Co to jest Cyber Resilience Act (Akt o cyberodporności)?
Cyber Resilience Act, czyli Akt o cyberodporności, jest bezpośrednio stosowanym rozporządzeniem UE dotyczącym cyberbezpieczeństwa produktów z elementami cyfrowymi. Obejmuje zarówno produkty końcowe, jak i komponenty hardware lub software wprowadzane oddzielnie na rynek UE.
CRA ma połączyć bezpieczeństwo projektowania i wytwarzania z obsługą podatności w okresie wsparcia. Producent musi przełożyć ocenę ryzyka na wymagania produktu, dokumentację, aktualizacje, ocenę zgodności i działania po wprowadzeniu produktu na rynek.
Kogo dotyczy CRA?
Punktem wyjścia jest produkt z elementami cyfrowymi udostępniany na rynku w ramach działalności komercyjnej, którego przewidziane lub racjonalnie przewidywalne użycie obejmuje bezpośrednie albo pośrednie połączenie logiczne lub fizyczne z urządzeniem lub siecią. Sama etykieta „SaaS”, „IoT”, „open source” albo „komponent” nie rozstrzyga wyniku.
- hardware, urządzenia IoT i produkty sieciowe
- samodzielne oprogramowanie komercyjnie udostępniane na rynku UE
- komponenty hardware i software sprzedawane jako odrębne produkty
- remote data processing niezbędny do działania funkcji produktu
- produkty rozwijane lub sprzedawane pod nazwą albo znakiem producenta
- przypadki wymagające sprawdzenia wyłączeń lub szczególnych przepisów sektorowych
Kto ma obowiązki w CRA?
Najszersze obowiązki dotyczą producentów. CRA przypisuje odrębne zadania upoważnionym przedstawicielom, importerom i dystrybutorom, a w określonym zakresie także stewardom oprogramowania open source. Zakres odpowiedzialności zależy od rzeczywistej roli w łańcuchu dostaw, nie tylko od nazwy w umowie.
Jakie obowiązki wprowadza CRA?
- cybersecurity risk assessment i zasadnicze wymagania bezpieczeństwa produktu
- secure by design, secure by default i ograniczanie powierzchni ataku
- identyfikowanie komponentów i przygotowanie maszynowo czytelnego SBOM
- obsługa podatności, aktualizacje bezpieczeństwa i coordinated vulnerability disclosure
- dokumentacja techniczna, informacje dla użytkownika i okres wsparcia
- właściwa ocena zgodności, deklaracja zgodności UE i oznakowanie CE
- reporting aktywnie wykorzystywanych podatności i poważnych incydentów
Od kiedy obowiązuje Cyber Resilience Act?
CRA wszedł w życie 10 grudnia 2024 r. Przepisy dotyczące notyfikacji jednostek oceniających zgodność stosuje się od 11 czerwca 2026 r. Obowiązki raportowe z art. 14 są stosowane od 11 września 2026 r., a główne obowiązki produktowe będą stosowane od 11 grudnia 2027 r.
Wejście w życie nie oznacza, że wszystkie obowiązki stosuje się od tej samej daty. Proces raportowania z art. 14 powinien już działać; pełny program produktowy wymaga osobnego przygotowania do 2027 r.
Od czego zacząć przygotowanie do CRA?
- zbuduj Product Inventory i ustal, które produkty oraz wersje są nadal oferowane w UE
- potwierdź rolę firmy, granicę produktu i remote data processing
- ustal klasyfikację i możliwą ścieżkę oceny zgodności
- połącz risk assessment, wymagania, SBOM, podatności i evidence z konkretnym release'em
- przygotuj Security Intake, Article 14 Review i operacyjny proces zgłoszenia przez ENISA SRP
Cyber Resilience Act — najczęstsze pytania
Co to jest CRA?
CRA, czyli Cyber Resilience Act, to rozporządzenie UE 2024/2847 ustanawiające wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi udostępnianych na rynku Unii.
Czy Cyber Resilience Act już obowiązuje?
CRA wszedł w życie 10 grudnia 2024 r., ale jego przepisy są stosowane etapami. Raportowanie z art. 14 jest stosowane od 11 września 2026 r., a główne obowiązki produktowe będą stosowane od 11 grudnia 2027 r.
Czy CRA dotyczy software?
Tak, samodzielne oprogramowanie może być produktem z elementami cyfrowymi. Wynik zależy m.in. od sposobu komercyjnego udostępnienia na rynku UE, połączenia z urządzeniem lub siecią, roli firmy oraz ewentualnych wyłączeń.
Czy każda usługa SaaS podlega CRA?
Nie. Samodzielna usługa SaaS nie jest automatycznie produktem z elementami cyfrowymi. Remote data processing może jednak być częścią produktu, jeżeli jest zaprojektowany pod odpowiedzialnością producenta i jest niezbędny do wykonywania funkcji produktu.
Kto odpowiada za CRA?
Najszersze obowiązki ma producent. Własne obowiązki mają również upoważnieni przedstawiciele, importerzy i dystrybutorzy, a w określonym zakresie także open-source software stewards.
Oficjalne źródła
Podstawa materiału została sprawdzona 8 września 2026.