Trzy miesiące do pierwszego terminu aktu o cyberodporności, który realnie zobowiązuje
Większość przepisów aktu o cyberodporności (CRA) wciąż wydaje się odległa. Rozporządzenie (UE) 2024/2847 ma pełne zastosowanie od 11 grudnia 2027 r. i ta data widnieje w planach większości zespołów produktowych w odniesieniu do wymogów bezpieczeństwa już na etapie projektowania, oceny zgodności i oznakowania CE.
Jeden obowiązek nadchodzi jednak znacznie wcześniej. Od 11 września 2026 r. producenci produktów z elementami cyfrowymi muszą zgłaszać organom aktywnie wykorzystywane podatności i poważne incydenty. Obowiązek ten nie ogranicza się do nowych produktów: obejmuje także produkty połączone, które są już na rynku. Dla firmy sprzedającej urządzenia inteligentnego domu, połączone zabawki, urządzenia ubieralne lub jakikolwiek inny produkt z oprogramowaniem czy łącznością sieciową zostały już tylko trzy miesiące na wdrożenie procesu, który zadziała w ciągu 24 godzin.
Trzy daty stosowania CRA
Art. 71 ust. 2 CRA ustanawia trzy daty rozpoczęcia stosowania:
- 11 czerwca 2026 r. – zaczyna mieć zastosowanie rozdział IV (art. 35–51), dotyczący notyfikacji jednostek oceniających zgodność. To fundament dla jednostek, które później będą oceniać bardziej krytyczne klasy produktów.
- 11 września 2026 r. – zaczyna mieć zastosowanie art. 14, czyli obowiązki zgłoszeniowe producentów.
- 11 grudnia 2027 r. – zaczyna mieć zastosowanie reszta rozporządzenia, w tym zasadnicze wymogi cyberbezpieczeństwa z załącznika I.
CRA definiuje produkt z elementami cyfrowymi jako „produkt programowy lub sprzętowy wraz z rozwiązaniami do zdalnego przetwarzania danych”, w tym komponenty wprowadzane do obrotu osobno. W praktyce obejmuje to większość produktów konsumenckich łączących się z telefonem, siecią lub chmurą.
Co należy zgłaszać
Art. 14 ustanawia dwa obowiązki zgłoszeniowe.
Aktywnie wykorzystywane podatności (art. 14 ust. 1). Producent musi zgłosić każdą aktywnie wykorzystywaną podatność w swoim produkcie, o której się dowie. CRA definiuje aktywnie wykorzystywaną podatność jako taką, „w odniesieniu do której istnieją wiarygodne dowody, że złośliwy podmiot wykorzystał ją w systemie bez zgody właściciela systemu”. Podatność wykryta we własnych testach i przez nikogo niewykorzystana nie jest objęta tym obowiązkowym zgłaszaniem, choć art. 15 dopuszcza zgłaszanie dobrowolne.
Poważne incydenty (art. 14 ust. 3). Producent musi również zgłosić każdy poważny incydent mający wpływ na bezpieczeństwo produktu. Zgodnie z art. 14 ust. 5 incydent uznaje się za poważny, gdy wpływa lub może wpływać na zdolność produktu do ochrony dostępności, autentyczności, integralności lub poufności wrażliwych lub ważnych danych bądź funkcji, albo gdy doprowadził lub może doprowadzić do wprowadzenia lub uruchomienia złośliwego kodu w produkcie albo w sieciach i systemach informatycznych użytkownika.
24 godziny, 72 godziny, 14 dni i miesiąc
Oba obowiązki mają etapowy harmonogram, określony w art. 14 ust. 2 i 4:
| Etap | Aktywnie wykorzystywana podatność | Poważny incydent |
|---|---|---|
| Wczesne ostrzeżenie | W ciągu 24 godzin od uzyskania wiedzy | W ciągu 24 godzin od uzyskania wiedzy |
| Zgłoszenie | W ciągu 72 godzin, z ogólnymi informacjami o produkcie, sposobie wykorzystania podatności oraz wszelkich środkach naprawczych lub łagodzących | W ciągu 72 godzin, z wstępną oceną i podjętymi środkami |
| Sprawozdanie końcowe | Nie później niż 14 dni po udostępnieniu środka naprawczego lub łagodzącego | W ciągu miesiąca od zgłoszenia incydentu |
Wczesne ostrzeżenie powinno wskazywać, w stosownych przypadkach, państwa członkowskie, w których według wiedzy producenta produkt został udostępniony. W przypadku incydentów musi też wskazywać, czy incydent jest podejrzewany o spowodowanie przez działania niezgodne z prawem lub złośliwe. Zespół CSIRT otrzymujący zgłoszenie może zażądać sprawozdania okresowego o stanie sprawy (art. 14 ust. 6).
Zgłoszenie do organów to tylko połowa obowiązku. Zgodnie z art. 14 ust. 8 producent musi też poinformować użytkowników, których to dotyczy, a w stosownych przypadkach wszystkich użytkowników, o podatności lub incydencie oraz o środkach, które mogą podjąć, aby ograniczyć jego skutki.
Dokąd trafiają zgłoszenia
Zgłoszenia przekazuje się za pośrednictwem jednolitej platformy zgłoszeniowej, którą na podstawie art. 16 ENISA, czyli agencja UE ds. cyberbezpieczeństwa, ma utworzyć i prowadzić. Producent korzysta z elektronicznego punktu końcowego zgłoszeń zespołu CSIRT wyznaczonego na koordynatora w państwie członkowskim jego głównego miejsca prowadzenia działalności w Unii, a zgłoszenie jest jednocześnie dostępne dla ENISA (art. 14 ust. 7).
Główne miejsce prowadzenia działalności producenta to miejsce, w którym podejmuje się przeważającą część decyzji dotyczących cyberbezpieczeństwa jego produktów. Producent, który nie ma głównego miejsca prowadzenia działalności w UE, stosuje kolejność określoną w art. 14 ust. 7: państwo członkowskie upoważnionego przedstawiciela działającego w odniesieniu do największej liczby jego produktów, następnie importera wprowadzającego do obrotu największą liczbę jego produktów, następnie dystrybutora udostępniającego ich najwięcej, a w końcu państwo członkowskie z największą liczbą użytkowników. W przypadku marki spoza UE sprzedającej przez importera z UE oznacza to, że kraj importera może decydować o tym, który CSIRT przyjmuje zgłoszenie.
Produkty już znajdujące się na rynku
Szczegół, który zaskakuje wiele firm, kryje się w przepisach przejściowych. Co do zasady produkty wprowadzone do obrotu przed 11 grudnia 2027 r. podlegają CRA tylko wtedy, gdy po tej dacie zostaną istotnie zmodyfikowane (art. 69 ust. 2). Art. 69 ust. 3 przewiduje wyjątek: obowiązki zgłoszeniowe z art. 14 mają zastosowanie do wszystkich produktów objętych zakresem, wprowadzonych do obrotu przed 11 grudnia 2027 r.
Zatem produkt połączony wprowadzony w 2024 r. i nadal wspierany podlega obowiązkowi zgłaszania od 11 września 2026 r., choć nie wymaga oceny zgodności z CRA, o ile nie zostanie istotnie zmodyfikowany od 11 grudnia 2027 r.
CRA wiąże z tym obowiązkiem także realne kary. Zgodnie z art. 64 ust. 2 niedopełnienie obowiązków z art. 14 może skutkować administracyjnymi karami pieniężnymi w wysokości do 15 mln EUR lub, w przypadku przedsiębiorstwa, do 2,5% jego całkowitego rocznego światowego obrotu za poprzedni rok obrotowy, w zależności od tego, która kwota jest wyższa.
Plan przygotowań na lato
Na trzy miesiące przed terminem prace mają głównie charakter organizacyjny:
- Sporządzić wykaz wszystkich wprowadzonych do obrotu produktów połączonych, w tym wycofanych modeli, które nadal są używane, oraz wersji oprogramowania w terenie.
- Wskazać osobę odpowiedzialną za rozstrzyganie w ciągu godzin, czy zdarzenie jest „aktywnie wykorzystywaną podatnością” lub „poważnym incydentem”, oraz osobę, która wysyła wczesne ostrzeżenie.
- Uruchomić kanał przyjmowania informacji o podatnościach od dostawców, badaczy, klientów i z własnego monitoringu, aby wiedzieć, kiedy zaczyna biec 24-godzinny termin.
- Ustalić, gdzie znajduje się główne miejsce prowadzenia działalności, a w przypadku firm spoza UE – które państwo członkowskie właściwe jest według kolejności z art. 14 ust. 7.
- Przygotować wzory komunikatów dla użytkowników na potrzeby art. 14 ust. 8, w językach rynków, na których produkt jest sprzedawany.
- Uzgodnić role z importerem lub upoważnionym przedstawicielem, aby informacje szybko docierały do producenta.
Jeśli Państwa produkt jest także urządzeniem radiowym, prosimy zajrzeć do naszego poradnika o dyrektywie w sprawie urządzeń radiowych oraz do stron problemowych o nowych przepisach dotyczących cyberbezpieczeństwa urządzeń połączonych i dodawaniu Bluetooth lub Wi-Fi do istniejącego produktu.
Jak Conphora pomaga
Obowiązek zgłoszeniowy z CRA to problem terminów: informacje potrzebne w pierwszych 24 godzinach muszą być gotowe, zanim cokolwiek się wydarzy. Dzięki Conphorze mogą Państwo:
- Prowadzić rejestr produktów połączonych z modelami, wersjami oprogramowania, rynkami i zaangażowanymi podmiotami gospodarczymi.
- Powiązać każdy produkt z odpowiedzialnymi osobami i dokumentami, aby osoba, która ma zdecydować o zgłoszeniu, znalazła wszystko w jednym miejscu.
- Śledzić terminy CRA dla każdego produktu, od obowiązku zgłoszeniowego we wrześniu 2026 r. po pełne stosowanie w grudniu 2027 r.
- Przechowywać zgłoszenia i komunikaty dla użytkowników przy produkcie, którego dotyczą, gotowe na wypadek żądania organu nadzoru rynku.
Zobacz, jak działa Conphora i w jaki sposób utrzymuje dokumentację produktów w gotowości dla organów.
Czy produkty połączone mają być gotowe na 11 września? Zobacz plany i cennik →