Cyber Resilience Act (CRA)

Od 11 grudnia 2027 r. każdy produkt z elementami cyfrowymi sprzedawany w Unii Europejskiej musi spełniać wymagania cyberbezpieczeństwa, a pierwsze obowiązki producentów obowiązują już od 11 września 2026 r. Pomagamy firmom przygotować się do CRA: szkolimy, audytujemy produkty i wspieramy wdrożenie. Mamy w tym doświadczenie – zaufały nam już przedsiębiorstwa z branży produkcyjnej.

1. Czym jest CRA

Cyber Resilience Act, czyli rozporządzenie (UE) 2024/2847, to pierwsze unijne przepisy, które wymagają, aby sprzęt i oprogramowanie były bezpieczne już na etapie projektu i pozostawały bezpieczne przez cały okres wsparcia. Rozporządzenie weszło w życie 10 grudnia 2024 r. i obowiązuje bezpośrednio we wszystkich państwach członkowskich.

Najważniejsze terminy:

11 września 2026 r. – obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów,
11 grudnia 2027 r. – pełne stosowanie rozporządzenia, w tym wymagania zasadnicze, ocena zgodności i oznakowanie CE.

Za niespełnienie wymagań zasadniczych grozi kara do 15 mln euro lub 2,5% całkowitego rocznego światowego obrotu – w zależności od tego, która kwota jest wyższa. Organy nadzoru rynku mogą też nakazać wycofanie produktu z obrotu.

2. Jakie produkty obejmuje

CRA dotyczy „produktów z elementami cyfrowymi”, czyli sprzętu i oprogramowania, które można bezpośrednio lub pośrednio połączyć z innym urządzeniem albo z siecią. W firmach produkcyjnych są to między innymi:

sterowniki PLC, panele HMI, czujniki i urządzenia przemysłowego internetu rzeczy (IIoT),
maszyny i urządzenia z modułem komunikacyjnym lub zdalnym serwisem,
routery, przełączniki, zapory sieciowe i inne urządzenia sieciowe,
inteligentne urządzenia konsumenckie, na przykład kamery, zamki i zabawki połączone z siecią,
oprogramowanie: firmware, systemy operacyjne, aplikacje desktopowe i mobilne.

Obowiązki mają producenci, importerzy i dystrybutorzy. Większość produktów producent ocenia samodzielnie. Produkty „ważne” (na przykład systemy operacyjne, routery, menedżery haseł i zapory sieciowe) oraz „krytyczne” (na przykład karty inteligentne) przechodzą ostrzejszą ocenę zgodności, często z udziałem jednostki notyfikowanej.

Rozporządzenie nie obejmuje między innymi wyrobów medycznych, pojazdów silnikowych, lotnictwa cywilnego i wyposażenia morskiego, które mają własne przepisy, ani produktów tworzonych wyłącznie na potrzeby obronności i bezpieczeństwa narodowego.

3. Wymagania bezpieczeństwa

Wymagania zasadnicze opisuje załącznik I do rozporządzenia. Najważniejsze z nich to:

ocena ryzyka cyberbezpieczeństwa i projektowanie produktu zgodnie z zasadą security by design,
brak znanych, możliwych do wykorzystania podatności w chwili wprowadzenia produktu do obrotu,
bezpieczna konfiguracja domyślna i ochrona przed nieuprawnionym dostępem,
ochrona poufności i integralności danych, między innymi przez szyfrowanie,
ograniczanie powierzchni ataku i rejestrowanie zdarzeń istotnych dla bezpieczeństwa,
bezpłatne aktualizacje bezpieczeństwa przez cały okres wsparcia – co do zasady co najmniej 5 lat,
zestawienie komponentów oprogramowania (SBOM) i udokumentowany proces obsługi podatności,
polityka skoordynowanego ujawniania podatności i punkt kontaktowy do ich zgłaszania,
zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin oraz raport końcowy,
dokumentacja techniczna, deklaracja zgodności UE i oznakowanie CE.

4. Jak pomagamy

Mamy doświadczenie w przygotowaniu firm do CRA – zaufały nam już przedsiębiorstwa z branży produkcyjnej. Pracujemy z konstruktorami, programistami i działami jakości, dlatego przekładamy przepisy na konkretne zadania inżynierskie.

Szkolenia z CRA – dla zarządu, konstruktorów, programistów i działów jakości: czego wymaga rozporządzenie, kogo dotyczy i od czego zacząć. Program dopasowujemy do produktów i specyfiki zakładu.
Audyt bezpieczeństwa produktów – sprawdzamy, czy produkt podlega CRA i do której klasy należy, a następnie wskazujemy braki względem wymagań.
Wdrożenie Secure SDLC – wbudowujemy bezpieczeństwo w proces wytwarzania: analizę ryzyka, przegląd kodu, SBOM oraz obsługę podatności i aktualizacji.
Regularne pentesty – testujemy urządzenia, firmware, aplikacje i interfejsy API. Raport można dołączyć do dokumentacji technicznej produktu.
Monitoring bezpieczeństwa – śledzimy nowe podatności w komponentach produktu i pomagamy przygotować procedurę zgłoszeń w terminach wymaganych przez CRA.
Dokumentacja – wspieramy przygotowanie oceny ryzyka, dokumentacji technicznej i deklaracji zgodności UE.

Skontaktuj się z nami, aby umówić szkolenie lub wstępną analizę produktów.

5. FAQ

Od kiedy trzeba spełniać wymagania CRA?

Wymagania zasadnicze obowiązują od 11 grudnia 2027 r. Obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów obowiązuje wcześniej – od 11 września 2026 r.

Czy CRA dotyczy produktów, które są już na rynku?

Produkty wprowadzone do obrotu przed 11 grudnia 2027 r. muszą spełnić wymagania dopiero po istotnej modyfikacji. Obowiązek zgłaszania podatności i incydentów dotyczy jednak także tych produktów.

Czy CRA dotyczy oprogramowania open source?

Oprogramowanie open source rozwijane niekomercyjnie nie podlega obowiązkom producenta. Jeśli jednak używasz komponentów open source w produkcie komercyjnym, odpowiadasz za bezpieczeństwo całego produktu – razem z tymi komponentami.

Czy małe firmy są zwolnione z CRA?

Nie. Mikro- i małe przedsiębiorstwa mogą korzystać z ułatwień, na przykład z uproszczonej dokumentacji technicznej, ale wymagania zasadnicze są dla wszystkich takie same.

Czym CRA różni się od NIS2?

NIS2 dotyczy organizacji i bezpieczeństwa ich własnych systemów. CRA dotyczy produktów wprowadzanych na rynek. Firma produkcyjna może podlegać obu regulacjom jednocześnie.

Od czego zacząć?

Od spisu produktów z elementami cyfrowymi i sprawdzenia, które z nich podlegają CRA i w jakiej klasie. Na tej podstawie powstaje plan dojścia do zgodności. Dobrym pierwszym krokiem jest krótkie szkolenie dla zespołu.