Cyber Resilience Act (CRA) to unijne rozporządzenie (2024/2847), które po raz pierwszy nakłada obowiązkowe wymagania cyberbezpieczeństwa na niemal każdy produkt z elementami cyfrowymi sprzedawany w Unii Europejskiej — od czujników, sterowników i bramek po firmware oraz oprogramowanie towarzyszące. Dla producentów urządzeń IoT to zmiana fundamentalna: bezpieczeństwo przestaje być opcją marketingową, a staje się warunkiem wprowadzenia produktu na rynek i utrzymania oznakowania CE.
W skrócie: Cyber Resilience Act wymaga, aby urządzenia IoT były projektowane zgodnie z zasadą „secure by design”, dostarczane bez znanych, możliwych do wykorzystania podatności i wspierane aktualizacjami bezpieczeństwa przez cały okres wsparcia. Obowiązek zgłaszania aktywnie wykorzystywanych podatności rusza 11 września 2026 r., a pełny zestaw wymagań obowiązuje od 11 grudnia 2027 r.
Czym jest Cyber Resilience Act?
Cyber Resilience Act to pierwsze horyzontalne prawo UE ustanawiające jednolite wymagania cyberbezpieczeństwa dla „produktów z elementami cyfrowymi” (products with digital elements). Rozporządzenie weszło w życie 10 grudnia 2024 r., a jego obowiązki są wdrażane etapami do grudnia 2027 r. Celem jest ograniczenie liczby luk w produktach sprzętowych i programowych oraz zapewnienie użytkownikom przejrzystej informacji o wsparciu bezpieczeństwa.
W praktyce CRA obejmuje produkt przez cały cykl życia: od projektu i procesu wytwarzania, przez dokumentację techniczną, aż po obsługę podatności i aktualizacje po sprzedaży. To odróżnia go od jednorazowej certyfikacji CE i FCC, która potwierdza zgodność w momencie wprowadzenia na rynek.
Kogo obejmuje CRA? Zakres produktów IoT
Zakres jest szeroki: CRA dotyczy każdego produktu z elementami cyfrowymi, którego zamierzone lub racjonalnie przewidywalne użycie obejmuje bezpośrednie lub pośrednie połączenie z siecią lub innym urządzeniem. Obejmuje to zdecydowaną większość rozwiązań IoT — od prostych czujników po przemysłowe bramki i systemy sterowania.
Obowiązki spoczywają głównie na producentach, ale rozciągają się także na importerów i dystrybutorów wprowadzających produkty na rynek UE. Poza zakresem pozostają m.in. wyroby medyczne, lotnicze czy motoryzacyjne objęte odrębnymi, sektorowymi regulacjami. Producenci spoza Unii również podlegają CRA, jeśli udostępniają produkty europejskim odbiorcom.
Kluczowe terminy: co zmienia się w 2026 i 2027 roku?
Harmonogram CRA jest etapowy i warto zaplanować prace z wyprzedzeniem. Najważniejsze daty to:
- 10 grudnia 2024 — rozporządzenie wchodzi w życie (start okresu przejściowego).
- 11 września 2026 — zaczynają obowiązywać obowiązki zgłaszania: aktywnie wykorzystywanych podatności oraz poważnych incydentów bezpieczeństwa.
- 11 grudnia 2027 — pełne stosowanie CRA: zasadnicze wymagania cyberbezpieczeństwa, obsługa podatności i ocena zgodności warunkująca oznakowanie CE.
Obowiązki raportowe dotyczą także produktów już obecnych na rynku przed grudniem 2027 r., dlatego dojrzały proces reagowania na incydenty trzeba mieć gotowy już w 2026 r.
Jakie są wymagania „secure by design”?
Zasada secure by design oznacza, że bezpieczeństwo jest projektowane od pierwszego szkicu architektury, a nie doklejane na końcu. CRA wymaga między innymi, aby produkt był dostarczany bez znanych, możliwych do wykorzystania podatności i z bezpieczną konfiguracją domyślną. Do zasadniczych wymagań należą:
- ochrona przed nieuprawnionym dostępem oraz uwierzytelnianie oparte na tożsamości urządzenia, np. z użyciem certyfikatów X.509;
- zapewnienie poufności i integralności danych — w tym szyfrowanie firmware oraz komunikacji;
- zaufany łańcuch rozruchu, czyli bezpieczny rozruch (secure boot) weryfikujący podpis oprogramowania;
- mechanizm bezpiecznych aktualizacji OTA firmware dostarczanych przez cały okres wsparcia;
- minimalizacja powierzchni ataku i danych oraz rejestrowanie zdarzeń bezpieczeństwa.
Producent musi także przygotować i utrzymywać zestawienie komponentów oprogramowania (SBOM), które ułatwia śledzenie podatności w zależnościach.
Jak działa obowiązek zgłaszania podatności i incydentów?
Od 11 września 2026 r. producent ma obowiązek zgłaszać aktywnie wykorzystywane podatności oraz poważne incydenty do właściwego CSIRT i agencji ENISA za pośrednictwem jednej platformy raportowej. Terminy są rygorystyczne:
- 24 godziny — wczesne ostrzeżenie od momentu powzięcia wiedzy o zdarzeniu;
- 72 godziny — pełne zgłoszenie z oceną i pierwszymi działaniami zaradczymi;
- 14 dni / 1 miesiąc — raport końcowy (14 dni po udostępnieniu środka zaradczego dla podatności, do miesiąca dla poważnych incydentów).
Aby dotrzymać tych ram czasowych, potrzebna jest telemetria z floty, kanał aktualizacji i procedura reagowania. Warto oprzeć ją o sprawdzone dobre praktyki bezpieczeństwa IoT.
Klasy produktów i ocena zgodności (CE)
CRA dzieli produkty według ryzyka i od tego zależy tryb oceny zgodności. Większość urządzeń IoT to kategoria domyślna, w której dopuszcza się samodzielną ocenę producenta. Produkty „ważne” (klasa I i II) oraz „krytyczne” podlegają surowszym wymaganiom, w tym zastosowaniu norm zharmonizowanych lub udziałowi jednostki notyfikowanej.
Niezależnie od klasy, pozytywna ocena zgodności jest warunkiem umieszczenia oznakowania CE i wprowadzenia produktu na rynek UE. Za brak zgodności grożą kary do 15 mln euro lub 2,5% światowego rocznego obrotu — w zależności od tego, która wartość jest wyższa.
Jak przygotować urządzenia IoT do CRA?
Przygotowanie do CRA to projekt inżynierski, a nie wyłącznie prawny. Rekomendowana kolejność działań:
- przeprowadź analizę ryzyka i sklasyfikuj produkt według zakresu CRA;
- wdroż root of trust i secure boot, aby uwierzytelnić firmware już przy starcie;
- zapewnij bezpieczny kanał aktualizacji OTA z podpisem i rollbackiem;
- zbuduj SBOM i proces monitorowania podatności w zależnościach;
- przygotuj procedurę zgłaszania incydentów zgodną z terminami 24/72 h;
- udokumentuj wszystko w dokumentacji technicznej wymaganej do oceny zgodności.
To obszar, w którym doświadczenie w hardware, firmware i chmurze przekłada się bezpośrednio na czas i koszt zgodności.
Najczęściej zadawane pytania (FAQ)
Kiedy Cyber Resilience Act zaczyna obowiązywać?
Rozporządzenie weszło w życie 10 grudnia 2024 r. Obowiązki zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów obowiązują od 11 września 2026 r., a pełny zestaw zasadniczych wymagań i ocena zgodności — od 11 grudnia 2027 r.
Czy CRA dotyczy małych producentów IoT?
Tak. CRA obejmuje niemal każdy produkt z elementami cyfrowymi łączący się z siecią, niezależnie od wielkości firmy. Dla mikroprzedsiębiorstw przewidziano pewne uproszczenia dokumentacyjne, ale zasadnicze wymagania bezpieczeństwa i obowiązki zgłoszeniowe pozostają w mocy.
Jaka jest różnica między CRA a znakiem CE?
Znak CE to deklaracja zgodności produktu z wymaganiami UE. CRA dodaje do niego wymiar cyberbezpieczeństwa: aby oznaczyć urządzenie IoT znakiem CE po grudniu 2027 r., trzeba spełnić zasadnicze wymagania bezpieczeństwa i przejść odpowiednią ocenę zgodności.
Podsumowanie i najważniejsze wnioski
Cyber Resilience Act przenosi cyberbezpieczeństwo urządzeń IoT z obszaru dobrych intencji do obowiązkowych wymagań rynku UE. Kluczowe filary to secure by design, brak znanych podatności przy sprzedaży, aktualizacje przez cały okres wsparcia oraz szybkie zgłaszanie incydentów od września 2026 r. Firmy, które zaczną teraz, zdążą spokojnie przed pełnym stosowaniem CRA w grudniu 2027 r.
FSS Technology projektuje i wdraża rozwiązania IoT zgodne z tymi wymaganiami — od hardware i firmware po chmurę i aktualizacje floty. Chcesz przygotować swoje urządzenia na CRA? Poznaj naszą ofertę connected devices i porozmawiajmy o roadmapie zgodności.