Cyber Resilience Act: obowiązki raportowania już od września
11 września zaczęły obowiązywać wymogi raportowania. Główne wymagania produktowe wejdą w życie w grudniu 2027 r.
- Od 11 września 2026
- Pełne stosowanie: grudzień 2027
Harmonogram Komisji Europejskiej wskazuje 11 września 2026 r. jako początek obowiązków raportowania wynikających z Cyber Resilience Act. Pełne stosowanie aktu nastąpi 11 grudnia 2027 r. Dla producentów produktów z elementami cyfrowymi są to dwa różne terminy.
Lipcowe wytyczne dotyczą zakresu regulacji, okresów wsparcia, istotnych modyfikacji i raportowania. Komisja zaznacza, że nie są wiążące. Firma musi nadal ustalić, czy przepisy obejmują jej konkretny produkt.
Dla dostawców oprogramowania dual-use i urządzeń sieciowych praktycznym priorytetem jest podział odpowiedzialności: kto odbiera zgłoszenie bezpieczeństwa, ocenia je i koordynuje reakcję? Brak ustaleń może opóźnić działanie. Sam harmonogram nie rozstrzyga pytań prawnych dotyczących produktu.
Co trzeba zgłosić i w jakim czasie
Obowiązek dotyczy aktywnie wykorzystywanych podatności oraz poważnych incydentów wpływających na bezpieczeństwo produktu z elementami cyfrowymi. Według objaśnień Komisji producent wysyła wczesne ostrzeżenie w ciągu 24 godzin od uzyskania wiedzy, a pełne powiadomienie w ciągu 72 godzin. Nie jest to zasada nakazująca zgłaszać każdy błąd znaleziony podczas zwykłego testowania oprogramowania.
Terminy raportu końcowego są różne. Dla aktywnie wykorzystywanej podatności Komisja wskazuje maksymalnie 14 dni od udostępnienia środka naprawczego. Dla poważnego incydentu jest to miesiąc od powiadomienia składanego w terminie 72 godzin. Te zegary trzeba rozróżnić w firmowej procedurze obsługi zgłoszeń.
Jedna platforma, właściwe organy
Zgłoszenia trafiają przez Single Reporting Platform prowadzoną przez ENISA. Komisja opisuje przekazanie do właściwego CSIRT i co do zasady równoczesne udostępnienie ENISA. ENISA potwierdza obowiązek korzystania z platformy przez producentów od 11 września 2026 r. i publikuje instrukcje dla wyznaczonych przedstawicieli.
Dla małego producenta praktyczną kwestią jest przygotowanie osoby odpowiedzialnej i dostępu przed wystąpieniem problemu. Wewnętrznie trzeba wiedzieć, kto kwalifikuje zdarzenie, kto zbiera dane o wersji produktu i kto zatwierdza powiadomienie. To rekomendacja organizacyjna redakcji wynikająca z krótkich terminów, nie dodatkowy ustawowy formularz.
Dual-use nie daje automatycznego wyłączenia
Artykuł 2 ust. 7 wyłącza produkty opracowane lub zmodyfikowane wyłącznie do celów bezpieczeństwa narodowego lub obronności oraz produkty specjalnie zaprojektowane do przetwarzania informacji niejawnych. „Wyłącznie” jest istotne: sprzedawanie cywilnego produktu także wojsku nie przesądza o tym wyłączeniu.
Dostawca powinien więc ustalić zakres dla konkretnego produktu i jego przeznaczenia. Osobne regulacje dotyczą m.in. określonych wyrobów medycznych. Nie należy zakładać jednej odpowiedzi dla całego portfolio firmy tylko dlatego, że wystawia się na targach obronnych albo określa działalność jako med-tech.
Raportowanie już działa, pełne wymagania później
Pełne stosowanie CRA przypada na 11 grudnia 2027 r. Lipcowe wytyczne Komisji obejmują zakres regulacji, istotne modyfikacje, okres wsparcia i ocenę ryzyka. Są niewiążącym objaśnieniem; nie zastępują tekstu rozporządzenia. Dla zarządców otwartego oprogramowania Komisja wskazuje inny początek obowiązków raportowych: 11 grudnia 2027 r.
Obecny etap nie powinien być traktowany wyłącznie jako przyszły projekt certyfikacyjny. Producent objęty wrześniowymi obowiązkami potrzebuje już procesu reagowania i powiadamiania. W dłuższym planie trzeba połączyć go z utrzymaniem produktu, aktualizacjami i dokumentacją, zamiast budować osobny obieg niepowiązany z pracą zespołu technicznego.
Źródła i kontekst
- European Commission: CRA implementation calendar ↗
- European Commission: reporting obligations ↗
- ENISA: Single Reporting Platform and user guidance ↗
- Regulation (EU) 2024/2847, Articles 2 and 14 ↗
- Commission guidance, 27 July 2026 ↗
Wydawca: Mitchell Strategic Solutions Group. Zobacz zasady redakcyjne i politykę korekt. Więcej →
