Najczęściej zadawane pytania dotyczące unijnego Aktu w sprawie cyberodporności
Sytance · Zaktualizowano
Odpowiedzi te wyjaśniają najczęstsze pytania dotyczące CRA, oprogramowania, okresów wsparcia i zgłaszania. Opierają się na rozporządzeniu, FAQ Komisji i wytycznych Komisji opublikowanych 27 lipca 2026 r.; zawierają odnośniki do szczegółowych stron tematycznych.
Status źródeł
Rozporządzenie ustanawia wymogi prawne. FAQ i wytyczne Komisji objaśniają ich stosowanie; te dokumenty wyjaśniające nie są prawnie wiążące.
Odpowiedzi na często zadawane pytania w żaden sposób nie rozszerzają praw i obowiązków wynikających z mających zastosowanie przepisów ani nie wprowadzają dodatkowego wymogu.
Komisja Europejska, FAQ dotyczące wdrażania CRA — uwaga wprowadzająca
Komisja opublikowała wytyczne C(2026) 5252 w dniu 27 lipca 2026 r., po wcześniejszych konsultacjach. Dotyczą one zakresu, oprogramowania open source, istotnych modyfikacji i okresów wsparcia, a także oceny ryzyka, zdalnego przetwarzania i zgłaszania.
Zakres i udostępnianie na rynku
Tak, jeśli spełniono warunki zakresu CRA. Produktem z elementami cyfrowymi może być oprogramowanie, sprzęt, rozwiązanie do zdalnego przetwarzania danych stanowiące część produktu albo komponent oprogramowania lub sprzętu wprowadzany do obrotu osobno.
Oprogramowanie dostarczane jako produkt może wchodzić w zakres, gdy spełnia definicję CRA i warunki rynkowe. Dotyczy to samodzielnych aplikacji i oprogramowania układowego. Te same kryteria zakresu stosuj do narzędzi programistycznych i komponentów oprogramowania; nie rozstrzygaj na podstawie samych nazw.
Więcej informacji: Produkty objęte zakresem.
Samodzielne SaaS lub usługa chmurowa opracowana poza odpowiedzialnością producenta nie staje się automatycznie produktem z elementami cyfrowymi. Funkcja chmurowa podlega CRA, gdy spełnia definicję zdalnego przetwarzania danych.
Zdalne przetwarzanie danych stanowi część produktu, jeśli odbywa się na odległość, jest niezbędne do realizacji jednej z funkcji produktu, a oprogramowanie przetwarzające zaprojektował lub opracował producent albo zrobiono to na jego odpowiedzialność.
Więcej informacji: Produkty objęte zakresem.
Nie. CRA opiera się na pojęciu połączenia danych, a nie na prostym kryterium dostępu do Internetu. Połączenie może być logiczne lub fizyczne, bezpośrednie lub pośrednie.
Przykłady istotnych połączeń:
- połączenia logiczne przez API, gniazda sieciowe, potoki, pliki, sesje HTTPS w przeglądarce lub protokoły poczty elektronicznej;
- połączenia fizyczne przez USB, Ethernet, światłowód, magistralę polową, Wi-Fi, Bluetooth, NFC lub inne łącza radiowe;
- połączenia pośrednie przez system hosta, który sam można połączyć z urządzeniem lub siecią.
Więcej informacji: Produkty objęte zakresem.
Zazwyczaj nie. Z przewodnika „Blue Guide” wynika, że wprowadzenie do obrotu nie następuje, gdy produkt wytworzono na własny użytek. FAQ Komisji stosuje tę zasadę do przykładów CRA, takich jak narzędzia programistyczne i konfiguracyjne wytworzone przez producenta na własny użytek.
Odpowiedź zmienia się, jeśli narzędzie zostanie później wprowadzone do obrotu jako odrębny produkt. Wtedy należy ocenić je tak jak każdy inny produkt z elementami cyfrowymi — oprogramowanie lub sprzęt.
Więcej informacji: Wprowadzanie do obrotu.
Produkty wprowadzone do obrotu przed 11 grudnia 2027 r. nie podlegają pełnym wymogom CRA tylko dlatego, że nadeszła ta data. Wymogi te zaczną mieć do nich zastosowanie, jeśli od tej daty zostaną poddane istotnej modyfikacji.
Inaczej jest w przypadku zgłoszeń z art. 14. Obowiązki sprawozdawcze stosuje się od 11 września 2026 r. do produktów z elementami cyfrowymi objętych zakresem CRA, w tym produktów wprowadzonych do obrotu przed 11 grudnia 2027 r.
Więcej informacji: Wprowadzanie do obrotu oraz Zgłaszanie podatności.
FAQ Komisji odróżnia egzemplarze już wprowadzone do obrotu od egzemplarzy wprowadzanych do obrotu później. Egzemplarze, które już wprowadzono do obrotu, można nadal udostępniać po upływie zadeklarowanego okresu wsparcia.
Inaczej jest z nowymi egzemplarzami. Jeśli producent wprowadza do obrotu kolejne egzemplarze, musi dla nich ustalić okres wsparcia zgodnie z art. 13 ust. 8.
Więcej informacji: Okres wsparcia.
Oprogramowanie i otwarte oprogramowanie
Nie. Sama bezpłatna dostawa nie przesądza o odpowiedzi. CRA odróżnia niekomercyjne opracowywanie bezpłatnego i otwartego oprogramowania od oprogramowania wprowadzanego do obrotu w ramach działalności handlowej.
Wytyczne z lipca 2026 r. odróżniają płatny dostęp do oprogramowania lub jego utrzymania od opcjonalnych usług dotyczących bezpłatnie dostępnego oprogramowania. Płatne edycje mogą być dostawą handlową; sama opcjonalna usługa konsultingowa nie sprawia, że bezpłatna wersja staje się komercyjna. Dostawa może stać się komercyjna także wtedy, gdy usługi są monetyzowane za pośrednictwem oprogramowania albo gdy warunkiem korzystania jest przetwarzanie danych osobowych wykraczające poza poprawę bezpieczeństwa, zgodności lub interoperacyjności oprogramowania.
Więcej informacji: Role i obowiązki oraz Produkty objęte zakresem.
Tak, ale tylko w ramach zasady testowania określonej w art. 4 ust. 3. Oprogramowanie może być udostępniane wyłącznie przez ograniczony okres potrzebny do testów i musi być wyraźnie oznaczone jako niespełniające wymogów CRA oraz niedostępne do innych celów niż testowanie.
FAQ Komisji przywołuje również motyw 37: producent powinien udostępniać takie oprogramowanie dopiero po przeprowadzeniu oceny ryzyka oraz w możliwym zakresie spełniać wymogi bezpieczeństwa i obsługi podatności.
Tak. Artykuł 13 ust. 11 zezwala na publiczne archiwa oprogramowania, które ułatwiają użytkownikom dostęp do wersji historycznych. Należy w czytelny i łatwo dostępny sposób poinformować użytkowników o ryzyku związanym z oprogramowaniem, które nie jest już wspierane.
Archiwum nie jest tym samym co aktywne wsparcie. Użytkownik powinien móc zrozumieć, że zarchiwizowana wersja nie jest już wspierana i wiąże się z ryzykiem dla bezpieczeństwa.
Bezpieczeństwo, wsparcie i zgłaszanie
Nie. FAQ Komisji wyjaśnia, że CRA nie wymaga od producentów zapewnienia, aby produkt był wolny od wszystkich podatności.
W chwili wprowadzania produktu do obrotu właściwy wymóg z załącznika I dotyczy znanych podatności, które można wykorzystać; ocenę przeprowadza się na podstawie oceny ryzyka cyberbezpieczeństwa producenta oraz dostępnych wówczas faktów.
Więcej informacji: Zasadnicze wymogi cyberbezpieczeństwa oraz Ocena ryzyka cyberbezpieczeństwa.
Nie. Producent musi ocenić, czy podatność ma znaczenie dla produktu i jakie stwarza ryzyko. Środek zaradczy powinien być odpowiedni do tego ryzyka.
Środkiem zaradczym może być poprawka, ale również inny środek, taki jak ostrzeżenie, wskazówki dotyczące konfiguracji, obejście problemu, zaktualizowane informacje dla użytkownika lub późniejsza aktualizacja oprogramowania. CRA wymaga, aby podatności dotyczące produktów z elementami cyfrowymi były obsługiwane i usuwane bez zbędnej zwłoki, stosownie do stwarzanego przez nie ryzyka.
Więcej informacji: Rejestry obsługi podatności.
Nie. Pięć lat to minimalny poziom ochrony, a nie domyślny okres dla każdego produktu. Gdy można racjonalnie oczekiwać dłuższego użytkowania produktu, może być potrzebny dłuższy okres wsparcia.
Krótszy okres wsparcia jest dopuszczalny tylko wtedy, gdy przewidywany czas użytkowania produktu jest krótszy niż pięć lat. W takim przypadku okres wsparcia odpowiada przewidywanemu czasowi użytkowania.
Więcej informacji: Okres wsparcia.
Producent zgłasza aktywnie wykorzystywaną podatność zawartą w jego produkcie. Jeżeli podatność pochodzi ze zintegrowanego komponentu i można ją wykorzystać w produkcie, zgłasza ją producent produktu. Producent komponentu również dokonuje zgłoszenia, jeśli komponent wprowadzono do obrotu jako odrębny produkt.
Jeżeli podatności komponentu nie można wykorzystać w produkcie producenta, sam ten fakt nie uruchamia obowiązkowego zgłoszenia z art. 14. Producent może jednak nadal mieć obowiązki dotyczące koordynacji z dostawcą lub obsługi podatności.
Więcej informacji: Zgłaszanie podatności.
Ocena zgodności i dowody
Nie. FAQ Komisji wyjaśnia, że producent może integrować komponenty bez oznakowania CE, w tym komponenty niewprowadzone do obrotu oraz wprowadzone do obrotu przed rozpoczęciem stosowania CRA.
Producent nadal musi dochować należytej staranności, aby komponent nie naruszył cyberbezpieczeństwa produktu końcowego.
Więcej informacji: SBOM i rejestry komponentów.
Zasadniczo nie. Zgodnie z FAQ Komisji nie istnieje ogólny obowiązek udostępniania dokumentacji technicznej klientom ani ogółowi społeczeństwa.
Ważny wyjątek dotyczy bezpłatnego i otwartego oprogramowania klasy I lub II z załącznika III, jeśli producent chce skorzystać z samooceny na podstawie art. 32 ust. 5. W takim przypadku dokumentację techniczną należy udostępnić publicznie.
Więcej informacji: Dokumentacja techniczna oraz Ocena zgodności.
Nie. Projekty norm mogą być przydatne na etapie przygotowań, ale nie ustanawiają domniemania zgodności na podstawie art. 27. Domniemanie zgodności zależy od normy zharmonizowanej, której odniesienie opublikowano w Dzienniku Urzędowym Unii Europejskiej.
To samo rozróżnienie dotyczy projektów prEN 40000 i projektów norm dotyczących konkretnych produktów. Producenci mogą wykorzystywać je do przygotowania dowodów, osobno sprawdzając status ich publikacji i przywołania.
Więcej informacji: Normy zharmonizowane i domniemanie zgodności.