Nowe obowiązki z CRA już od września 2026 r. Unia dopłaci firmom do 30 tys. euro

• Czym jest CRA i które terminy już obowiązują
• Kogo dotyczą nowe przepisy
• MŚP na tych samych zasadach – i dofinansowanie do 30 tys. euro. Na co można przeznaczyć unijne pieniądze
• Czego wymaga CRA w praktyce
• Od czego zacząć: plan działania
• Sankcje

Czym jest CRA i które terminy już obowiązują

Cyber Resilience Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z 23 października 2024 r., wprowadza jednolite wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi oferowanych na rynku UE. Od 11 września 2026 r. producenci muszą zgłaszać aktywnie wykorzystywane podatności oraz poważne incydenty mające wpływ na bezpieczeństwo produktu. Terminy wprowadzone nowymi przepisami mogą szokować, są to:
- 24 godziny – na wczesne ostrzeżenie, licząc od uzyskania informacji o podatności lub incydencie;
- 72 godziny – na przekazanie pełnego zgłoszenia;
- 14 dni – na raport końcowy w przypadku aktywnie wykorzystywanej podatności, licząc od udostępnienia środka naprawczego;
- 1 miesiąc – na raport końcowy w przypadku poważnego incydentu, licząc od zgłoszenia 72-godzinnego.

Zgłoszenia składa się za pośrednictwem CRA Single Reporting Platform, prowadzonej przez ENISA – Agencję Unii Europejskiej ds. Cyberbezpieczeństwa. Obowiązki raportowe dotyczą również produktów już dziś obecnych na rynku unijnym, a nie tylko tych, które dopiero trafią do sprzedaży. Nie można więc czekać z przygotowaniami do 11 grudnia 2027 r., kiedy zacznie być stosowana pozostała część wymogów CRA. Już teraz producent powinien wiedzieć, czy jego produkt podlega regulacji, kto w firmie odpowiada za obsługę podatności i incydentów oraz czy organizacja jest w stanie zareagować w tak krótkich terminach.

Kogo dotyczą nowe przepisy

„Produkt z elementami cyfrowymi” to w praktyce sprzęt lub oprogramowanie, a także określone rozwiązania zdalnego przetwarzania danych niezbędne do działania produktu, zaprojektowane przez producenta lub na jego odpowiedzialność. Regulacją CRA objęte są też komponenty sprzętowe i programistyczne wprowadzane na rynek osobno – nie tylko gotowe urządzenie trafiające do klienta, ale i elementy, z których je zbudowano.

Zakres regulacji jest szerszy, niż wynikałoby z potocznego rozumienia cyberbezpieczeństwa. Komisja Europejska jako przykłady produktów objętych CRA wskazuje m.in. urządzenia gospodarstwa domowego, gry komputerowe i aplikacje mobilne, a także smartwatche, elektroniczne monitory dla dzieci, inteligentne głośniki czy inne urządzenia podłączone do sieci.

W praktyce rozporządzenie CRA może mieć znaczenie m.in. dla:
- software house’ów rozwijających własne produkty lub platformy;
- producentów aplikacji, systemów operacyjnych i innych produktów programistycznych;
- firm tworzących rozwiązania internetu rzeczy (IoT);
- producentów elektroniki, sensorów, urządzeń sieciowych i systemów monitoringu;
- firm z sektora przemysłowego i automatyki, w tym producentów rozwiązań wykorzystywanych w środowisku przemysłowym;
- producentów maszyn i urządzeń wyposażonych w elementy cyfrowe;
- producentów inteligentnych urządzeń konsumenckich;
- firm wprowadzających na rynek samodzielne komponenty sprzętowe lub programistyczne.

Istotna jest też rola przedsiębiorcy w łańcuchu dostaw. Firma, która zleca stworzenie produktu zewnętrznemu software house’owi, ale następnie wprowadza go na rynek pod własną nazwą lub marką, może w określonych sytuacjach zostać uznana za producenta w rozumieniu CRA – z pełnią wynikających stąd obowiązków. Podobnie może być w przypadku istotnej modyfikacji cudzego produktu. Dlatego pierwszym pytaniem nie powinno być „jakie zabezpieczenia musimy kupić?”, ale czy nasz produkt podlega CRA i jakie obowiązki wynikają z tego dla naszej firmy.

MŚP na tych samych zasadach – i dofinansowanie do 30 tys. euro. Na co można przeznaczyć unijne pieniądze

CRA co do zasady obowiązuje mikro-, małe i średnie przedsiębiorstwa na takich samych zasadach jak dużych producentów, niezależnie od wielkości firmy. Dla mniejszych firmy dostępne jest za to finansowanie w ramach projektu SECURE – Strengthening EU SMEs Cyber Resilience, realizowanego w ramach unijnego programu Digital Europe. Wsparcie może wynieść do 30 tys. euro, przy 50-procentowym współfinansowaniu projektu.

Finansowanie nie ogranicza się do zakupu narzędzi czy wykonania testów technicznych. Wśród kosztów kwalifikowanych znajdują się m.in. koszty własnego personelu oraz podwykonawstwa, w tym usług świadczonych przez zewnętrzne firmy doradcze i konsultingowe – możliwe jest więc finansowanie zarówno pracy pracowników przedsiębiorstwa, jak i części prac zlecanych zewnętrznym specjalistom.

Zakres wspieranych działań obejmuje m.in. zgodność regulacyjną, podnoszenie bezpieczeństwa produktu, ocenę podatności i testy bezpieczeństwa, analizę kodu, bezpieczeństwo aplikacji, działania dotyczące środowisk ICT, OT i IoT, a także zarządzanie ryzykiem i governance. W praktyce może to obejmować również prace prawne i regulacyjne bezpośrednio związane z przygotowaniem przedsiębiorstwa do CRA, np. analizę zakresu zastosowania regulacji, określenie obowiązków przedsiębiorcy, uporządkowanie odpowiedzialności w łańcuchu dostaw czy przegląd umów z dostawcami – o ile stanowią element kwalifikowanego projektu służącego osiągnięciu zgodności z CRA.

Czego wymaga CRA w praktyce

Ustalenie, że produkt podlega CRA, to dopiero początek. Producent musi przeprowadzić ocenę ryzyka cyberbezpieczeństwa i na jej podstawie określić, jakie zabezpieczenia są potrzebne. W praktyce może to oznaczać m.in. sprawdzenie sposobu logowania użytkowników, ochrony danych i komunikacji, możliwości bezpiecznego aktualizowania produktu oraz sposobu reagowania na wykryte luki w zabezpieczeniach. CRA wymaga podejścia do bezpieczeństwa już na etapie projektowania i rozwoju produktu, a następnie przez cały okres jego wsparcia.

Okres wsparcia oznacza czas, w którym producent powinien zapewniać odpowiednie postępowanie z podatnościami i dostarczać niezbędne aktualizacje bezpieczeństwa. Jego długość powinna odpowiadać przewidywanemu okresowi korzystania z produktu.

Kolejnym elementem jest dokumentacja i ocena zgodności. Producent musi być w stanie wykazać, że produkt spełnia wymagania CRA. W przypadku większości produktów możliwa będzie samoocena, jednak dla produktów uznanych za ważne lub krytyczne z punktu widzenia cyberbezpieczeństwa wymagane będą dodatkowe procedury, w tym w określonych przypadkach udział jednostki notyfikowanej.

Przygotowanie do CRA wymaga więc połączenia kilku perspektyw. Z jednej strony przedsiębiorca musi odpowiedzieć na pytania techniczne: jakie podatności ma produkt, jak są obsługiwane i jak zapewnić bezpieczne aktualizacje. Z drugiej – powinien uporządkować procesy, odpowiedzialność i dokumentację, a także sprawdzić umowy z dostawcami komponentów i usług. Nie jest to zatem wyłącznie projekt dla działu IT czy bezpieczeństwa – w wielu firmach będzie wymagał współpracy zespołów technicznych, compliance, zakupów, zarządzania ryzykiem oraz prawników.

Od czego zacząć: plan działania

Przedsiębiorca, który podejrzewa, że jego produkt może podlegać CRA, powinien zacząć od odpowiedzi na trzy pytania: czy regulacja dotyczy naszych produktów, jakie obowiązki wynikają z tego dla naszej firmy i czego brakuje nam do ich spełnienia?

Dopiero na tej podstawie warto przygotować plan działań obejmujący:
- identyfikację produktów objętych CRA i ustalenie roli przedsiębiorcy;
- ocenę ryzyka i poziomu bezpieczeństwa produktu;
- przegląd procedur dotyczących podatności, aktualizacji i incydentów;
- weryfikację dokumentacji i umów z dostawcami oraz podwykonawcami;
- określenie zakresu prac technicznych, organizacyjnych i prawnych oraz możliwości ich sfinansowania, np. w ramach SECURE.

Takie podejście pozwala spojrzeć na CRA nie jako na pojedynczy obowiązek dotyczący cyberbezpieczeństwa, lecz jako na projekt obejmujący produkt, procesy i odpowiedzialność przedsiębiorcy – niezależnie od tego, czy mówimy o dużym producencie, czy o kilkuosobowej firmie z sektora MŚP.

Sankcje

CRA przewiduje dotkliwe sankcje za naruszenie kluczowych wymogów. Kary administracyjne za naruszenie kluczowych wymogów cyberbezpieczeństwa oraz obowiązków raportowych mogą w najpoważniejszych przypadkach sięgnąć 15 mln euro albo 2,5 proc. całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku – w zależności od tego, która z tych kwot jest wyższa.

Obowiązki raportowe już obowiązują, pełne wymogi CRA są coraz bliżej, a przygotowanie do regulacji może wiązać się z kosztami, które dziś częściowo można pokryć z unijnego finansowania w ramach SECURE. Dla przedsiębiorców – zarówno dużych producentów, jak i mniejszych firm z sektora MŚP – to moment na działanie, a nie na odkładanie CRA na później.

Podstawa prawna: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymogów cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi i zmieniające rozporządzenia (UE) nr 168/2013 i (UE) 2019/1020 oraz dyrektywę (UE) 2020/1828 (Cyber Resilience Act) (Dz. Urz. UE L, 2024/2847, 20.11.2024).

Iwona Aleksandrowicz-Strus LL. M. – Adwokat, Managing Senior Associate z KWKR