Cyber Resilience Act (CRA)

Cyber Resilience Act (CRA) to rozporządzenie Unii Europejskiej (2024/2847), które ustanawia horyzontalne i obowiązkowe wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi (PDE) udostępnianych na rynku unijnym.

Jego głównym celem jest wyeliminowanie problemów związanych z niskim poziomem zabezpieczeń urządzeń i oprogramowania oraz brakiem jasnych informacji dla użytkowników o ich cechach bezpieczeństwa.

Kluczowe aspekty Cyber Resilience Act obejmują: Zakres przedmiotowy: Rozporządzenie dotyczy niemal wszystkich produktów, które łączą się z siecią lub innym urządzeniem, w tym komputerów, smartfonów, urządzeń IoT (np. inteligentnych lodówek), sterowników przemysłowych, a także samego oprogramowania i firmware.

Wyłączenia: Z zakresu CRA wyłączono produkty posiadające własne, rygorystyczne przepisy sektorowe, takie jak wyroby medyczne, pojazdy silnikowe, lotnictwo cywilne oraz sprzęt wojskowy.

Bezpieczeństwo przez cały cykl życia: Producent odpowiada za cyberbezpieczeństwo od etapu planowania i projektowania, przez produkcję, aż po wieloletnie wsparcie posprzedażowe. Zasady "by design" i "by default": Produkty muszą być projektowane w sposób bezpieczny i dostarczane z bezpieczną konfiguracją domyślną (np. zakaz stosowania powszechnie znanych haseł fabrycznych).

Zarządzanie podatnościami: Producenci mają obowiązek identyfikowania i usuwania luk, prowadzenia SBOM (zestawienia materiałów oprogramowania) oraz zgłaszania aktywnie wykorzystywanych podatności do organów (CSIRT i ENISA) w terminie 24 godzin od ich wykrycia.

Okres wsparcia: Producent musi zagwarantować bezpłatne aktualizacje bezpieczeństwa przez zadeklarowany okres wsparcia, który co do zasady wynosi minimum 5 lat (chyba że czas życia produktu jest krótszy).

Certyfikacja i oznakowanie CE: Spełnienie wymogów będzie potwierdzane naniesieniem znaku CE, co stanie się formalnym warunkiem dopuszczenia produktu do obrotu na terenie UE.

Kary: Za nieprzestrzeganie przepisów grożą sankcje administracyjne sięgające do 15 mln EUR lub 2,5% globalnego rocznego obrotu.

• Projektowanie produktów zgodnie z zasadami cyberbezpieczeństwa już na etapie tworzenia.
• Zapewnienie regularnych aktualizacji bezpieczeństwa przez określony czas.
• Przeprowadzanie oceny ryzyka cyberbezpieczeństwa.
• Obowiązek raportowania poważnych incydentów bezpieczeństwa.
• Dokumentowanie i deklarowanie zgodności produktu z wymaganiami CRA.
• Zapewnienie bezpiecznej konfiguracji domyślnej produktu.

CRA dotyczy:

• Producentów oprogramowania i sprzętu z elementami cyfrowymi.
• Importerów wprowadzających produkty cyfrowe na rynek UE.
• Dystrybutorów sprzedających takie produkty w Unii Europejskiej.
• Firm z branży IoT, IT, przemysłowej automatyki, telekomunikacji i e-commerce.

Regulacja obejmuje zarówno duże korporacje, jak i małe oraz średnie przedsiębiorstwa, które oferują produkty cyfrowe na rynku unijnym.

• 10 grudnia 2024 r. – Rozporządzenie oficjalnie weszło w życie
• 11 czerwca 2026 r. – Zaczynają obowiązywać przepisy dotyczące notyfikacji jednostek oceniających zgodność, co ma umożliwić przygotowanie infrastruktury certyfikacyjnej przed pełnym stosowaniem aktu
• 11 września 2026 r. – Wchodzą w życie krytyczne obowiązki raportowania aktywnie wykorzystywanych podatności oraz poważnych incydentów
• 11 grudnia 2027 r. – Następuje pełne stosowanie CRA; od tego dnia wszystkie nowe produkty wprowadzane do obrotu muszą spełniać zasadnicze wymagania bezpieczeństwa i przejść ocenę zgodności
• 11 czerwca 2028 r. – Wygasa ważność certyfikatów badania typu UE wydanych na podstawie innych unijnych przepisów harmonizacyjnych w zakresie cyberbezpieczeństwa

Terminy raportowania podatności i incydentów (od września 2026 r.)

Producenci są zobowiązani do wieloetapowego raportowania aktywnie wykorzystywanych podatności oraz poważnych incydentów:

• 24 godziny – Czas na przesłanie wczesnego ostrzeżenia (early warning) od momentu dowiedzenia się o problemie
• 72 godziny – Termin na złożenie właściwego zgłoszenia podatności lub incydentu, zawierającego ogólne informacje o jego charakterze oraz podjętych środkach naprawczych
• 14 dni – Czas na złożenie raportu końcowego po udostępnieniu środka naprawczego w przypadku aktywnie wykorzystywanej podatności
• 1 miesiąc – Termin na złożenie raportu końcowego w przypadku poważnego incydentu bezpieczeństwa

Okres wsparcia i retencja dokumentacji

Obowiązki producenta dotyczące bezpieczeństwa produktu są rozciągnięte na wiele lat po jego sprzedaży:

• Minimum 5 lat – Standardowy okres wsparcia bezpieczeństwa, w którym producent musi skutecznie obsługiwać podatności (chyba że czas życia produktu jest krótszy)
• Przynajmniej 10 lat – Okres, przez który każda udostępniona aktualizacja bezpieczeństwa musi pozostać dostępna do pobrania
• Minimum 10 lat lub okres wsparcia – Czas, przez który producent musi przechowywać i udostępniać organom nadzoru dokumentację techniczną oraz deklarację zgodności UE (obowiązuje termin dłuższy)

Pozostałe terminy regulacyjne

• 11 grudnia 2025 r. – Termin, do którego Komisja Europejska ma przyjąć akty wykonawcze z technicznym opisem kategorii produktów ważnych i krytycznych
• 11 grudnia 2030 r. – Data przeprowadzenia przez Komisję pierwszego okresowego przeglądu i oceny stosowania rozporządzenia

Firmy powinny rozpocząć przygotowania odpowiednio wcześniej, aby uniknąć ryzyka sankcji oraz problemów z wprowadzeniem produktów na rynek.