Przegląd unijnego Aktu w sprawie cyberodporności

Cel i struktura

CRA ma zastosowanie do produktów konsumenckich i przemysłowych, które spełniają warunki jej zakresu stosowania. Najpierw należy ustalić, jaki to produkt i czy ma do niego zastosowanie wyłączenie. Obowiązki producenta i dostępne procedury oceny zgodności zależą następnie od jego roli oraz klasyfikacji produktu.

Poniższe strony tematyczne objaśniają każde z tych zagadnień oraz zawierają definicje prawne, przykłady i odniesienia do źródeł potrzebne do oceny konkretnego produktu.

Najważniejsze pojęcia

Wybierz ścieżkę lektury

Osoby odpowiedzialne za produkt, inżynierowie bezpieczeństwa i zespoły oceny zgodności potrzebują różnych części rozporządzenia. Poniższe ścieżki lektury odpowiadają tym zakresom odpowiedzialności.

• Osoby odpowiedzialne za produkt i zgodność: ustalcie, jakie produkty i wersje są udostępniane, czy CRA ma zastosowanie, jaka jest rola prawna, kategoria produktu i odpowiednie daty rozpoczęcia stosowania.
• Zespoły ds. bezpieczeństwa i inżynierii: powiążcie architekturę, zasoby, granice zaufania, komponenty i sposób aktualizacji z oceną ryzyka cyberbezpieczeństwa.
• Zespoły obsługi podatności: prowadźcie rejestry komponentów i podatności, oceniajcie wpływ na produkt, przygotowujcie środki zaradcze i weryfikujcie przesłanki zgłoszenia na podstawie art. 14, gdy tylko pojawią się istotne fakty.
• Zespoły dokumentacji technicznej i oceny: zbierzcie dowody dotyczące konkretnego produktu, sprawdźcie normy i procedurę oceny oraz zapewnijcie zgodność dokumentacji z wersją udostępnioną na rynku.

Na przykład urządzenie połączone z siecią może zależeć od wbudowanego oprogramowania układowego, aplikacji i zdalnego przetwarzania danych kontrolowanego przez producenta. Najpierw określa się produkt; następnie ocena ryzyka, rejestry komponentów i dokumentacja korzystają z tych samych ustalonych granic.

Kolejność lektury dla producentów

Najpierw ustal, czy produkt wchodzi w zakres stosowania. Poniższe strony wyjaśniają następnie odpowiedzialne podmioty, kategorie produktów i mające zastosowanie wymagania. Zasady zgłaszania sprawdź osobno: art. 14 ma zastosowanie od 11 września 2026 r., przed rozpoczęciem stosowania głównych wymagań dotyczących produktów.

1. Zacznij od Produkty objęte zakresem i Wprowadzanie do obrotu .
2. Ustal rolę podmiotu gospodarczego w Role i obowiązki .
3. Sklasyfikuj produkt na podstawie Klasyfikacja produktów oraz Opisy techniczne zawarte w rozporządzeniu wykonawczym (UE) 2025/2392 .
4. Zapoznaj się z obowiązkami dotyczącymi produktu i procesów w Zasadnicze wymagania w zakresie cyberbezpieczeństwa .
5. Informacje o odpowiednich normach znajdziesz w Normy i normy zharmonizowane oraz Normy dla produktów według kategorii .
6. Następnie przeczytaj Ocenę ryzyka cyberbezpieczeństwa, Dokumentację techniczną oraz Informacje i instrukcje dla użytkowników.
7. Przygotuj zgłoszenia na podstawie art. 14, korzystając z Zgłaszanie podatności oraz Gotowość do zgłoszeń na podstawie art. 14 .
8. Najważniejsze daty pozwalają rozróżnić terminy zgłaszania, terminy dotyczące jednostek notyfikowanych, okres przejściowy i termin rozpoczęcia pełnego stosowania.

Produkty objęte zakresem

Niniejsze rozporządzenie ma zastosowanie do produktów z elementami cyfrowymi udostępnianych na rynku, których przewidziane zastosowanie lub racjonalnie przewidywalne użycie obejmuje bezpośrednie lub pośrednie, logiczne lub fizyczne połączenie danych z urządzeniem lub siecią.

Rozporządzenie (UE) 2024/2847, art. 2 ust. 1

Produktem z elementami cyfrowymi może być oprogramowanie, sprzęt, odrębnie wprowadzany do obrotu komponent oprogramowania lub sprzętu oraz rozwiązanie do zdalnego przetwarzania danych związane z produktem. Zdalne przetwarzanie danych stanowi część produktu tylko wtedy, gdy zostało zaprojektowane i opracowane przez producenta lub na jego odpowiedzialność, a produkt nie mógłby pełnić jednej ze swoich funkcji bez tego przetwarzania.

CRA nie sprawia, że każda usługa cyfrowa staje się produktem z elementami cyfrowymi. Strona internetowa lub usługa chmurowa, za którą producent nie odpowiada w ramach produktu, różni się od zdalnego przetwarzania danych niezbędnego do działania produktu. Wyraźne wyłączenia opisano na stronie dotyczącej zakresu stosowania; szersze informacje o prawie produktowym przedstawiono na stronie z podstawami.

Role i kategorie produktów

Producent, importer i dystrybutor mogą mieć obowiązki dotyczące tego samego produktu. Klasyfikacja produktu odpowiada na inne pytanie: jakie procedury oceny zgodności są dostępne lub wymagane. Kategorie produktów ważnych i krytycznych zależą od podstawowej funkcjonalności produktu.

• Produkty z kategorii domyślnej nadal podlegają CRA, ale zazwyczaj stosuje się do nich procedurę oceny zgodności opartą na wewnętrznej kontroli produkcji.
• Produkty ważne wymieniono w załączniku III i podzielono na klasy I i II.
• Produkty krytyczne wymieniono w załączniku IV; mogą podlegać certyfikacji lub bardziej rygorystycznym procedurom oceny przez stronę trzecią.
• Rozporządzenie wykonawcze Komisji (UE) 2025/2392 określa opisy techniczne kategorii produktów ważnych i krytycznych.

Produkt nie jest ważny ani krytyczny tylko dlatego, że zawiera komponent należący do wymienionej kategorii. Istotne jest to, czy cały produkt ma podstawową funkcjonalność właściwą dla tej kategorii.

Zasadnicze wymagania i normy

Art. 6 wymaga, aby zarówno produkt, jak i procesy producenta dotyczące obsługi podatności spełniały wymagania załącznika I. Wymagania te zostały odrębnie określone w jego dwóch częściach. Norma zharmonizowana, do której odniesienie opublikowano w Dzienniku Urzędowym, może zapewniać domniemanie zgodności w zakresie objętych nią wymagań.

Szczegółowe strony objaśniają strukturę załącznika I oraz to, jak normy mogą pomóc w wykazaniu zgodności. Zasadnicze wymagania w zakresie cyberbezpieczeństwa oraz Normy i normy zharmonizowane.

Zgłaszanie i obsługa podatności

Obsługa podatności jest obowiązkiem obejmującym cały cykl życia produktu. Zgłaszanie jest węższym obowiązkiem, uruchamianym przez określone zdarzenia. Od 11 września 2026 r. art. 14 ma zastosowanie, gdy producent dowie się o podatności aktywnie wykorzystywanej w produkcie lub o poważnym incydencie wpływającym na bezpieczeństwo produktu.

• Wczesne ostrzeżenie: w ciągu 24 godzin od uzyskania przez producenta wiedzy.
• Zgłoszenie: w ciągu 72 godzin od uzyskania przez producenta wiedzy, chyba że odpowiednie informacje zostały już przekazane.
• Sprawozdanie końcowe dotyczące podatności aktywnie wykorzystywanej: najpóźniej 14 dni po udostępnieniu środka naprawczego lub ograniczającego skutki.
• Sprawozdanie końcowe dotyczące poważnego incydentu: w ciągu miesiąca od 72-godzinnego zgłoszenia incydentu.

Najważniejsze daty

CRA opublikowano w Dzienniku Urzędowym 20 listopada 2024 r., a weszła w życie 10 grudnia 2024 r. Jej stosowanie jest etapowe, dlatego terminy zgłoszeń i rozpoczęcia stosowania przepisów dotyczących jednostek oceniających zgodność przypadają przed pełnym rozpoczęciem stosowania rozporządzenia.