Przewodnik CRA · 11 min
Unijny akt o cyberodporności (CRA): czego wymaga, kiedy obowiązuje i co oznacza dla Twojego łańcucha dostaw
Akt o cyberodporności to pierwsze horyzontalne unijne prawo o cyberbezpieczeństwie produktów. Tam, gdzie NIS2 reguluje sposób, w jaki organizacje prowadzą swoje bezpieczeństwo, CRA reguluje bezpieczeństwo sprzętu i oprogramowania wprowadzanego na rynek UE (od urządzeń podłączonych do sieci po samodzielne oprogramowanie. Już obowiązuje, jego pierwsze obowiązki w zakresie zgłaszania zaczynają się we wrześniu 2026 r., a od grudnia 2027 r. produktu, który nie spełnia jego wymogów, nie będzie można legalnie sprzedawać w UE. Ten przewodnik wyjaśnia zakres, harmonogram i obowiązki) a dla zespołów, które kupują te produkty i są od nich zależne, to, czego wymagać od dostawców i jak to udokumentować.
Najważniejsze punkty
- CRA reguluje produkty z elementami cyfrowymi (sprzęt i oprogramowanie) sprzedawane w UE; kieruje się przede wszystkim do producentów, z obowiązkami także dla importerów i dystrybutorów.
- Etapowe terminy: obowiązuje od grudnia 2024 r., zgłaszanie podatności i incydentów od 11 września 2026 r., wszystkie główne obowiązki od 11 grudnia 2027 r.
- Czysty SaaS zwykle pozostaje poza CRA, ale jeśli kupujesz produkty lub komponenty, Twój obowiązek łańcucha dostaw z NIS2 i CRA wskazują teraz ten sam kierunek: żądaj dowodów bezpieczeństwa już na etapie projektowania i obsługi podatności.
Czym jest CRA
Akt o cyberodporności (rozporządzenie (UE) 2024/2847) ustanawia obowiązkowe wymogi cyberbezpieczeństwa dla „produktów z elementami cyfrowymi”: każdego produktu programowego lub sprzętowego oraz jego rozwiązań do zdalnego przetwarzania danych, który może łączyć się z urządzeniem lub siecią i jest wprowadzany na rynek UE. To rozporządzenie, więc obowiązuje bezpośrednio we wszystkich 27 państwach członkowskich bez transpozycji krajowej.
Większość obowiązków spoczywa na producencie, który musi projektować, wytwarzać i utrzymywać produkt w sposób bezpieczny oraz wykazać zgodność (oznakowanie CE). Importerzy i dystrybutorzy mają własne obowiązki (mogą wprowadzać na rynek wyłącznie produkty zgodne i muszą działać, gdy dowiedzą się, że produkt nie jest zgodny. Rozporządzenie definiuje też dwie kategorie wyższego ryzyka) produkty „ważne” i „krytyczne” (na przykład menedżery haseł, systemy zarządzania siecią czy sprzętowe moduły bezpieczeństwa), objęte surowszymi procedurami oceny zgodności.
W zakresie
Produkty sprzętowe i programowe wprowadzane na rynek UE, które mogą łączyć się z urządzeniem lub siecią: urządzenia podłączone do sieci, systemy operacyjne, aplikacje, biblioteki oraz nieodłącznie z nimi związane rozwiązania do zdalnego przetwarzania danych.
Poza zakresem (w szczególności SaaS)
Czyste oprogramowanie jako usługa zwykle nie jest „produktem” w rozumieniu CRA i jest zamiast tego objęte NIS2: chyba że rozwiązanie do zdalnego przetwarzania danych jest niezbędne do działania produktu i opracowane przez producenta tego produktu. Wyłączone są również produkty już objęte przepisami sektorowymi (np. wyroby medyczne, pojazdy silnikowe, niektóre produkty lotnicze).
Harmonogram, który ma znaczenie
CRA obowiązuje etapami. Dwie daty wyznaczają większość planowania:
Wszedł w życie. Zegar zgodności zaczyna bieg; żadne obowiązki materialne jeszcze nie obowiązują.
Zaczynają obowiązywać obowiązki zgłaszania. Producenci muszą zgłaszać aktywnie wykorzystywane podatności i poważne incydenty (wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie w ciągu 72 godzin i raport końcowy w ciągu 14 dni) do swojego krajowego CSIRT i do ENISA za pośrednictwem jednej platformy zgłoszeniowej.
Pełne stosowanie. Obowiązują wszystkie wymogi zasadnicze; produktów z elementami cyfrowymi niespełniających wymogów nie można już wprowadzać na rynek UE.
Co muszą zrobić producenci
Wymogi zasadnicze obejmują cały cykl życia produktu. W skrócie, zgodny producent musi:
- Projektować bezpiecznie (bezpieczeństwo już w fazie projektowania i domyślnie): dostarczać z bezpieczną konfiguracją, minimalizować powierzchnię ataku oraz chronić poufność i integralność.
- Obsługiwać podatności przez cały okres wsparcia: identyfikować je, dokumentować i usuwać oraz zapewniać bezpłatne aktualizacje zabezpieczeń przez okres wsparcia odzwierciedlający oczekiwany czas użytkowania produktu (Komisja wskazuje co najmniej pięć lat dla wielu produktów).
- Dostarczać wykaz materiałów oprogramowania (SBOM): prowadzić czytelny maszynowo spis komponentów, aby po pojawieniu się nowej podatności w zależności szybko odnaleźć produkty, których dotyczy.
- Prowadzić politykę skoordynowanego ujawniania podatności: opublikować punkt kontaktowy i proces zgłaszania podatności (rolę, jaką w praktyce pełni security.txt).
- Zgłaszać aktywnie wykorzystywane podatności i poważne incydenty: według harmonogramu 24 h / 72 h / 14 dni, od 11 września 2026 r.
- Wykazać zgodność i umieścić oznakowanie CE: w drodze samooceny dla większości produktów lub oceny przez stronę trzecią dla kategorii „ważne” i „krytyczne”, popartej dokumentacją techniczną.
Jak CRA odnosi się do NIS2
NIS2 i CRA są komplementarne, nie konkurencyjne. NIS2 dotyczy podmiotów (tego, jak podmiot kluczowy lub ważny zarządza własnym bezpieczeństwem i je prowadzi, w tym ryzykiem cybernetycznym swoich dostawców (art. 21 ust. 2 lit. d). CRA dotyczy produktów) tego, czy rzeczy wprowadzane na rynek są bezpieczne już w fazie projektowania i właściwie utrzymywane. Jedno reguluje operatora; drugie to, co operator kupuje i wykorzystuje.
I właśnie tam się spotykają. Obowiązek łańcucha dostaw podmiotu objętego NIS2 coraz częściej obejmuje pytanie „czy produkty i komponenty, które kupujemy, są gotowe na CRA?”, czy dostawca obsługuje podatności, dostarcza aktualizacje, publikuje kanał ujawniania i udostępnia SBOM? Od grudnia 2027 r. oznakowanie CE odpowie na część tego; do tego czasu i stale później nabywcy nadal potrzebują własnej pewności, że bezpieczeństwo dostawcy sprawdza się w praktyce.
CRA to rozporządzenie typu bezpieczeństwa produktów, a niektóre granice (zwłaszcza linia między SaaS a zdalnym przetwarzaniem danych oraz kategorie „ważne” i „krytyczne”) mogą być niuansowe. Potwierdź, jak stosuje się ono do konkretnego produktu, korzystając z wykwalifikowanej porady i tekstu urzędowego.
Co to oznacza dla Ciebie
Twoje obowiązki zależą od Twojej roli w łańcuchu. Szybka orientacja:
Producent produktów z elementami cyfrowymi
CRA stosuje się bezpośrednio. Zbuduj już teraz zdolności w zakresie bezpieczeństwa w fazie projektowania, obsługi podatności, SBOM, ujawniania i zgłaszania: obowiązek zgłaszania działa od września 2026 r., a pełna zgodność jest wymagana do grudnia 2027 r.
Importer lub dystrybutor
Możesz wprowadzać na rynek UE wyłącznie produkty zgodne, z oznakowaniem CE, musisz sprawdzić, czy producent dopełnił obowiązków, i musisz działać (oraz poinformować organy) gdy dowiesz się, że produkt niesie istotne ryzyko cyberbezpieczeństwa.
Nabywca lub operator (zwłaszcza objęty NIS2)
CRA nie reguluje Cię bezpośrednio jako nabywcy, ale na nowo określa, co jest „dobre” w zakupach. Żądaj dowodów obsługi podatności, SBOM, polityki ujawniania i okresu wsparcia, oraz monitoruj, czy dostawcy rzeczywiście je realizują.
Dostawca czystego SaaS
Zwykle poza CRA (podlegasz zamiast tego NIS2): chyba że Twoja usługa jest rozwiązaniem do zdalnego przetwarzania danych niezbędnym dla regulowanego produktu. Tak czy inaczej należyta staranność Twoich klientów postawi te same pytania o bezpieczeństwo.
Źródła: Rozporządzenie (UE) 2024/2847 (Cyber Resilience Act) oraz strony Komisji Europejskiej poświęcone Cyber Resilience Act. Daty i zakres odzwierciedlają opublikowane rozporządzenie; szczegóły dotyczące Twoich produktów potwierdź u wykwalifikowanego doradcy.
Jak pomaga norppa.io
norppa.io nie sprawi, że produkt będzie zgodny z CRA (to zadanie producenta) ale daje nabywcom i operatorom zewnętrzny dowód, którego wymagają teraz zakupy i należyta staranność NIS2. Sygnały, na których opiera się CRA, to właśnie te, które monitorujemy w sposób ciągły: oprogramowanie po zakończeniu wsparcia i niezałatane podatności (słaba obsługa podatności), brak kanału skoordynowanego ujawniania oraz usługi wystawione lub błędnie skonfigurowane.
Kwestionariusze samooceny ujmują to, czego nie widzi żadne skanowanie zewnętrzne (dostępność SBOM, zadeklarowany okres wsparcia i aktualizacji, status zgodności) a każda odpowiedź jest zestawiana z technicznym profilem na żywo. Efektem jest aktualny, potwierdzony dowód poziomu bezpieczeństwa dostawcy, gotowy do Twoich akt dostawcy, a nie jednorazowe twierdzenie.