Jedne zasady dla niemal całego cyfrowego rynku
Cyber Resilience Act (CRA), czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847, ustanawia horyzontalne wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi. Obejmuje sprzęt, oprogramowanie i komponenty udostępniane na rynku UE, jeżeli ich zamierzone lub racjonalnie przewidywalne użycie wiąże się z bezpośrednim albo pośrednim połączeniem z innym urządzeniem lub siecią. W praktyce chodzi m.in. o routery, kamery IP, inteligentne zabawki i urządzenia domowe, smartfony, systemy operacyjne, aplikacje, programy użytkowe oraz komponenty sprzętowe i programowe sprzedawane oddzielnie np. mikroprocesory
Zakres jest bardzo szeroki, ale nie bezgraniczny. CRA przewiduje wyłączenia m.in. dla części produktów objętych odrębnymi, sektorowymi przepisami unijnymi, takich jak wyroby medyczne, niektóre pojazdy czy produkty lotnicze. Co do zasady, nie obejmuje też wolnego i otwartego oprogramowania rozwijanego poza działalnością komercyjną. Każdy przypadek trzeba jednak ocenić z uwzględnieniem sposobu oferowania produktu, modelu biznesowego i odpowiedzialności podmiotów uczestniczących w łańcuchu dostaw.
Jako rozporządzenie unijne, CRA stosuje się bezpośrednio we wszystkich państwach Unii - nie wymaga transpozycji do prawa krajowego. Państwa członkowskie muszą natomiast wyznaczyć właściwe organy, zorganizować nadzór rynku i określić zasady nakładania sankcji.
CRA zmienia punkt ciężkości: cyberbezpieczeństwo przestaje być dodatkową funkcją produktu i staje się warunkiem jego obecności na rynku Unii Europejskiej. Producent musi wykazać nie tylko, że produkt był bezpieczny w dniu premiery, lecz także że potrafi utrzymać jego bezpieczeństwo przez cały okres wsparcia, czyli dobrze zarządzać podatnościami.
dr inż. Elżbieta Andrukiewicz, Dyrektor Zakładu Cyberbezpieczeństwa oraz Technologii i Zastosowań Internetu i Laboratorium Oceny Bezpieczeństwa Produktów Teleinformatycznych IŁ-PIB
Security by design - od projektu po ostatnią aktualizację
Można wskazać dwie podstawowe zasady CRA: security by design i security by default. Producent ma przeprowadzić ocenę ryzyka cyberbezpieczeństwa związanego z zamierzonym użyciem produktu i uwzględniać wyniki oceny w planowaniu, projektowaniu, rozwoju, produkcji, dostarczaniu oraz utrzymaniu produktu. Bezpieczeństwo nie może być łatą doklejaną tuż przed premierą - ma być cechą produktu i procesu, w którym produkt powstaje.
Wymagania obejmują m.in. ograniczanie punktów umożliwiających przeprowadzenie ataku, ochronę poufności, integralności i dostępności danych, bezpieczne ustawienia domyślne, dokumentowanie procesu wytwarzania, regularne testy oraz sprawny mechanizm przyjmowania zgłoszeń o lukach i podatności. Producent będzie również odpowiedzialny za dostarczanie aktualizacji bezpieczeństwa - co do zasady bez zbędnej zwłoki i bezpłatnie - oraz za jasne poinformowanie użytkownika, do kiedy produkt będzie wspierany.
Okres wsparcia powinien odpowiadać przewidywanemu czasowi używania produktu i co do zasady wynosić ma co najmniej pięć lat, chyba że ze względu na charakter produktu można racjonalnie oczekiwać krótszego użytkowania. To istotna zmiana także dla modeli biznesowych: koszty obsługi podatności, aktualizacji i dokumentacji trzeba uwzględnić jeszcze przed wprowadzeniem produktu na rynek.
11 września 2026 r. zaczyna się raportowanie
Pierwszy praktyczny termin nadchodzi szybciej niż pełne stosowanie CRA. Od 11 września 2026 r. producenci będą obowiązani zgłaszać zidentyfikowane podatności oraz poważne incydenty mające wpływ na bezpieczeństwo produktu z elementami cyfrowymi. Zgłoszenia będą przekazywane za pośrednictwem jednej platformy raportowania utworzonej i utrzymywanej przez Agencję Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA).
Terminy są krótkie:
- w ciągu 24 godzin od uzyskania wiedzy - wczesne ostrzeżenie;
- w ciągu 72 godzin - właściwe zgłoszenie zawierające dostępne informacje o zdarzeniu;
- w przypadku podatności, która obiektywnie istnieje w produkcie i może mieć wpływ na jego bezpieczeństwo- raport końcowy, nie później niż 14 dni od udostępnienia środka naprawczego lub ograniczającego ryzyko;
- w przypadku poważnego incydentu - raport końcowy w ciągu miesiąca od zgłoszenia 72-godzinnego.
Ważny szczegół: obowiązek raportowania obejmie wszystkie produkty z elementami cyfrowymi udostępnione na rynku UE, także te wprowadzone przed 11 grudnia 2027 r. Firmy nie mogą więc ograniczyć przygotowań do premier. Potrzebują procesu pozwalającego szybko rozpoznać, zakwalifikować, eskalować i zgłosić zdarzenie dotyczące całego aktywnego portfolio.
Dwadzieścia cztery godziny to nie jest czas na tworzenie procedury od zera. Żeby rzetelnie spełnić obowiązek raportowania, producent musi wcześniej wiedzieć, kogo w organizacji ma zgłaszać podejrzenia incydentów, jakie są kryteria oceny znaczenia incydentu, w organizacji podejmuje decyzję o zgłoszeniu i incydentu do odnośnych władza oraz gdzie znajdują się dane potrzebne do przygotowania zgłoszenia.
dr inż. Elżbieta Andrukiewicz
Ocena zgodności, deklaracja UE i oznakowanie CE
Od 11 grudnia 2027 r. przed wprowadzeniem produktu na rynek producent będzie musiał przeprowadzić właściwą procedurę oceny zgodności, sporządzić dokumentację techniczną oraz deklarację zgodności UE, a następnie umieścić oznakowanie CE. CE nie będzie zatem ozdobną naklejką ani jednorazową nagrodą za test, lecz widocznym skutkiem całego procesu wykazania zgodności z zasadniczymi wymaganiami cyberbezpieczeństwa.
Sposób oceny będzie zależał od kategorii produktu. Dla większości produktów z kategorii domyślnej dopuszczona będzie deklaracja zgodności producenta poparta badaniami zgodności z wymaganiami wskazanymi normach zharmonizowanych. W przypadku produktów ważnych - wskazanych w załączniku III do CRA - w określonych sytuacjach konieczny stanie się udział jednostki notyfikowanej, zwłaszcza gdy producent nie zastosuje odpowiednich norm zharmonizowanych lub innych uznanych specyfikacji. Produkty krytyczne z załącznika IV wymagają przeprowadzenia procesu certyfikacji przez stronę trzecią. Do tej grupy należą rozwiązania o szczególnym znaczeniu dla zaufania i bezpieczeństwa, np. wybrane bezpieczne komponenty sprzętowe, karty inteligentne czy bramy inteligentnych liczników.
Odpowiedzialność nie kończy się na producencie. Importer ma sprawdzić m.in., czy przeprowadzono wymaganą ocenę zgodności, sporządzono dokumentację i oznakowano produkt znakiem CE. Dystrybutor weryfikuje podstawowe elementy zgodności, w tym oznakowanie, dane identyfikacyjne i informacje dla użytkownika. Podmiot sprzedający produkt pod własną marką albo dokonujący jego istotnej modyfikacji może natomiast zostać uznany za producenta i przejąć jego obowiązki.
CRA i RED: zmiana warty, nie koniec wymagań radiowych
Od 1 sierpnia 2025 r. wybrane kategorie urządzeń radiowych podlegają wymaganiom cyberbezpieczeństwa wynikającym z dyrektywy RED i aktu delegowanego (UE) 2022/30. Obejmują one ochronę sieci, danych osobowych i prywatności oraz przeciwdziałanie nadużyciom finansowym; Badania zgodności z wymaganiami cyberbezpieczeństwa w RED przeprowadza się w odniesieniu do serii norm zharmonizowanych PN-EN 18031 „Wspólne wymagania bezpieczeństwa dla urządzeń radiowych”
Od 11 grudnia 2027 r. CRA stanie się centralnym punktem odniesienia dla wymagań cyberbezpieczeństwa produktów z elementami cyfrowymi i przejmie obszar wymagań objętych dziś aktem delegowanym do RED. Sama dyrektywa RED oczywiście nie znika: nadal będzie regulować m.in. bezpieczeństwo urządzeń radiowych, kompatybilność elektromagnetyczną i efektywne wykorzystanie widma. Dla producentów oznaczać to może okres przejściowy, w którym doświadczenia z badań według EN 18031 w naturalny sposób przejdą na wymagania CRA w postaci serii norm horyzontalnych, dla których podstawą jest seria PN-EN 18031
Kompetencje IŁ-PIB dla bezpiecznych produktów cyfrowych
Dla Instytutu Łączności - Państwowego Instytutu Badawczego CRA jest naturalnym rozwinięciem wieloletnich działań w zakresie akredytowanych badań, oceny i certyfikacji cyberbezpieczeństwa. Laboratorium Oceny Bezpieczeństwa Produktów Teleinformatycznych (LOB) prowadzi badania oprogramowania oraz komponentów sprzętowo-programowych, w tym rozwiązań stosowanych w infrastrukturze informatycznej, telekomunikacyjnej i radiowej.
LOB posiada akredytację do realizacji ewaluacji w europejskim programie certyfikacji cyberbezpieczeństwa EUCC, a także do badań urządzeń radiowych według PN-EN 18031 oraz ewaluacji zgodnie z metodyką PN-EN 17640 (FITCEM). Te kompetencje tworzą zaplecze do wspierania producentów w analizie wymagań, pomocy w zrozumieniu wymagań norm koniecznych do zastosowania przy przygotowaniu produktu i dokumentacji, prowadzeniu badań oraz budowaniu dowodów zgodności.
Niezależnie od modelu oceny zgodności, Laboratorium może przeprowadzać badania zgodności nie tylko w ramach w procedur CRA wymagających uczestnictwa strony trzeciej ale także jako akredytowane laboratorium, realizujące badania zgodności w imieniu i na rzecz producenta.
Prawidłowe przeprowadzenie badania zgodności nie sprowadza się do znalezienia kilku podatności. Metodyczne podejście umożliwia sprawdzenia poprawności oraz wystarczalności wdrożonych zabezpieczeń w odpowiedzi na odpowiedni do zamierzonego użycia model ryzyka, w tym spójny i kompletny model zagrożeń, wiarygodna dokumentacja i proces obsługi podatności , który zadziała po wprowadzeniu produktu na rynek. To właśnie takiego połączenia wymaga CRA.
dr inż. Elżbieta Andrukiewicz
Co producenci powinni zrobić już teraz?
Komisja Europejska opublikowała 27 lipca 2026 r. pierwsze praktyczne wytyczne dotyczące stosowania CRA. Choć nie są one prawnie wiążące, pomagają wyjaśnić m.in. zakres rozporządzenia, pojęcie istotnej modyfikacji, okres wsparcia, ocenę ryzyka i raportowanie. Czekanie do końca 2027 r. byłoby jednak kosztownym eksperymentem. Przygotowania warto zacząć od pięciu kroków:
- zinwentaryzować produkty, komponenty, modele dystrybucji i role podmiotów w łańcuchu dostaw;
- ustalić, które produkty podlegają CRA oraz czy należą do kategorii domyślnej, ważnej lub krytycznej;
- opracować i wdrożyć proces zarządzania ryzykiem, dokumentowanie komponentów, obsługę podatności i planowanie wdrażania aktualizacji w cyklu rozwoju produktu;
- przećwiczyć procedurę raportowania z terminami 24 i 72 godzin, wskazując ścieżkidecyzyjne i źródła danych;
- zaplanować ścieżkę oceny zgodności i odpowiednio wcześnie skontaktować się z kompetentnym laboratorium lub jednostką oceniającą.
CRA nie obiecuje świata bez podatności. Wprowadza jednak zasadę, że producent nie może pozostawić z nimi użytkownika bez pomocy. Bezpieczny projekt, przejrzyste obowiązki, aktualizacje i szybkie reagowanie mają stać się rynkowym standardem - takim samym jak inne wymagania, bez których produkt nie może trafić do obrotu w Unii Europejskiej.