Od grudnia 2027 nowe obowiązki, a tylko do połowy 2028 ważne dotychczasowe certyfikaty. Co musisz wiedzieć o CRA?

• Czym jest Cyber Resilience Act?
• Kluczowe daty: lata 2026, 2027, 2028, o których trzeba myśleć już teraz
• Kogo dotyczy CRA i jakie niesie obowiązki?
• Kary to nawet 15 mln euro
• Co z produktami już obecnymi na rynku?
• Skrót artykułu - co jest najważniejsze?

Czym jest Cyber Resilience Act?

Rozporządzenie (UE) 2024/2847, znane jako Cyber Resilience Act (CRA), to horyzontalna regulacja Unii Europejskiej, która ma zastosowanie do sprzętu i oprogramowania – czyli produktów z elementami cyfrowymi – udostępnianych na rynku unijnym. To akt przełomowy – CRA jest pierwszą europejską regulacją, która ustanawia minimalny poziom cyberbezpieczeństwa dla produktów dostępnych na rynku UE.

W praktyce mówimy o ogromnym spektrum urządzeń i programów. Dotyczy to zarówno niskobudżetowych produktów konsumenckich, jak i oprogramowania B2B oraz złożonych systemów przemysłowych. Jeśli więc firma wytwarza, importuje lub dystrybuuje cokolwiek, co łączy się z siecią lub innym urządzeniem – od elektronicznej niani po sterownik przemysłowy – powinna potraktować nowe przepisy poważnie.

Kluczowe daty: lata 2026, 2027, 2028, o których trzeba myśleć już teraz

CRA wprowadza obowiązki etapami. Rozporządzenie weszło w życie 10 grudnia 2024 r. Jego główne przepisy zaczną obowiązywać od 11 grudnia 2027 r. Wcześniej – od 11 czerwca 2026 r. – stosowane będą przepisy dotyczące notyfikacji jednostek oceniających zgodność, a od 11 września 2026 r. obowiązkowe stanie się raportowanie podatności.

Kluczowy jest jednak właśnie grudzień 2027 roku. Produkty zaprojektowane lub wyprodukowane przed wejściem w życie CRA, które nie spełniają wymogów rozporządzenia, nie będą mogły być sprzedawane w UE od 11 grudnia 2027 r., chyba że każda ich sztuka została już wcześniej wprowadzona na rynek.

A co z certyfikatami wydanymi na podstawie dotychczasowych przepisów sektorowych? Certyfikaty badania typu UE oraz decyzje zatwierdzające wydane w odniesieniu do wymogów cyberbezpieczeństwa na podstawie innych aktów unijnych pozostają ważne do 11 czerwca 2028 r., chyba że ich termin ważności upływa wcześniej. To daje pewien bufor – ale nie zwalnia z obowiązku dostosowania się do nowego prawa.

Kogo dotyczy CRA i jakie niesie obowiązki?

CRA wprowadza obowiązkowe wymogi cyberbezpieczeństwa dla producentów, obejmujące planowanie, projektowanie, rozwój i utrzymanie produktów. Obowiązki te muszą być spełnione na każdym etapie łańcucha. Producenci są również zobowiązani do zarządzania podatnościami w całym cyklu życia swoich produktów.

Nie chodzi jednak wyłącznie o producentów. CRA dotyczy również importerów i dystrybutorów, niezależnie od ich wielkości czy obrotów. Oznacza to przykładowo, że polski importer elektronicznych niań z Azji odpowiada za to, by sprzedawany przez niego sprzęt spełniał wymogi rozporządzenia.

Kary to nawet 15 mln euro

Za naruszenie zasadniczych wymogów cyberbezpieczeństwa grozi kara pieniężna do 15 milionów euro lub 2,5% całkowitego rocznego światowego obrotu; za naruszenie innych obowiązków – do 10 milionów euro lub 2% obrotu; za podanie nieprawdziwych informacji organom nadzoru – do 5 milionów euro lub 1% obrotu.

Pewną ulgę przewidziano dla najmniejszych podmiotów. Producenci kwalifikujący się jako mikro i małe przedsiębiorstwa są wyłączeni z kar za niedotrzymanie 24-godzinnego terminu wczesnego ostrzegania o aktywnie wykorzystywanych podatnościach. Samo raportowanie pozostaje jednak obowiązkowe.

Co z produktami już obecnymi na rynku?

Produkty z elementami cyfrowymi, które zostały wprowadzone na rynek przed 11 grudnia 2027 r., podlegają wymogom CRA tylko wtedy, gdy po tej dacie zostaną poddane istotnej modyfikacji. Natomiast obowiązki raportowania dotyczą wszystkich produktów z elementami cyfrowymi udostępnionych na rynku unijnym, w tym tych wprowadzonych na rynek przed 11 grudnia 2027 r.

Skrót artykułu - co jest najważniejsze?

Cyber Resilience Act (CRA) to unijne rozporządzenie, które od 11 grudnia 2027 r. wymaga, by wszystkie produkty z elementami cyfrowymi sprzedawane w UE spełniały nowe wymogi cyberbezpieczeństwa. Dotychczasowe certyfikaty ważne są najdalej do 11 czerwca 2028 r. Przepisy dotyczą producentów, importerów i dystrybutorów – niezależnie od wielkości firmy. Za brak zgodności grożą kary do 15 mln euro. Obowiązkowe raportowanie podatności zaczyna obowiązywać już od września 2026 r. – dla wszystkich produktów, także tych już obecnych na rynku.

Źródło: parp.pl, Komisja Europejska