kara pieniężna
Kara administracyjna może zostać nałożona obok środków naprawczych lub ograniczających. Dla zarządu ryzyko ciągłości sprzedaży i obsługi klientów może być równie istotne jak sama kwota kary.
- nakaz doprowadzenia produktu lub procesów do zgodności
- ograniczenie albo zakaz dalszego udostępniania produktu
- wycofanie produktu z rynku
- recall, czyli odzyskanie produktu od użytkowników
- odmowa wydania, ograniczenie, zawieszenie albo cofnięcie certyfikatu przez jednostkę notyfikowaną
- żądanie dostępu do danych i dokumentacji potrzebnych do oceny produktu i procesów producenta
Kto może ponosić odpowiedzialność za naruszenie CRA?
Odpowiedzialność trzeba powiązać z konkretnym obowiązkiem i rzeczywistą rolą. Najszerszy zakres obowiązków ma producent, ale CRA ustanawia własne obowiązki również dla upoważnionych przedstawicieli, importerów, dystrybutorów, jednostek notyfikowanych i innych wskazanych podmiotów.
Art. 64 nie tworzy jednej automatycznej odpowiedzialności osobistej członków zarządu za każde naruszenie spółki. Ewentualną odpowiedzialność osób fizycznych, procedurę oraz właściwy organ trzeba ocenić na podstawie konkretnego przypadku i właściwego prawa krajowego.
Czy małe firmy i open source są zwolnione z kar?
Nie istnieje ogólne zwolnienie MŚP z CRA. Wielkość przedsiębiorstwa jest jednym z czynników wymiaru kary. Sprostowany art. 64 ust. 10 przewiduje jednak węższe wyjątki od administracyjnych kar pieniężnych.
Producent będący mikroprzedsiębiorstwem lub małym przedsiębiorstwem nie podlega administracyjnej karze pieniężnej za niedotrzymanie 24-godzinnego terminu early warning wskazanego w art. 14 ust. 2 lit. a lub ust. 4 lit. a. Nie usuwa to samego obowiązku ani pozostałych etapów reportingu. Open-source software stewards nie podlegają administracyjnym karom pieniężnym za naruszenia CRA, lecz nadal mają obowiązki i mogą być zobowiązani do odpowiednich działań naprawczych.
Od kiedy stosuje się obowiązki i przepisy o karach?
Art. 14 dotyczący zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów stosuje się od 11 września 2026 r. Główne przepisy CRA stosuje się od 11 grudnia 2027 r.; art. 64 nie został wymieniony w art. 71 wśród przepisów stosowanych wcześniej.
Harmonogram nie uzasadnia odkładania przygotowań. Zdarzenia, decyzje i dowody z procesu reportingowego trzeba rejestrować od początku stosowania art. 14, a przed decyzją o ekspozycji sankcyjnej sprawdzić aktualne przepisy krajowe, właściwość organu i stan konkretnej sprawy.
Co management powinien przygotować przed egzekwowaniem CRA?
Poniższa lista pomaga ustalić priorytety operacyjne. Nie jest oceną zgodności ani prognozą kary w indywidualnej sprawie.
- zatwierdzić jednoznaczny Product Inventory oraz role producenta, importera i dystrybutora
- ustalić właścicieli risk assessment, vulnerability handling, Article 14 i oceny zgodności
- zapewnić ścieżkę eskalacji 24h/72h oraz zastępstwa
- powiązać wymagania z konkretnym produktem, release'em, SBOM i dowodami
- kontrolować kompletność dokumentacji technicznej, deklaracji zgodności UE i oznakowania CE
- ustanowić review odpowiedzi kierowanych do organów i jednostek notyfikowanych
- ćwiczyć corrective action, update rollout, withdrawal i recall
- raportować zarządowi jawne luki oraz UNKNOWN zamiast nieudokumentowanego statusu „compliant”
Kary w Cyber Resilience Act — FAQ
Jaka jest maksymalna kara w CRA?
Za naruszenie zasadniczych wymagań cyberbezpieczeństwa z Annex I albo obowiązków z art. 13 i 14 maksymalny pułap wynosi 15 mln EUR lub, dla przedsiębiorstwa, 2,5% całkowitego światowego rocznego obrotu z poprzedniego roku obrotowego — zależnie od tego, która wartość jest wyższa.
Czy CRA przewiduje karę 2,5% czy 15 mln EUR?
Dla przedsiębiorstwa porównuje się obie wartości i wyznacza wyższy maksymalny pułap. Nie oznacza to, że właśnie taka kara zostanie automatycznie nałożona w każdej sprawie.
Czy każde naruszenie CRA oznacza maksymalną karę?
Nie. Maksymalne kwoty są pułapami. Organ bierze pod uwagę m.in. charakter, wagę, czas trwania i konsekwencje naruszenia, wcześniejsze podobne kary, wielkość firmy oraz jej udział w rynku.
Czy organ może wycofać produkt z rynku?
Tak. W zależności od ustaleń i ryzyka organ może wymagać działań naprawczych, ograniczyć lub zakazać udostępniania produktu, nakazać jego wycofanie z rynku albo recall. Środki te mogą wystąpić obok administracyjnej kary pieniężnej.
Czy mała firma jest zwolniona z kar CRA?
Nie ogólnie. Wąski wyjątek dotyczy mikroprzedsiębiorstw i małych przedsiębiorstw oraz niedotrzymania 24-godzinnego terminu early warning. Wielkość firmy jest też czynnikiem uwzględnianym przy wymiarze kary.
Czy członek zarządu odpowiada osobiście za naruszenie CRA?
CRA nie ustanawia automatycznej osobistej odpowiedzialności każdego członka zarządu za naruszenie spółki. Taki wynik może zależeć od roli, faktów, procedury i właściwego prawa krajowego, dlatego wymaga osobnej analizy prawnej.
Od kiedy obowiązują kary CRA?
Główne przepisy CRA, w tym art. 64 o karach, stosuje się zasadniczo od 11 grudnia 2027 r. Art. 14 reporting stosuje się wcześniej — od 11 września 2026 r. Przed decyzją należy sprawdzić także aktualne przepisy krajowe i stan konkretnej sprawy.
Oficjalne źródła
Podstawa materiału została sprawdzona 9 września 2026.