Cyber Resiliance Act – Jak się przygotować do stosowania CRA?
Obowiązki zgłoszeniowe producentów z Cyber Resilience Act są aktywne już od 11 września 2026 r., a 11 grudnia 2027 r. rozporządzenie zacznie być stosowane w całości. Piętnaście miesięcy między tymi datami to czas, w którym prace dostosowawcze da się rozłożyć na etapy i przeprowadzić bez presji terminu.
Temat jest obszerny, a skutki dla producentów, importerów i dystrybutorów tak daleko idące, że poświęcamy CRA trzy wpisy:
- Cyber Resilience Act – co to jest i kogo powinno obchodzić?
- Jakie obowiązki nakłada CRA na producentów i importerów?
- Jak się przygotować do stosowania CRA?
W trzeciej części pokazujemy, od czego zacząć, w jakiej kolejności prowadzić prace i co powinno działać w organizacji, zanim rozporządzenie zacznie obowiązywać w pełnym zakresie.
Inwentaryzacja i klasyfikacja
Prace warto zacząć od zestawienia tego, co firma sprzedaje, udostępnia i wspiera. Przy każdej pozycji potrzebne są:
- wersje pozostające w sprzedaży oraz wersje wycofane, ale nadal aktualizowane;
- komponenty własne i pochodzące od dostawców, w tym otwartoźródłowe, wraz z informacją, kto je utrzymuje (SBOM);
- rola firmy wobec danego produktu, czyli producent, importer, dystrybutor albo podmiot sprzedający cudzy produkt pod własną marką;
- data wprowadzenia do obrotu i planowana data zakończenia sprzedaży.
Zebrane w ten sposób dane pozwalają przejść do klasyfikacji – dla każdej pozycji trzeba rozstrzygnąć, czy w ogóle mieści się w zakresie CRA, a jeśli tak, to czy jest produktem zwykłym, ważnym czy krytycznym. Od tego zależy ścieżka oceny zgodności i odpowiedź na pytanie, czy potrzebny będzie udział jednostki notyfikowanej, a więc także koszt i czas całego przedsięwzięcia.
Najwięcej kłopotu sprawiają zwykle trzy grupy – produkty kupowane od podmiotu spoza Unii i sprzedawane pod własną marką, produkty dawno wycofane z oferty, ale wciąż otrzymujące poprawki, oraz narzędzia zbudowane pierwotnie na potrzeby wewnętrzne i z czasem udostępnione klientom. W każdym z tych przypadków rola organizacji na gruncie CRA może być inna, niż wynikałoby to z dokumentów handlowych.
Następnie należy porównać obecną funkcjonalność produktu z zasadniczymi wymaganiami załącznika I do CRA. Analizę prowadzi się osobno dla każdego produktu albo dla rodziny produktów zbudowanych na wspólnej podstawie technicznej.
Istotną częścią CRA będą normy zharmonizowane. Publikację części z nich zapowiedziano do końca tego roku, co ułatwi zaplanowanie prac i wykładnię wymogów. Nie musi to jednak wstrzymywać budowy zespołu, podziału odpowiedzialności ani prac nad procesami wewnętrznymi — te można prowadzić już teraz.
Okres wsparcia
Deklarowany okres wsparcia produktu jest na gruncie CRA zobowiązaniem o istotnych skutkach prawnych. Producent określa go odpowiednio do spodziewanego czasu używania produktu, przy czym pięć lat stanowi wyłącznie dolną granicę — dla urządzeń OT okres ten może wynosić 15–20 lat. Przez cały okres wsparcia producent musi zapewniać poprawki bezpieczeństwa, utrzymywać zdolność do wydania aktualizacji i obsługiwać zgłoszenia.
Decyzja o okresie wsparcia przekłada się wprost na koszt utrzymania starszych wersji, na wycenę produktu i na treść umów z klientami, dlatego nie może zapaść wyłącznie po stronie zespołu technicznego. Powinna być podejmowana przed wprowadzeniem produktu do obrotu, z udziałem osób odpowiadających za produkt, sprzedaż i finanse, w oparciu o:
- spodziewany czas używania produktu przez klientów;
- zobowiązania wynikające z umów długoterminowych i z postępowań przetargowych;
- okresy wsparcia deklarowane przez dostawców komponentów, gdyż dłuższe zobowiązanie wobec klienta niż to, które firma sama otrzymała od dostawcy może być w przyszłości problematyczne i kosztowne.
Podatności
Obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów już obowiązuje, więc procedura musi funkcjonować już teraz, a nie od grudnia 2027 r. Termin dwudziestu czterech godzin na wczesne ostrzeżenie biegnie od powzięcia wiedzy o zdarzeniu, niezależnie od pory dnia i dnia tygodnia. Przed wystąpieniem pierwszego zdarzenia organizacja powinna ustalić:
- skład zespołu, który przyjmuje i ocenia informacje o podatnościach, wraz z zastępstwami poza godzinami pracy;
- osoby uprawnione do podjęcia decyzji o zgłoszeniu, bez konieczności zwoływania zarządu;
- rejestrację w platformie sprawozdawczej ENISA, tak aby pierwsze logowanie nie odbywało się w trakcie incydentu;
- szablony wczesnego ostrzeżenia, zgłoszenia i sprawozdania końcowego oraz ustalony sposób powiadamiania użytkowników;
- przećwiczony scenariusz, najlepiej na przykładzie podatności w komponencie zewnętrznym.
Warunkiem szybkiej reakcji na podatności jest utrzymywanie aktualnego SBOM (Software Bill of Materials). Kiedy pojawia się informacja o podatności w powszechnie używanej bibliotece, aktualny wykaz pozwala odpowiedzieć w ciągu godzin, które produkty i wersje są dotknięte. Bez niego ustalenie tego zajmuje znacznie więcej czasu, co realnie zagraża dochowaniu terminów zgłoszeniowych z CRA.
Punkt kontaktowy dla użytkowników
Producent jest zobowiązany wskazać pojedynczy punkt kontaktowy, pod którym użytkownicy i badacze bezpieczeństwa mogą zgłaszać podatności, oraz podać go razem z produktem, w sposób łatwy do odnalezienia. Sam adres to jednak najmniejsza część zadania – ustalić trzeba, kto odbiera korespondencję, w jakim czasie potwierdza przyjęcie zgłoszenia, według jakich kryteriów ocenia jego wagę i jak przekazuje je zespołowi zajmującemu się podatnościami.
Podsumowanie
CRA to bardzo istotny akt prawny, który przenosi ciężar cyberbezpieczeństwa (przynajmniej w części) z użytkownika na producenta urządzenia i z tego powodu wymaga starannego przygotowania po stornie producentów i importerów. Dodatkowo sprawę komplikuje fakt, że procedura zgłaszania podatności powinna obowiązywać już, ponieważ obowiązki dotyczące zgłaszania podatności obowiązują od 11 września 2026 roku (pisaliśmy o tym tutaj).
Nasze wsparcie
Wspieramy przedsiębiorców na całej ścieżce dostosowania do CRA – od ustalenia, czy i w jakiej roli firma podlega rozporządzeniu, przez klasyfikację produktów i opracowanie procedur wewnętrznych, po obsługę zgłoszeń i bieżące doradztwo. Zapraszamy do kontaktu.
AUTOR WPISU
E: kamil.koziol@pl.Andersen.com
T: +48 668 690 891