• admin@kibc
• 14 września 2026
• Brak komentarzy

Choć unijne prawo cyfrowe Cyber Resilience Act (CRA) weszło w życie pod koniec 2024 roku, jego kluczowe obowiązki dla producentów zaczęły obowiązywać dopiero teraz. Dokładnie od 11 września kluczowy stał się art. 14 CRA, który nakłada na producentów produktów z elementami cyfrowymi zupełnie nowy standard postępowania w przypadku wykrycia luk bezpieczeństwa. Dotyczy to ogromnej grupy podmiotów – twórców aplikacji mobilnych, dostawców systemów ERP, producentów kamer i czujników IoT oraz wielu innych.

Kluczowe obowiązki CRA dla producentów

Wejście w życie wspomnianych przepisów nie uszło uwadze Prezesa Urzędu Ochrony Danych Osobowych, Mirosława Wróblewskiego, dla którego obowiązywanie CRA to istotny krok w kierunku modelu, w którym bezpieczeństwo i ochrona prywatności są wbudowane w produkt od samego początku jego projektowania, a nie dodawane później.

Obowiązki zgłoszeniowe w przypadku wykrycia podatności

Kluczowym obowiązkiem wynikającym z art. 14 CRA jest błyskawiczne informowanie odpowiednich instytucji o aktywnie wykorzystywanych podatnościach w produkcie oraz poważnych incydentach bezpieczeństwa. W praktyce sprowadza się to do sytuacji, gdy produkt przestaje działać, mówimy o utracie integralności danych albo dochodzi do naruszenia poufności informacji wrażliwych.
Harmonogram w takich sytuacjach przedstawia się następująco:
– wstępne powiadomienie – w ciągu 24 godzin od momentu wykrycia problemu
– właściwe zgłoszenie – w ciągu 72 godzin od momentu, w którym producent dowiedział się o podatności lub incydencie (zawierające m.in. ocenę ogólnego poziomu dotkliwości, parametry techniczne luki, informacje o złośliwym kodzie oraz dotychczas podjęte środki zaradcze)
– pełny, szczegółowy raport ze zdarzenia – 14 dni od zgłoszenia w przypadku podatności oraz maksymalnie 1 miesiąc w przypadku incydentu

Informacje trafiają do scentralizowanego systemu – Jednolitej Platformy Sprawozdawczej (SRP) pod wodzą ENISA, czyli unijnej Agencji ds. Cyberbezpieczeństwa. Pośrednikiem w tym procesie są krajowe zespoły CSIRT, pełniące funkcję punktów kontaktowych.

CRA a RODO

CRA ma bezpośrednie przełożenie na RODO. Przepisy CRA wymagają od dostawców oprogramowania ujawniania klientom informacji o lukach w zabezpieczeniach ich produktów. Dotyczy to zarówno gotowych programów, jak i usług w modelu SaaS. Dzięki temu firmy mogą lepiej chronić dane osobowe swoich klientów. W sytuacji, gdy producent oprogramowania wykryje lukę lub incydent bezpieczeństwa, musi o tym poinformować użytkowników. To pozwala firmom ocenić ryzyko wycieku danych osobowych i podjąć odpowiednie kroki – np. zgłosić incydent do Prezesa UODO lub powiadomić osoby, których dane mogły zostać naruszone (zgodnie z RODO).

UWAGA! Jeśli luka w oprogramowaniu rzeczywiście doprowadzi do wycieku danych, firma musi zgłosić incydent zarówno w ramach CRA, jak i zgodnie z wymogami RODO. Oznacza to, że w jednej sytuacji trzeba wykonać dwa osobne zgłoszenia.

Kogo obejmują przepisy CRA?

Zakres CRA jest bardzo szeroki i obejmuje właściwie wszystko, co można określić mianem produktu z elementami cyfrowymi:
– aplikacje mobilne i webowe,
– systemy IT wdrażane lokalnie, czyli w modelu on-premise,
– inteligentne kamery, czujniki, routery i podobny sprzęt.

Jakie konkretne działania firmy powinny podjąć już teraz?

Budowanie odporności cyfrowej w ramach CRA sprowadza się do szerokich działań – firmy powinny w tej chwili skupić swoje działania na:
– przeglądzie procedur reagowania na incydenty – trzeba dopasować dotychczasowe ścieżki wykrywania podatności do wymogów informacyjnych wynikających z RODO,
– audycie umów z dostawcami oprogramowania – warto sprawdzić, w jaki sposób poszczególni dostawcy realizują nowe obowiązki komunikacyjne dotyczące podatności,
– włączeniu CRA do audytów bezpieczeństwa – potrzebne jest bieżące monitorowanie baz podatności publikowanych przez ENISA i zespoły CSIRT.

Pełne wdrożenie CRA od grudnia 2027 roku

Art. 14 to dopiero preludium. Prawdziwy, kompleksowy zestaw wymogów CRA zacznie obowiązywać 11 grudnia 2027 roku. Wtedy producenci będą musieli spełnić już wszystkie techniczne, formalne i organizacyjne wymagania stawiane produktom wchodzącym na rynek unijny.
Obowiązkowe oznakowanie CE

Produkty zawierające elementy cyfrowe – zarówno oprogramowanie, jak i sprzęt – będą musiały posiadać znak CE potwierdzający ich zgodność z wymogami cyberbezpieczeństwa. Bez tego oznakowania wprowadzenie produktu na rynek unijny stanie się po prostu nielegalne. W zależności od klasy ryzyka, jakie niesie dany produkt, producent będzie musiał albo przeprowadzić samodzielną ocenę zgodności, albo poddać produkt certyfikacji przez zewnętrzną jednostkę notyfikowaną.
Bezpieczeństwo wbudowane w produkt od podstaw

Załącznik I do rozporządzenia wprowadza surowe wymagania techniczne, aby zapewnić bezpieczeństwo produktów. Oto kluczowe zasady:
– Brak luk w zabezpieczeniach – produkt nie może być sprzedawany, jeśli ma znane luki bezpieczeństwa.
– Bezpieczna konfiguracja domyślna, tzn. zakaz używania tych samych haseł dla wszystkich użytkowników oraz ograniczenie otwartych interfejsów tylko do tych naprawdę potrzebnych.
– Dane przechowywane i przesyłane muszą być szyfrowane zgodnie z aktualnymi standardami.
– Aktualizacje oprogramowania muszą być cyfrowo podpisane, aby zapewnić ich autentyczność i integralność.

Pełna przejrzystość komponentów – SBOM

Zgodnie z przepisami, producenci muszą tworzyć i aktualizować SBOM (Software Bill of Materials). Dokument powinien zawierać pełną listę wszystkich komponentów użytych w produkcie, w tym bibliotek zewnętrznych i open source. Dodatkowo producent musi zadeklarować okres wsparcia produktu, który wynosi minimum 5 lat lub tyle, ile przewiduje się użytkowanie produktu, a także dostarczać darmowe aktualizacje bezpieczeństwa przez cały ten okres (bez dodatkowych opłat).
Dokumentacja i formalności

Nowe przepisy wprowadzają surowe wymagania dla producentów oprogramowania, w tym obowiązek tworzenia szczegółowej dokumentacji technicznej (analiza ryzyka, opis architektury, wyniki testów), sporządzania Deklaracji Zgodności UE i przechowywania dokumentów przez 10 lat.

Wysokie kary za brak zgodności

Od grudnia 2027 roku, czyli terminu wejścia w życie wszystkich przepisów CRA, zaczną obowiązywać także realne sankcje finansowe za brak zgodności:
– nawet 15 mln euro albo 2,5% całkowitego rocznego obrotu światowego przedsiębiorstwa za naruszenie zasadniczych wymogów bezpieczeństwa z Załącznika I
– kara do 10 mln euro albo 2% rocznego obrotu za naruszenie pozostałych obowiązków, takich jak brak wymaganej dokumentacji technicznej czy brak aktualnego SBOM.

Firmy, które już teraz zaczną porządkować procedury reagowania na incydenty, przeglądać umowy z dostawcami i budować dokumentację zgodną z nowymi standardami, będą znacznie lepiej przygotowane na moment, w którym CRA zacznie obowiązywać w pełnym zakresie – wraz z wysokimi karami za jego nieprzestrzeganie.