Jeśli produkujesz, importujesz lub dystrybuujesz produkty z elementami cyfrowymi na rynku Unii Europejskiej, 11 września 2026 roku powinien być dla Ciebie datą wyznaczającą punkt zwrotny. Tego dnia wchodzą w życie obowiązki raportowania podatności wynikające z art. 14 Rozporządzenia Cyber Resilience Act (CRA). Od tego momentu będziesz mieć zaledwie 24 godziny na zgłoszenie do ENISA aktywnie wykorzystywanej podatności w swoim produkcie.
Ten artykuł jest częścią cyklu publikacji poświęconych praktycznym aspektom wdrożenia CRA. Omówię w nim szczegółowo, co dokładnie wchodzi w życie we wrześniu 2026, jak przygotować wymaganą politykę CVD, jaki jest szczegółowy proces raportowania do ENISA, jakie narzędzia warto wdrożyć do monitorowania podatności oraz jakich błędów unikać. Na końcu znajdziesz listę kontrolną pozwalającą ocenić gotowość Twojej firmy.
Co dokładnie wchodzi w życie 11 września 2026?
Rozporządzenie CRA weszło w życie 10 grudnia 2024 roku, ale jego poszczególne przepisy stosuje się etapowo. Data 11 września 2026 roku jest szczególnie istotna, ponieważ tego dnia zaczynają obowiązywać przepisy art. 14 dotyczące raportowania podatności i incydentów – ponad rok przed wejściem w życie pozostałych wymogów (11 grudnia 2027 r.).
Co kluczowe obowiązki raportowania dotyczą wszystkich produktów obecnych na rynku UE – także tych wprowadzonych przed datą pełnego stosowania CRA. Jeśli Twój produkt z elementami cyfrowymi jest dostępny na rynku UE po 11 września 2026 roku, podlegasz obowiązkom raportowania, nawet jeśli produkt został wprowadzony lata wcześniej.
Jakie zdarzenia podlegają obowiązkowi raportowania?
Art. 14 CRA wprowadza obowiązek raportowania dwóch kategorii zdarzeń:
- aktywnie wykorzystywane podatności (actively exploited vulnerabilities) – czyli podatności, co do których producent ma wiarygodne informacje, że są wykorzystywane przez atakujących do przeprowadzania ataków na systemy użytkowników;
- poważne incydenty (severe incidents) – incydenty mające wpływ na bezpieczeństwo produktu z elementami cyfrowymi, w tym podejrzenia ataków o charakterze złośliwym lub przestępczym.
Warto podkreślić, że obowiązek raportowania podatności jest niezależny od obowiązku raportowania incydentów. Oznacza to, że nawet jeśli nie doszło do żadnego incydentu, ale dowiesz się, że podatność w Twoim produkcie jest aktywnie wykorzystywana gdziekolwiek na świecie, musisz ją zgłosić.
Cyber Resilience Act (CRA) – Przewodnik dla producentów i importerów
Dowiedz się, jak dostosować swoją firmę do pierwszej w historii Unii Europejskiej horyzontalnej regulacji cyberbezpieczeństwa.
Co znajdziesz w środku?
- Kogo dotyczy CRA? Sprawdź, czy jako producent, importer lub dystrybutor podlegasz nowym obowiązkom.
- Kategorie produktów: Dowiedz się, czy Twój produkt należy do kategorii standardowej (90% rynku), ważnej czy krytycznej.
- Kluczowe daty: Od obowiązku raportowania (wrzesień 2026) do pełnego stosowania przepisów (grudzień 2027).
- Zasadnicze wymogi: Co oznaczają w praktyce pojęcia takie jak SBOM, polityka CVD czy Security by Design.
- Kary za brak zgodności: Jak uniknąć sankcji sięgających nawet 15 milionów euro lub 2,5% światowego obrotu
Polityka CVD – co to jest i jak ją stworzyć
Coordinated Vulnerability Disclosure (CVD), czyli skoordynowane ujawnianie podatności, to proces umożliwiający osobom trzecim – badaczom bezpieczeństwa, użytkownikom, a nawet konkurentom – zgłaszanie odkrytych podatności producentowi w sposób uporządkowany i bezpieczny. Polityka CVD to publiczny dokument określający zasady tego procesu.
Wymóg posiadania polityki CVD wynika wprost z Załącznika I, Część II, pkt 5 CRA:
„Producenci ustanawiają i stosują politykę skoordynowanego ujawniania podatności”.
Polityka CVD nie jest dokumentem wewnętrznym – musi być publicznie dostępna, najczęściej na stronie internetowej producenta. Jej głównym celem jest zachęcenie badaczy bezpieczeństwa do odpowiedzialnego zgłaszania podatności zamiast ich publicznego ujawniania lub sprzedaży na czarnym rynku.
Elementy obowiązkowe polityki CVD
Na podstawie wymagań CRA, standardów ISO/IEC 29147:2018 (Vulnerability Disclosure) oraz wytycznych ENISA, polityka CVD powinna zawierać następujące elementy:
- dane kontaktowe do zgłaszania podatności;
- zakres objęty polityką;
- oczekiwania wobec zgłaszającego;
- zobowiązania producenta;
- harmonogram ujawnienia.
Polityka CVD powinna być łatwo dostępna – najlepiej pod standardowym adresem /.well-known/security.txt (zgodnie z RFC 9116) lub w widocznym miejscu na stronie głównej w sekcji „Bezpieczeństwo”.
Proces zgłaszania niezgodności do ENISA w ciągu 24h, 72h, 14 dni
Art. 14 CRA wprowadza trójstopniowy system raportowania, wzorowany na mechanizmach znanych z dyrektywy NIS2, ale z istotnymi różnicami. Raportowanie odbywa się za pośrednictwem Single Reporting Platform (SRP) – jednolitej platformie raportowania prowadzonej przez ENISA, która będzie dostępna od 11 września 2026 roku.
Etap 1: wczesne ostrzeżenie (Early Warning) – 24 godziny
W ciągu 24 godzin od momentu, gdy producent dowie się o aktywnie wykorzystywanej podatności lub poważnym incydencie, musi przesłać wczesne ostrzeżenie.
Ten pierwszy raport ma charakter informacyjny i powinien zawierać:
- podstawowe informacje o podatności lub incydencie;
- wskazanie produktów, których dotyczy problem;
- państwa członkowskie, w których produkt został udostępniony (jeśli znane);
- w przypadku incydentu – informację, czy podejrzewa się działanie złośliwe lub przestępcze.
Uwaga: mikroprzedsiębiorstwa i małe przedsiębiorstwa (zgodnie z definicją unijną – do 50 pracowników i obrót do 10 mln EUR) nie podlegają karom za niedotrzymanie 24-godzinnego terminu. Nie zwalnia to jednak z samego obowiązku raportowania – oznacza to jedynie łagodniejsze traktowanie opóźnień.
Etap 2: pełne zgłoszenie (Vulnerability/Incident Notification) – 72 godziny
W ciągu 72 godzin od uzyskania informacji o podatności lub incydencie producent musi przesłać pełne zgłoszenie zawierające:
- szczegółowy opis podatności lub incydentu;
- wstępną ocenę wpływu i powagi problemu;
- narażone wersje produktu;
- informacje o znanych próbach wykorzystania podatności;
- planowane środki zaradcze.
Jeśli wszystkie wymagane informacje zostały przekazane w ramach wczesnego ostrzeżenia, nie trzeba składać osobnego zgłoszenia na tym etapie.
Etap 3: raport końcowy (Final Report)
Terminy raportu końcowego różnią się w zależności od typu zdarzenia:
- dla aktywnie wykorzystywanych podatności: nie później niż 14 dni po udostępnieniu środka naprawczego (patch, aktualizacja);
- dla poważnych incydentów: w ciągu 1 miesiąca od złożenia pełnego zgłoszenia.
Raport końcowy powinien zawierać:
- szczegółowy opis podatności, w tym jej powagę i wpływ;
- informacje o atakującym wykorzystującym podatność (jeśli dostępne);
- szczegóły dotyczące udostępnionej aktualizacji zabezpieczeń lub innych środków zaradczych;
- analizę przyczyn źródłowych;
środki zapobiegawcze podjęte w celu uniknięcia podobnych problemów w przyszłości.
Przygotowanie do CRA wymaga nie tylko znajomości przepisów, ale też sprawnych procesów, odpowiedzialności i gotowości operacyjnej. Jeśli chcesz uporządkować działania przed 11 września 2026 r., sprawdź, jak możemy pomóc w zakresie Cyber Resilience Act (CRA) od audytu techniczno-prawnego po przygotowanie organizacji do raportowania podatności, polityki CVD i prac nad SBOM
Jak działa Single Reporting Platform (SRP)?
Zgłoszenia składa się elektronicznie poprzez platformę SRP prowadzoną przez ENISA. Producent składa zgłoszenie do CSIRT (Computer Security Incident Response Team) państwa członkowskiego, w którym ma główną siedzibę w UE. Jeśli producent nie ma siedziby w UE, zgłasza do CSIRT państwa, w którym ma siedzibę jego autoryzowany przedstawiciel.
Zgłoszenie jest automatycznie udostępniane ENISA oraz rozsyłane do CSIRT-ów wszystkich państw członkowskich, w których produkt został udostępniony na rynku. System zapewnia więc jednorazowe zgłoszenie przy jednoczesnym dotarciu informacji do wszystkich zainteresowanych organów.
Monitorowanie podatności – jakie narzędzia?
Aby móc zgłosić aktywnie wykorzystywaną podatność w ciągu 24 godzin, musisz najpierw o niej wiedzieć. To wymaga systematycznego monitorowania podatności – zarówno tych odkrytych wewnętrznie, jak i tych zgłaszanych przez zewnętrznych badaczy czy publikowanych w bazach podatności.
Skuteczne monitorowanie podatności wymaga wdrożenia kilku elementów:
SBOM (Software Bill of Materials)
SBOM to wykaz wszystkich komponentów oprogramowania wchodzących w skład produktu, w tym bibliotek zewnętrznych i zależności. Choć obowiązek prowadzenia SBOM formalnie wchodzi w życie w grudniu 2027 roku, jego posiadanie jest praktycznie niezbędne do realizacji obowiązków raportowania od września 2026 roku.
Dlaczego? Bo bez SBOM nie jesteś w stanie szybko ocenić, czy nowo odkryta podatność (np. w popularnej bibliotece open source) dotyczy Twoich produktów.
Narzędzia do skanowania podatności
Automatyczne skanery analizują komponenty produktu i porównują je z bazami znanych podatności (CVE, NVD).
Monitoring źródeł informacji o podatnościach
Oprócz automatycznych skanerów warto monitorować:
- NVD (National Vulnerability Database) – amerykańską bazę podatności CVE;
- CERT/CC Vulnerability Notes – raporty CERT Coordination Center;
- biuletyny bezpieczeństwa producentów komponentów – np. security bulletins Microsoftu, Red Hata;
- listy mailingowe bezpieczeństwa;
- media społecznościowe i fora branżowe.
7 najczęstszych błędów w przygotowaniu CVD:
Na podstawie doświadczenia w doradzaniu producentom przygotowującym się do CRA, identyfikujemy siedem najczęstszych błędów w przygotowaniu procesu CVD:
Polityka CVD ukryta w gąszczu dokumentów.
Badacz bezpieczeństwa, który znalazł podatność, nie będzie przeszukiwał Twojej strony przez godzinę. Jeśli nie znajdzie łatwo informacji, jak zgłosić problem, może ujawnić podatność publicznie lub sprzedać ją na czarnym rynku. Rozwiązanie: umieść politykę CVD w widocznym miejscu i pod standardowym adresem /.well-known/security.txt
Brak klauzuli safe harbor.
Badacze obawiają się konsekwencji prawnych. Jeśli Twoja polityka nie zawiera jasnej deklaracji, że nie będziesz ich ścigać za działanie w dobrej wierze, wielu z nich po prostu nie zgłosi odkrytych problemów;
Zbyt długi czas reakcji na zgłoszenia.
Jeśli badacz nie otrzyma potwierdzenia przyjęcia zgłoszenia przez tydzień, może założyć, że zostało zignorowane i upublicznić podatność. Zobowiąż się do potwierdzenia w ciągu 3 dni roboczych i regularnych aktualizacji statusu;
Brak wewnętrznych procedur eskalacji.
Polityka CVD to dokument zewnętrzny, ale potrzebujesz też wewnętrznych procedur: kto przyjmuje zgłoszenia, kto ocenia ich powagę, kto podejmuje decyzję o raportowaniu do ENISA, kto komunikuje się z badaczem. Bez tego zgłoszenie może utknąć w skrzynce pocztowej;
Brak integracji CVD z procesem raportowania do ENISA.
Otrzymanie zgłoszenia o podatności to dopiero początek. Musisz mieć jasny proces: weryfikacja zgłoszenia -> ocena, czy podatność jest aktywnie wykorzystywana -> jeśli tak, zgłoszenie do ENISA w 24h. Bez tej integracji możesz przekroczyć terminy CRA;
Nieaktualna lista produktów objętych polityką CVD.
Jeśli Twoja polityka wymienia konkretne produkty, musisz ją aktualizować przy każdym nowym produkcie. Lepszym rozwiązaniem jest szerokie sformułowanie („wszystkie produkty oferowane przez firmę”) z ewentualną listą wykluczeń;
Brak SBOM uniemożliwiający ocenę wpływu podatności.
Dostajesz informację o krytycznej podatności w popularnej bibliotece. Masz 24 godziny na zgłoszenie, jeśli jest wykorzystywana. Ale najpierw musisz ustalić, czy Twój produkt w ogóle używa tej biblioteki. Bez SBOM może to zająć dni zamiast minut.
Podsumowanie
11 września 2026 roku to data, której nie można zignorować. Obowiązek raportowania aktywnie wykorzystywanych podatności w ciągu 24 godzin wymaga nie tylko procedur, ale przede wszystkim wiedzy o tym, co zawierają Twoje produkty (SBOM) i systematycznego monitorowania podatności.
Kluczowe elementy gotowości to: publicznie dostępna polityka CVD, wewnętrzne procedury eskalacji i raportowania, SBOM dla wszystkich produktów na rynku UE, narzędzia do monitorowania podatności, jasno określone odpowiedzialności w organizacji.
W kolejnych artykułach z tego cyklu omówimy szczegółowo tworzenie SBOM, relację między CRA a dyrektywą NIS2 oraz procedury oceny zgodności dla produktów ważnych i krytycznych.
Jeśli potrzebujesz wsparcia w przygotowaniu polityki CVD, procedur raportowania lub oceny gotowości Twojej firmy na 11 września 2026.
Lista kontrolna: „Czy jesteś gotowy na 11.09.2026?”
Poniższa lista pozwoli Ci ocenić stopień przygotowania do obowiązków raportowania wchodzących w życie 11 września 2026 roku:
Polityka i procedury CVD
- Mamy opublikowaną politykę CVD na stronie internetowej;
- Polityka jest dostępna pod adresem /.well-known/security.txt;
- Mamy dedykowany kanał kontaktowy do zgłaszania podatności (e-mail, formularz);
- Mamy wewnętrzną procedurę obsługi zgłoszeń CVD;
- Określiliśmy osoby odpowiedzialne za przyjmowanie i weryfikację zgłoszeń.
Raportowanie do ENISA
- Zidentyfikowaliśmy CSIRT, do którego będziemy raportować (na podstawie głównej siedziby w UE);
- Mamy procedurę oceny, czy podatność jest „aktywnie wykorzystywana”;
- Określiliśmy osoby uprawnione do składania zgłoszeń w SRP ENISA;
- Mamy procedurę przygotowania raportu w ciągu 24 godzin (early warning);
- Mamy szablon i listę kontrolną informacji wymaganych w zgłoszeniu 72h i raporcie końcowym;
- Przetestowaliśmy procedurę raportowania (ćwiczenie/symulacja).
Monitorowanie podatności
- Posiadamy SBOM dla wszystkich produktów na rynku UE;
- Wdrożyliśmy narzędzie do automatycznego skanowania podatności;
- Monitorujemy bazy podatności (NVD, CERT/CC) i dostawców komponentów;
- Mamy proces szybkiej oceny wpływu nowych podatności na nasze produkty;
- Prowadzimy rejestr podatności i ich statusu naprawy.
Komunikacja z użytkownikami
- Mamy procedurę informowania użytkowników o podatnościach (art. 14 ust. 8 CRA);
- Mamy kanały komunikacji z użytkownikami (newsletter, powiadomienia w aplikacji);
- Określiliśmy format komunikatów (preferowany: format strukturalny, np. CSAF).
Jeśli na więcej niż połowę pytań odpowiedziałeś „nie” – czas działać. Do 11 września 2026 pozostało mniej niż 7 miesięcy.
FAQ, czyli najczęściej zadawane pytania
Kogo dotyczą obowiązki raportowania z art. 14 CRA?
Obowiązki dotyczą producentów (a w praktyce także podmiotów działających w łańcuchu dostaw), którzy wprowadzają na rynek UE produkty z elementami cyfrowymi. Istotne jest to, że obowiązki raportowania obejmują także produkty już obecne na rynku UE po 11 września 2026 r., nawet jeśli zostały wprowadzone wcześniej.
Czy trzeba raportować tylko incydenty, czy także same podatności?
CRA wymaga raportowania dwóch odrębnych kategorii zdarzeń:
- aktywnie wykorzystywanych podatności,
- poważnych incydentów.
To dwa niezależne obowiązki. Oznacza to, że podatność może podlegać zgłoszeniu nawet wtedy, gdy nie doszło jeszcze do incydentu po stronie Twojej firmy.
Co oznacza „aktywnie wykorzystywana podatność”?
To podatność, co do której producent ma wiarygodne informacje, że jest faktycznie wykorzystywana przez atakujących do przeprowadzania ataków. Kluczowe jest więc nie tylko istnienie podatności, ale również informacja o jej realnym wykorzystaniu.
Ile czasu ma firma na zgłoszenie podatności do ENISA?
W przypadku aktywnie wykorzystywanej podatności (lub poważnego incydentu) producent musi wysłać wczesne ostrzeżenie w ciągu 24 godzin od momentu uzyskania informacji o zdarzeniu.
Jak wygląda proces raportowania w CRA (24h, 72h, 14 dni)?
Proces raportowania jest trójstopniowy:
- 24h – wczesne ostrzeżenie (Early Warning),
- 72h – pełne zgłoszenie (jeśli potrzebne są dodatkowe informacje),
- raport końcowy – w zależności od typu zdarzenia:
- dla aktywnie wykorzystywanej podatności: do 14 dni po udostępnieniu środka naprawczego,
- dla poważnego incydentu: w ciągu 1 miesiąca od pełnego zgłoszenia.
Czy małe firmy też muszą raportować w ciągu 24 godzin?
Tak, małe i mikroprzedsiębiorstwa nie są zwolnione z obowiązku raportowania. Przepisy jedynie wskazują, że mogą podlegać łagodniejszemu traktowaniu w zakresie kar za przekroczenie 24-godzinnego terminu. Sam obowiązek pozostaje.
Gdzie zgłasza się podatności i incydenty w ramach CRA?
Zgłoszenia mają być składane elektronicznie przez Single Reporting Platform (SRP) prowadzoną przez ENISA. Producent składa zgłoszenie do właściwego CSIRT (co do zasady państwa członkowskiego, w którym ma główną siedzibę w UE).
