Blog

Cyber Resilience Act – jakie produkty i firmy obejmuje CRA

Cyber Resilience Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z 23 października 2024 r., przenosi cyberbezpieczeństwo ze sfery dobrych praktyk do warunków dopuszczenia produktu na rynek.

Temat jest obszerny, a skutki dla producentów, importerów i dystrybutorów tak daleko idące, że poświęcamy CRA trzy wpisy, które będziemy publikować w kolejnych tygodniach:

1. Cyber Resilience Act – co to jest i kogo powinno obchodzić?
2. Jakie obowiązki nakłada CRA na producentów i importerów?
3. Jak się przygotować do stosowania CRA?

W pierwszej części wyjaśniamy, czym CRA jest, jakie produkty obejmuje, kogo obciąża obowiązkami, od kiedy trzeba się z nim liczyć i ile kosztuje jego zignorowanie.

Czym jest CRA i po co go wprowadzono

CRA to rozporządzenie ustanawiające wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi – od etapu projektowania, przez produkcję i wprowadzenie do obrotu, aż po zarządzanie podatnościami w okresie użytkowania. Weszło w życie 10 grudnia 2024 r. i będzie stosowane bezpośrednio, bez potrzeby implementacji do prawa krajowego. Celem rozporządzenia jest podniesienie poziomu cyberbezpieczeństwa produktów oferowanych w Unii i uporządkowanie rozproszonych dotąd wymagań, które utrudniały funkcjonowanie rynku wewnętrznego.

CRA zostało zbudowane na unijnych ramach prawnych dla produktów, znanych z dyrektyw i rozporządzeń harmonizacyjnych. Jako standard przyjmuje się więc, że producent przeprowadza ocenę ryzyka, sporządza dokumentację techniczną, przechodzi procedurę oceny zgodności, wystawia deklarację zgodności i umieszcza oznakowanie, a nad rynkiem czuwają organy nadzoru rynku. Ten mechanizm jest znany każdemu, kto zajmował się bezpieczeństwem maszyn czy urządzeń radiowych. Nowością w tym wypadku jest jego przedmiot – cyberbezpieczeństwo.

Jakie produkty obejmuje CRA

Zakres przedmiotowy wyznacza art. 2 ust. 1 rozporządzenia – CRA stosuje się do udostępnianych na rynku produktów z elementami cyfrowymi, których przeznaczenie lub racjonalnie przewidywalne wykorzystanie obejmuje bezpośrednie lub pośrednie, logiczne lub fizyczne połączenie danych z urządzeniem lub siecią.

Definicja „produktu z elementami cyfrowymi” jest szeroka – oznacza oprogramowanie lub sprzęt komputerowy oraz powiązane z nimi rozwiązania w zakresie zdalnego przetwarzania danych, w tym komponenty wprowadzane do obrotu oddzielnie. W praktyce oznacza to cztery grupy:

• sprzęt z wbudowanym oprogramowaniem – urządzenia internetu rzeczy (IoT), laptopy, telewizory, sprzęt AGD, sterowniki przemysłowe;
• sprzęt samodzielny – układy scalone, płyty główne, moduły komunikacyjne;
• oprogramowanie samodzielne – aplikacje mobilne i komputerowe, systemy operacyjne, programy dystrybuowane cyfrowo i fizycznie;
• komponenty sprzętowe i programowe wprowadzane do obrotu osobno, a przeznaczone do integracji z innymi produktami.

27 lipca 2026 r. Komisja Europejska zatwierdziła treść projektu wytycznych dotyczących stosowania CRA przygotowanych na podstawie art. 26 rozporządzenia. Wytyczne mają zostać formalnie przyjęte po przygotowaniu wszystkich wersji językowych, ale już teraz wyjaśniają kilka kwestii, które w praktyce budziły najwięcej wątpliwości:

• Aplikacja internetowa dostępna wyłącznie w przeglądarce nie jest produktem z elementami cyfrowymi – podobnie jak strona internetowa, która jedynie prezentuje informacje. Objęta CRA będzie natomiast aplikacja dostarczana użytkownikowi jako klient instalowany i uruchamiany na jego urządzeniu. Model dostarczania oprogramowania ma tu znaczenie przesądzające. Wyjątkiem jest sytuacja, w której aplikacja internetowa lub strona wspiera funkcjonalność produktu z elementami cyfrowymi – wtedy wchodzi w zakres CRA jako rozwiązanie zdalnego przetwarzania danych.
• Sprzęt i oprogramowanie mogą stanowić jeden produkt, nawet jeśli trafiają do użytkownika różnymi kanałami. Drukarka sieciowa i pobierane ze strony producenta sterowniki, bez których nie może wykonywać swojej funkcji, to jeden produkt z elementami cyfrowymi. Tak samo opaska sportowa i aplikacja producenta niezbędna do odczytu pomiarów.
• Dostarczenie klientowi kodu źródłowego jako produktu jest wprowadzeniem do obrotu, choćby wymagał on jeszcze adaptacji i kompilacji po stronie nabywcy. Inaczej jest w przypadku kodu udostępnianego w publicznym repozytorium bez pobierania wynagrodzenia, kodu nieukończonego przekazywanego do testów oraz kodu przykładowego w materiałach szkoleniowych.
• Samo istnienie elektroniki nie jest decydujące – potrzebne jest połączenie danych. Jeżeli sygnał elektryczny lub elektroniczny służy wyłącznie do wyzwolenia lub zasilenia funkcji i nie przenosi zakodowanej cyfrowo informacji, produkt pozostaje poza zakresem stosowania CRA.

Czego CRA nie obejmuje

Poza zakresem CRA pozostają:

• wyroby medyczne i wyroby medyczne do diagnostyki in vitro;
• pojazdy silnikowe;
• produkty lotnicze certyfikowane na podstawie unijnych przepisów lotniczych;
• wyposażenie morskie;
• części zamienne udostępniane w celu wymiany identycznych komponentów i wytwarzane według tych samych specyfikacji;
• produkty opracowane lub zmodyfikowane wyłącznie na potrzeby bezpieczeństwa narodowego lub obronności oraz przeznaczone do przetwarzania informacji niejawnych.

Odrębnie traktowane jest wolne i otwarte oprogramowanie. Jeżeli nie jest udostępniane w ramach działalności komercyjnej, pozostaje poza zakresem rozporządzenia. Wytyczne Komisji rozwijają ten wątek, wskazując szereg kryteriów odpłatności i monetyzacji, w tym pobieranie opłat za wsparcie techniczne wykraczające poza zwrot kosztów, warunkowanie korzystania przetwarzaniem danych osobowych czy przyjmowanie darowizn przekraczających koszty opracowania produktu.

Na kim ciążą obowiązki z CRA?

CRA rozkłada obowiązki przede wszystkim na:

1. Producent – podmiot, który opracowuje lub wytwarza produkt albo zleca jego wytworzenie i wprowadza go do obrotu pod własną nazwą handlową lub znakiem towarowym, odpłatnie lub nieodpłatnie.
2. Importer – podmiot z siedzibą w UE wprowadzający do obrotu produkt opatrzony nazwą lub znakiem podmiotu z państwa trzeciego.

W praktyce najwięcej sporów powstanie na styku tych ról, ale o samych obowiązkach będziemy pisać w drugim wpisie naszej serii.

Nie każdy produkt tak samo – produkty ważne i krytyczne

Rozporządzenie różnicuje obowiązki według ryzyka. Produkty zwykłe podlegają w większości przypadków samoocenie zgodności przez producenta. Istnieje także kategoria produktów, które w świetle CRA są ważnymi produktami z elementami cyfrowymi i podlegają zaostrzonym procedurom oceny zgodności.

Tego typu ważnymi produktami są systemy zarządzania tożsamością i uprzywilejowanym dostępem, przeglądarki, menedżery haseł, oprogramowanie antywirusowe, produkty z funkcją VPN, systemy SIEM, systemy operacyjne, routery i modemy, mikroprocesory i mikrokontrolery z funkcjami bezpieczeństwa, inteligentne zamki i kamery, zabawki podłączone do internetu z funkcjami interaktywnymi lub śledzeniem lokalizacji, jak również urządzenia noszone monitorujące stan zdrowia poza reżimem wyrobów medycznych, a także zapory sieciowe, systemy wykrywania i zapobiegania włamaniom oraz mikroprocesory i mikrokontrolery odporne na manipulacje.

Dodatkowo CRA wyróżnia także tzw. produkty krytyczne, do których zalicza się urządzenia sprzętowe ze skrzynkami zabezpieczającymi, bramy inteligentnych liczników i karty inteligentne z elementami zabezpieczającymi. Dla nich Komisja może w drodze aktów delegowanych wprowadzić obowiązek uzyskania europejskiego certyfikatu cyberbezpieczeństwa.

Od kiedy CRA obowiązuje

Kalendarz stosowania jest trzystopniowy:

• 11 czerwca 2026 r. – stosuje się rozdział IV, dotyczący notyfikowania jednostek oceniających zgodność;
• 11 września 2026 r. – stosuje się obowiązki zgłoszeniowe producentów; aktywnie wykorzystywaną podatność oraz poważny incydent trzeba zgłaszać CSIRT wyznaczonemu jako koordynator oraz ENISA, przez pojedynczą platformę sprawozdawczą – pierwsze wczesne ostrzeżenie w ciągu 24 godzin;
• 11 grudnia 2027 r. – rozporządzenie stosuje się w całości, wraz z zasadniczymi wymaganiami, oceną zgodności i oznakowaniem CE.

Pojawia się przy tym pytanie o produkty projektowane przed tą datą, a wprowadzane do obrotu po niej. Wytyczne Komisji wyjaśniają, że zgodność z CRA nie wymaga automatycznego przeprojektowania takich produktów. Producent musi jednak przeprowadzić ocenę ryzyka i wykazać – w dokumentacji technicznej – że produkt zapewnia odpowiedni poziom cyberbezpieczeństwa wobec swojego przeznaczenia. Obowiązki proceduralne, czyli ocena zgodności, deklaracja zgodności UE i oznakowanie CE, obowiązują niezależnie od tego, czy ocena ryzyka wymusiła zmiany w konstrukcji produktu.

Ile kosztuje niezgodność

Naruszenie zasadniczych wymagań oraz obowiązków producenta, w tym obowiązków zgłoszeniowych, podlega administracyjnej karze pieniężnej do 15 000 000 EUR albo – jeżeli za naruszenie odpowiada przedsiębiorstwo – do 2,5% łącznego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa. Naruszenie pozostałych wskazanych w rozporządzeniu obowiązków, w tym obowiązków importerów i dystrybutorów, jest zagrożone karą do 10 000 000 EUR albo 2% obrotu, a przekazanie organom informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd – do 5 000 000 EUR albo 1% obrotu.

Podsumowanie

CRA nie będzie jednorazowym projektem, lecz trwałą zmianą sposobu budowania produktów – decyzje podjęte na etapie projektu trzeba będzie utrzymywać przez cały okres użytkowania. Najbliższe miesiące warto więc przeznaczyć na inwentaryzację produktów i ustalenie, co Państwo sprzedają, w jakiej roli i z jakim ryzykiem.

AUTOR WPISU

Kamil Kozioł Senior Manager, Katowice

E: kamil.koziol@pl.Andersen.com
T: +48 668 690 891