Akt UE w sprawie cyberodporności jako prawo dotyczące produktów

Horyzontalne prawo produktowe

CRA nie jest ogólnym prawem dotyczącym cyberbezpieczeństwa przedsiębiorstw. Jest prawem produktowym. Określa, czy produkt z elementami cyfrowymi może być udostępniany na rynku UE, który podmiot odpowiada za poszczególne obowiązki oraz czy produkt i procesy producenta spełniają wymogi cyberbezpieczeństwa.

zasady udostępniania na rynku produktów z elementami cyfrowymi w celu zapewnienia cyberbezpieczeństwa takich produktów;

Tytuł rozporządzenia (UE) 2024/2847, art. 1 lit. a

Tytuł prawny określa te zasady jako horyzontalne wymogi cyberbezpieczeństwa. Horyzontalne oznacza, że CRA nie zostało opracowane tylko dla jednego sektora. Może mieć zastosowanie do wielu rodzajów produktów, jeśli produkt wchodzi w zakres rozporządzenia i nie wyłącza go żadne wyłączenie ani szczególna zasada dotycząca nakładania się przepisów.

Cel regulacji

Motywy rozporządzenia opisują dwa główne problemy. Po pierwsze, wiele produktów z elementami cyfrowymi trafiało do użytkowników z niskim poziomem bezpieczeństwa, znanymi podatnościami lub niejasnymi zasadami aktualizacji zabezpieczeń. Po drugie, użytkownicy często nie dysponowali wystarczającymi informacjami, aby bezpiecznie wybierać i używać produktów.

UE dążyła do ustanowienia jednolitych ram wymogów cyberbezpieczeństwa produktów i ograniczenia rozdrobnienia przepisów na rynku wewnętrznym. CRA łączy zatem cyberbezpieczeństwo z wprowadzaniem produktów do obrotu, obok innych właściwych przepisów UE dotyczących produktów, działania sieci i bezpieczeństwa organizacyjnego.

Model oznakowania CE

CRA wykorzystuje istniejący model oznakowania CE. Nie wprowadza nowego logo cyberbezpieczeństwa. W przypadku produktu, który jest już oznakowany CE na podstawie innego unijnego prawa produktowego, CRA dodaje cyberbezpieczeństwo do tego samego zestawu dokumentów zgodności produktu.

Oznakowanie CE podlega ogólnym zasadom określonym w art. 30 rozporządzenia (WE) nr 765/2008.

Rozporządzenie (UE) 2024/2847, art. 29

Przewodnik „Blue Guide” wyjaśnia znaczenie oznakowania CE: producent deklaruje, że produkt spełnia właściwe przepisy Unii wymagające takiego oznakowania. Nie jest ono znakiem jakości ani pochodzenia produktu i nie oznacza, że organ publiczny przetestował każdy produkt.

Cyberbezpieczeństwo w dokumentacji produktu

CRA dodaje wymogi cyberbezpieczeństwa do istniejącego systemu zgodności produktów. Producenci mogą korzystać ze znanych procedur prawnych, ale muszą uzupełnić je o odpowiednie treści techniczne.

• Część I załącznika I ustanawia wymogi cyberbezpieczeństwa dotyczące samego produktu.
• Część II załącznika I ustanawia wymogi dotyczące procesu obsługi podatności przez producenta.
• Dokumentacja techniczna musi wykazywać, w jaki sposób produkt i procesy spełniają mające zastosowanie wymogi.
• Ocena zgodności sprawdza produkt i procesy producenta pod kątem tych wymogów.
• Deklaracja zgodności UE i oznakowanie CE łączą wynik oceny CRA ze zwykłym unijnym systemem zgodności produktów.

Relacje z innymi przepisami dotyczącymi produktów

CRA nie zastępuje istniejących przepisów dotyczących produktów. Połączona maszyna, urządzenie radiowe, zabawka, sterownik przemysłowy lub akcesorium do wyrobu medycznego może już podlegać innemu unijnemu systemowi regulacyjnemu. Jeżeli zastosowanie ma również CRA, producent musi uwzględnić je wraz z pozostałym właściwym aktem prawnym.

Niektóre przypadki nakładania się regulacji rozstrzygnięto bezpośrednio w CRA. Dla poniższych grup produktów przewidziano szczególne wyłączenia lub ograniczenia:

• wyroby medyczne oraz wyroby medyczne do diagnostyki in vitro;
• produkty objęte homologacją typu pojazdu silnikowego;
• produkty certyfikowane w ramach systemu dotyczącego lotnictwa cywilnego;
• wyposażenie morskie;
• identyczne części zamienne;
• produkty opracowane lub zmodyfikowane wyłącznie do celów bezpieczeństwa narodowego lub obronności;
• produkty zaprojektowane specjalnie do przetwarzania informacji niejawnych.

Inne przypadki nakładania się regulacji działają odmiennie. W zależności od produktu i regulowanego ryzyka CRA może uzupełniać takie przepisy jak:

• rozporządzenie w sprawie maszyn;
• rozporządzenie w sprawie ogólnego bezpieczeństwa produktów;
• dyrektywa w sprawie urządzeń radiowych;
• RODO;
• akt w sprawie danych (Data Act);
• akt w sprawie sztucznej inteligencji (AI Act);
• dyrektywa NIS2.