Ustawa o cyberodporności (CRA - Cyber Resilience Act)

Ostatnia aktualizacja: 29.05.2026

Cyber Resilience Act (CRA): Nowe obowiązki i wymogi CRA dla produktów cyfrowych

W dobie powszechnej cyfryzacji oraz rosnącej współzależności systemów informatycznych – obejmujących zarówno urządzenia codziennego użytku, sterowniki przemysłowe, jak i aplikacje mobilne – cyberbezpieczeństwo przestało być kwestią opcjonalną, stając się rygorystycznym wymogiem prawnym.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847, znane jako Cyber Resilience Act (CRA), czyli akt o odporności cybernetycznej, stanowi kluczowy akt prawny ustanawiający szereg nowych regulacji i wprowadza obowiązkowe wymogi cyberbezpieczeństwa do których będą musieli dostosować się przedsiębiorcy z wielu sektorów gospodarki.

Przygotowaliśmy dla Państwa szczegółową analizę wpływu nowych regulacji na bieżącą i przyszłą działalność operacyjną. Poniższy artykuł opisuje kogo dotyczą wymogi CRA, jakie zasadnicze wymagania wprowadza rozporządzenie UE i dlaczego mają one kluczowe znaczenie dla przedsiębiorców funkcjonujących w gospodarce cyfrowej.

---

Czym jest CRA (ustawa o odporności cybernetycznej)?

Rozporządzenie CRA nie stanowi jedynie zbioru niewiążących rekomendacji, lecz jest obligatoryjnym aktem prawnym Unii Europejskiej, mającym na celu ujednolicenie zasadniczych wymogów w zakresie cyberbezpieczeństwa dla produktów z elementami cyfrowymi wprowadzanych na rynek Unii Europejskiej.

Zakresem stosowania objęte są zarówno urządzenia (hardware), jak i oprogramowanie (software). Akt ten kompleksowo reguluje zasady wprowadzenia produktu do obrotu, określa wymagania na etapie projektowania produktu, rozwoju produktu oraz jego produkcji, nakłada na producentów obowiązek eliminowania wykrytych podatności przez cały cykl życia produktu, a także definiuje zasady nadzoru rynkowego i egzekwowania nowych przepisów.

Celem regulacji jest zapewnienie większego bezpieczeństwa produktów przed cyberatakami dla użytkowników końcowych produktów zawierających rozwiązania cyfrowe, w tym ochrony przed nieautoryzowanym dostępem oraz naruszeniem integralności danych.

---

Kogo dotyczą CRA i jakie produkty obejmuje CRA?

Spektrum zastosowania rozporządzenia CRA cechuje się wyjątkowo szerokim zakresem regulacji, ponieważ z definicji ma odnosić się do wszelkich produktów zawierających jakikolwiek element cyfrowy. W szczególności można wskazać następujący zakres produktów objętych regulacją:

• Systemy i aplikacje komputerowe – w tym środowiska operacyjne oraz oprogramowanie desktopowe, mobilne i webowe;
• Inteligentną elektronikę użytkową – czyli urządzenia typu smart przeznaczone dla konsumentów oraz powiązany z nimi software, w tym przykładowo inteligentne zamki do drzwi
• Automatykę oraz infrastrukturę przemysłową – obejmującą aparaturę pomiarową i czujniki, programowalne sterowniki logiczne (PLC), a także architekturę Internetu Rzeczy (urządzenia IoT).

Jednocześnie należy wskazać, że różne obowiązki odnosić się będą do producentów, importerów oraz dystrybutorów tak opisywanych i objętych regulacją CRA produktów. Są to konkretne obowiązki, których zakres będzie zależał od roli danego podmiotu w łańcuchu dostaw. Klasyfikacja poszczególnych technologii opiera się na ocenie poziomu zagrożenia oraz ryzyka związanego z danym produktem.

Do kategorii podwyższonego ryzyka kwalifikowane są zwłaszcza rozwiązania wdrażane w sektorze paliwowo-energetycznym, zakładach wytwórczych czy obiektach infrastruktury krytycznej.

Wobec tych produktów ustawodawca przewidział odrębne, bardziej restrykcyjne ścieżki weryfikacji zgodności, co jest podyktowane ich strategicznym znaczeniem dla stabilności ekonomicznej kraju oraz bezpieczeństwa obywateli.

Tym samym producenci, dystrybutorzy i importerzy oprogramowania oraz innych produktów z elementami cyfrowymi powinni dokonać odpowiedniej weryfikacji podlegania pod zakres normowania CRA i sprawdzić swoje nowe obowiązki w tym zakresie.

---

Jakie obowiązki wprowadza regulacja?

CRA przesuwa ciężar odpowiedzialności na podmioty gospodarcze, wymagając od nich proaktywnego podejścia do bezpieczeństwa w całym cyklu życia produktu. Kluczowe nowe wymagania dla przedsiębiorców są następujące:

Wprowadzenie w życie zasady Security by Design

Cra wprowadza wymóg projektowania produktu tak, aby zminimalizować podatności z zakresu cyberbezpieczeństwa i zapewniać bezpieczną konfigurację domyślną. Poświadczeniem zgodności z normami przewidywanymi w regulacji będzie oznaczenie CE, które będzie musiało zostać nadane produktowi, by mógł być on przedmiotem obrotu.

Zarządzanie podatnościami przez lata

Producent jest zobowiązany do monitorowania luk i dostarczania darmowych aktualizacji bezpieczeństwa przez okres wsparcia, który standardowo powinien wynosić co najmniej 5 lat.

Przygotowanie dokumentacji techniczna i SBOM

Przedsiębiorcy będą musieli tworzyć tzw. Software Bill of Materials (SBOM), stanowiący szczegółowy wykaz komponentów oprogramowania, co pozwoli na szybką reakcję w przypadku wykrycia błędu w konkretnej bibliotece.

Wielopoziomowa ocena zgodności:

Produkty dzielą się na klasy ryzyka. Większość (produkty standardowe) będzie wymagała samocertyfikacji, jednak „produkty ważne” i „produkty krytyczne” (np. systemy operacyjne, firewalle, procesory) będą musiały przejść audyt zewnętrznych jednostek notyfikowanych.

Brak zgodności może w praktyce oznaczać ingerencję organów nadzoru rynku, w tym nakaz wycofania produktu z obrotu lub nałożenia kar, obejmujących również kary finansowe.

---

Jaka jest relacja między CRA a dyrektywą NIS 2?

Choć oba akty prawne stanowią filary nowej unijnej strategii cyberbezpieczeństwa i wzajemnie się uzupełniają, to kierują one uwagę na zupełnie inne obszary odpowiedzialności. Kluczowa różnica sprowadza się do rozróżnienia pomiędzy bezpieczeństwem samych produktów a bezpieczeństwem operacyjnym organizacji.

• CRA koncentruje się na aspekcie produktowym. Określa fundamentalne wymogi cyberbezpieczeństwa już na etapie projektowania, rozwoju oraz produkcji urządzeń i oprogramowania z elementami cyfrowymi. Nakłada tym samym bezpośrednie obowiązki na producentów, dystrybutorów i importerów wprowadzających te rozwiązania na rynek unijny.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (Dyrektywa NIS 2) skupia się natomiast na aspekcie podmiotowym i procesowym. Jest skierowana bezpośrednio do organizacji (w szczególności z sektorów kluczowych i ważnych). Zobowiązuje przedsiębiorstwa do wdrożenia odpowiednich środków technicznych, operacyjnych i organizacyjnych w celu zarządzania ryzykiem oraz ochrony własnej infrastruktury teleinformatycznej.

---

Harmonogram wdrożenia CRA – od kiedy obowiązują nowe wymagania?

Pomimo, iż regulacja wprowadzona została już 10 grudnia 2024 r., jego implementacja została odpowiednio odroczona by dać czas podmiotom zobowiązanym do odpowiedniego dostosowania się do regulacji a także do przygotowania odpowiednich procedur wewnętrznych.

Możemy wskazać, że regulacja będzie wdrażana w ramach następujących kamieni milowych:

• Pierwsze działania organizacyjne – 11 czerwca 2026 r. wejdzie w życie regulacja umożliwiająca państwom członkowskim wyznaczenie jednostek akredytujących i przyznających certyfikaty produktom,
• Pierwsze obowiązki przedsiębiorców – 11 września 2026 r. wejdą w życie wymogi dotyczące aktywnego raportowania podatności i poważnych incydentów,
• Pełna implementacja regulacji CRA – 11 grudnia 2027 r. wejdzie w życie całość regulacji, i tym samym od tego dnia żaden produkt z elementami cyfrowymi nie może zostać wprowadzony na rynek UE bez udowodnienia zgodności z CRA. Brak certyfikacji oznacza brak znaku CE, co w praktyce skutkuje brakiem możliwości obrotu.

---

Jak przygotować firmę do nowych standardów cyberbezpieczeństwa?

Wdrożenie wymagań CRA to proces skomplikowany pod względem prawnym i technicznym.

Prawidłowe wdrożenie nowych wymogów może ograniczyć ryzyko związane z brakiem zgodności, czy dodatkowymi kosztami, może przełożyć się na mniej incydentów związanych z wyciekiem danych, czy ułatwić sprzedaż nowych produktów w całej Unii Europejskiej. Dobrze zaplanowane dostosowanie do CRA może być nie tylko obowiązkiem regulacyjnym, ale także elementem budowania przewagi konkurencyjnej.

Jako kancelaria nie tylko interpretujemy przepisy, ale stajemy się partnerem w transformacji Państwa biznesu. Jeżeli widzą Państwo, że opisywana regulacja może Państwa dotyczyć rekomendujemy kontakt z Kancelarią w celu ustalenia sposobu działania.