Zapewniamy strukturalne podejście do nowych wymogów bezpieczeństwa cyfrowego UE. Naszym celem jest przeprowadzenie Twojej organizacji przez proces dostosowania – od audytu techniczno-prawnego, po pełną gotowość operacyjną do raportowania podatności.
Cyber Resilience Act to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z 23 października 2024 r. w sprawie horyzontalnych wymogów cyberbezpieczeństwa dla produktów z elementami cyfrowymi. Weszło w życie 10 grudnia 2024 r. i obowiązuje bezpośrednio we wszystkich państwach członkowskich — bez implementacji do prawa krajowego.
Od 11 września 2026 r. obowiązują pierwsze twarde terminy. Producenci muszą zgłaszać aktywnie wykorzystywane podatności w ciągu 24 godzin oraz poważne incydenty mające wpływ na bezpieczeństwo produktu (art. 14 CRA). Pełne stosowanie rozporządzenia — wraz z wymogiem deklaracji zgodności i oznakowania CE dla wszystkich produktów wprowadzanych na rynek UE — następuje 11 grudnia 2027 r.
Obowiązki raportowania dotyczą wszystkich produktów udostępnionych na rynku UE, także tych wprowadzonych przed grudniem 2027 r.
Przykłady produktów objętych CRA:
Wspólny mianownik: produkt łączy się z siecią lub innym urządzeniem, a jego bezpieczeństwo zależy od jakości oprogramowania.
Kto: dział produktowy przy wsparciu IT. Zestawienie wszystkich produktów z elementami cyfrowymi udostępnianych na rynku UE — sprzętu, oprogramowania i rozwiązań łączących jedno z drugim. Dla każdego: rynki, na których jest dostępny, status (nowy czy wprowadzony przed grudniem 2027), przewidywany okres wsparcia.
Kto: dział produktowy z doradcą prawnym. Ustalenie, czy produkt jest domyślny, ważny (klasa I lub II) czy krytyczny. Od klasy zależy dopuszczalna ścieżka oceny zgodności — a błędna kwalifikacja oznacza albo zbędne koszty badania zewnętrznego, albo ryzyko wprowadzenia produktu bez wymaganej procedury.
Kto: dział prawny. Ta sama firma może być producentem dla jednych produktów i importerem lub dystrybutorem dla innych. Zakres obowiązków różni się istotnie, a importer bywa traktowany niemal jak producent.
Kto: IT i rozwój produktu z doradcą. Porównanie obecnych procesów wytwórczych (SDLC), dokumentacji i procedur bezpieczeństwa z wymogami załącznika I do rozporządzenia. Rezultatem jest lista luk z priorytetami i harmonogramem.
Kto: bezpieczeństwo IT z działem prawnym. Polityka CVD, kanał przyjmowania zgłoszeń od badaczy bezpieczeństwa, procedura wewnętrznej eskalacji i wzory zgłoszeń do CSIRT/ENISA. To jedyny punkt z tej listy, który ma już twardy termin ustawowy.
Kto: rozwój produktu. Wykaz komponentów oprogramowania w formacie nadającym się do odczytu maszynowego, ocena ryzyka cyberbezpieczeństwa, instrukcje dla użytkownika. Dokumentację techniczną przechowuje się przez 10 lat.
Rozporządzenie CRA weszło w życie 10 grudnia 2024 r. i wprowadza etapowy harmonogram poszczególnych wymogów:
Wytyczne Komisji z lipca 2026 r. nie są wiążące i nie zmieniają żadnego z powyższych terminów. Wyjaśniają natomiast kwestie, które w praktyce blokowały projekty wdrożeniowe: czy dany produkt mieści się w zakresie rozporządzenia, co stanowi istotną modyfikację w rozumieniu art. 3 pkt 30, jak liczyć okres wsparcia oraz jak stosować CRA do oprogramowania open source i rozwiązań do zdalnego przetwarzania danych.
Uwaga: licznik odliczający do 11 września straci sens za tydzień. Jeśli webdev ma go wstawić, powinien być dynamiczny i po tej dacie przełączać się na 11 grudnia 2027.
Zgłoszenia trafiają jednocześnie do właściwego zespołu CSIRT oraz do ENISA — za pośrednictwem jednej platformy. Single Reporting Platform (SRP) prowadzona przez ENISA jest pojedynczym punktem zgłoszeniowym dla całej Unii, dzięki czemu producent nie składa dwóch odrębnych zawiadomień. Zgłoszenia polskich producentów obsługuje CSIRT NASK (CERT Polska).
Terminy z art. 14 CRA:
Kanał zgłoszeń powinien być gotowy przed 11 września 2026 r. – nie w dniu pierwszego incydentu.
na których spoczywa ostateczna odpowiedzialność za zgodność produktu z rygorystycznymi wymogami bezpieczeństwa. Brak certyfikacji lub uchybienia w raportowaniu to nie tylko ryzyko kar do 15 mln EUR lub 2,5% globalnego obrotu, ale przede wszystkim ryzyko nakazu wycofania produktu z obrotu w całej Unii Europejskiej.
CRA zmienia sposób, w jaki projektowane i wytwarzane jest oprogramowanie oraz sprzęt. Wymóg zarządzania podatnościami przez cały cykl życia produktu oraz konieczność generowania SBOM (Software Bill of Materials) to wyzwania, które muszą trafić do Waszego backlogu już teraz.
Wartość Waszej firmy jest bezpośrednio powiązana z możliwością komercjalizacji jej produktów. Brak dostosowania do CRA przed grudniem 2027 roku może drastycznie obniżyć wycenę spółki lub zablokować procesy Exit/M&A.
Jeśli sprowadzasz produkty spoza UE, CRA traktuje Cię niemal jak producenta. Musisz zweryfikować, czy dostawca z Azji lub USA spełnił unijne normy, zanim udostępnisz towar na rynku.
Co znajdziesz w przewodniku?
Top 10 pod względem przychodów
w XX Rankingu firm i doradców podatkowych Dziennik Gazeta Prawna..
Wyróżnienie dla firm kierujących się wysokimi standardami w działalności biznesowej, gwarantujących najwyższą jakość obsługi.
w Rankingu firm doradztwa podatkowego Rzeczypospolitej
Nagroda za działania oparte na zasadach Społecznej Odpowiedzialności Biznesu, efektywną politykę wobec pracowników oraz klientów, a także liczne projekty społeczne.
Wypełnij formularz kontaktowy, a nasz doradca skontaktuje się z Tobą tak szybko, jak to możliwe.
NIS2 dotyczy odporności organizacji, CRA — odporności produktu. NIS2 jest dyrektywą wdrożoną w Polsce ustawą o krajowym systemie cyberbezpieczeństwa i adresowaną do podmiotów kluczowych i ważnych z określonych sektorów. CRA jest rozporządzeniem stosowanym bezpośrednio i adresowanym do producentów, importerów i dystrybutorów produktów z elementami cyfrowymi. Jedna firma może podlegać obu regulacjom jednocześnie — a wtedy zakres obowiązków ustala się oddzielnie dla organizacji i oddzielnie dla każdego produktu.
CRA obejmuje producentów, importerów i dystrybutorów produktów z elementami cyfrowymi udostępnianych na rynku UE, a także opiekunów oprogramowania open source wspierających projekty komercyjne. Wyłączone są m.in. wyroby medyczne, produkty lotnictwa cywilnego, wyposażenie pojazdów objęte homologacją, wyposażenie morskie oraz produkty przeznaczone wyłącznie do celów bezpieczeństwa narodowego i obronności. Odrębne zasady dotyczą wolnego i otwartego oprogramowania udostępnianego poza działalnością handlową.
Rozporządzenie weszło w życie 10 grudnia 2024 r. Od 11 czerwca 2026 r. działają jednostki notyfikowane. Od 11 września 2026 r. obowiązują wymogi raportowania podatności i incydentów z art. 14. Pełne stosowanie rozporządzenia następuje 11 grudnia 2027 r. Obowiązki raportowania dotyczą wszystkich produktów udostępnionych na rynku UE — także tych wprowadzonych przed grudniem 2027 r.
Do obu, ale za pośrednictwem jednego zgłoszenia. Single Reporting Platform prowadzona przez ENISA jest pojedynczym punktem zgłoszeniowym dla całej Unii i przekazuje zgłoszenie właściwemu zespołowi CSIRT. Zgłoszenia polskich producentów obsługuje CSIRT NASK (CERT Polska). Producent nie składa dwóch odrębnych zawiadomień.
Od 11 grudnia 2027 r. deklaracja zgodności UE i oznakowanie CE są warunkiem wprowadzenia produktu z elementami cyfrowymi na rynek Unii. Sposób dojścia do deklaracji zależy od klasy produktu: dla produktów domyślnych wystarczy wewnętrzna kontrola produkcji, dla produktów ważnych i krytycznych konieczny bywa udział jednostki notyfikowanej, a dla części produktów krytycznych Komisja może wymagać europejskiego certyfikatu cyberbezpieczeństwa.
Rozporządzenie przewiduje trzy poziomy kar pieniężnych: do 15 mln EUR lub 2,5% całkowitego rocznego światowego obrotu za naruszenie zasadniczych wymogów cyberbezpieczeństwa oraz obowiązków producenta, do 10 mln EUR lub 2% obrotu za naruszenie pozostałych obowiązków, oraz do 5 mln EUR lub 1% obrotu za podanie nieprawdziwych, niekompletnych lub wprowadzających w błąd informacji organom nadzoru rynku lub jednostkom notyfikowanym. Odrębnym i często dotkliwszym skutkiem jest nakaz wycofania produktu z obrotu na terenie całej Unii.
