Cyber Resilience Act (CRA) – co to jest i kogo dotyczy?

Jeśli produkujesz, importujesz lub dystrybuujesz na rynku unijnym urządzenia podłączane do sieci albo oprogramowanie, to Cyber Resilience Act (CRA) — po polsku Akt w sprawie cyberodporności — w najbliższych latach bezpośrednio zmieni sposób, w jaki projektujesz, wprowadzasz do obrotu i wspierasz swoje produkty. To jedno z najważniejszych unijnych rozporządzeń dotyczących cyberbezpieczeństwa ostatnich lat, a jego skala oddziaływania jest porównywalna z RODO — tyle że zamiast danych osobowych w centrum uwagi stawia bezpieczeństwo samego produktu cyfrowego. Warto przy tym pamiętać, że CRA nie działa w próżni — uzupełnia obowiązujące już przepisy dotyczące cyberbezpieczeństwa organizacji, takie jak dyrektywa NIS 2, która koncentruje się na bezpieczeństwie firm i instytucji, podczas gdy CRA odnosi się do bezpieczeństwa samych produktów.

Czym jest Cyber Resilience Act?

CRA to rozporządzenie Unii Europejskiej, które po raz pierwszy w tak kompleksowy sposób reguluje wymogi cyberbezpieczeństwa dla produktów z elementami cyfrowymi. W przeciwieństwie do wcześniejszych przepisów, które koncentrowały się głównie na ochronie danych czy bezpieczeństwie sieci operatorów telekomunikacyjnych, Akt w sprawie cyberodporności obejmuje sam produkt — od etapu projektowania, przez produkcję, aż po cały okres jego użytkowania na rynku.

W praktyce chodzi o dwa główne typy produktów:

• sprzęt z komponentem cyfrowym — routery, kamery IP, inteligentne urządzenia AGD, czujniki IoT, sprzęt sieciowy,
• oprogramowanie — aplikacje, systemy operacyjne, biblioteki i komponenty, które łączą się z siecią lub z innymi urządzeniami.

Rozporządzenie nie obejmuje jednak wszystkiego bez wyjątku. Poza jego zakresem pozostają m.in. wyroby medyczne, pojazdy, sprzęt lotniczy, systemy wojskowe, a także oprogramowanie oferowane wyłącznie jako usługa (SaaS) oraz projekty open source rozwijane w sposób niekomercyjny — te obszary regulują odrębne przepisy sektorowe.

Na czym polega podejście „security by design”?

Jednym z fundamentów CRA jest zasada bezpieczeństwa uwzględnionego już na etapie projektowania (ang. security by design). Oznacza to, że producent nie może traktować cyberbezpieczeństwa jako dodatku wprowadzanego po fakcie — musi je zaplanować od pierwszego szkicu produktu, uwzględniając ryzyko na każdym etapie cyklu życia: projektowania, produkcji, dystrybucji i eksploatacji.

Cztery filary rozporządzenia

Choć CRA to obszerny akt prawny, jego wymagania można sprowadzić do czterech głównych obszarów:

1. Bezpieczeństwo od projektu. Produkty muszą być tworzone tak, aby minimalizować ryzyko podatności i incydentów już na etapie koncepcji, a nie dopiero w reakcji na zgłoszony problem.
2. Zarządzanie podatnościami i aktualizacje. Producent odpowiada za identyfikowanie i usuwanie luk bezpieczeństwa oraz za dostarczanie bezpłatnych aktualizacji zabezpieczeń przez cały przewidywany okres wsparcia produktu — co do zasady nie krócej niż pięć lat.
3. Dokumentacja i przejrzystość. Do każdego produktu musi być dołączona dokumentacja techniczna, a producenci są zobowiązani do prowadzenia wykazu komponentów oprogramowania, znanego jako SBOM (Software Bill of Materials). Dzięki temu użytkownicy i organy nadzoru mogą łatwiej ustalić, jakie elementy wchodzą w skład danego produktu i czy nie zawierają one znanych podatności. Firmy, które mają już wdrożony system zarządzania bezpieczeństwem informacji, np. w oparciu o normę ISO 27001, zwykle łatwiej odnajdują się w tego typu wymaganiach dokumentacyjnych — o tym, jak oba obszary się uzupełniają, pisaliśmy przy okazji porównania NIS2 i ISO 27001.
4. Zgłaszanie incydentów. Wykryte, aktywnie wykorzystywane podatności oraz poważne incydenty bezpieczeństwa muszą trafiać do odpowiednich organów — w Unii Europejskiej centralnym punktem zgłoszeń jest platforma prowadzona przez ENISA.

Po spełnieniu wymogów bezpieczeństwa produkt zyskuje prawo do oznakowania CE, które w tym kontekście potwierdza zgodność nie tylko z wymogami mechanicznymi czy elektrycznymi, ale również z wymaganiami cyberbezpieczeństwa.

Kiedy CRA zaczyna obowiązywać? Kluczowe terminy

CRA wchodzi w życie stopniowo, co daje firmom czas na dostosowanie procesów — ale też oznacza, że część obowiązków pojawi się szybciej, niż mogłoby się wydawać:

• 11 września 2026 r. — zaczynają obowiązywać przepisy dotyczące zgłaszania aktywnie wykorzystywanych podatności oraz poważnych incydentów bezpieczeństwa,
• 11 grudnia 2027 r. — pełne zastosowanie mają już niemal wszystkie obowiązki nałożone na producentów, importerów i dystrybutorów wprowadzających produkty na rynek unijny.

Oznacza to, że firmy, które chcą uniknąć chaosu wdrożeniowego w ostatniej chwili, powinny już teraz zacząć analizować, czy ich produkty wchodzą w zakres regulacji i jakie konkretnie obowiązki będą musiały spełnić.

Jakie kary grożą za brak zgodności z CRA?

Skala sankcji przewidzianych w CRA ma skutecznie zniechęcać do bagatelizowania nowych obowiązków. Za naruszenie przepisów rozporządzenia grożą kary finansowe sięgające nawet 15 milionów euro lub 2,5% całkowitego rocznego obrotu przedsiębiorstwa — w zależności od tego, która z tych wartości jest wyższa. To poziom porównywalny z sankcjami znanymi z RODO, co pokazuje, jak poważnie unijny ustawodawca traktuje kwestię bezpieczeństwa produktów cyfrowych. Warto jednak pamiętać, że sama kara finansowa to niejedyny koszt braku zgodności — podobny mechanizm, tyle że w kontekście ISO 27001, opisaliśmy w artykule „Ile kosztuje brak ISO 27001? Rachunek, który robi wrażenie”— mechanizm ukrytych kosztów braku bezpieczeństwa jest tu bardzo podobny.

Co dalej?

Jeśli Twoja firma projektuje, produkuje lub sprzedaje na rynku UE urządzenia z komponentem cyfrowym albo oprogramowanie, warto już dziś odpowiedzieć sobie na dwa pytania: czy Twoje produkty w ogóle podlegają pod CRA, i jeśli tak — do której kategorii ryzyka się kwalifikują, bo od tego zależy zakres obowiązków. W kolejnych artykułach rozkładamy na czynniki pierwsze obowiązki producentów wynikające z CRA oraz proces zgłaszania podatności i incydentów.