Cyber Resilience Act: zgłoszenia już obowiązują, reszta w 2027

Opublikowano 19 października 2026 · Dazr

Od 11 września 2026 r. producenci zgłaszają wykorzystywane podatności i poważne incydenty na platformie ENISA. Pełny CRA od 11 grudnia 2027 r.

Cyber Resilience Act (rozporządzenie (UE) 2024/2847) ustanawia wymagania bezpieczeństwa dla sprzętu i oprogramowania sprzedawanego w UE. Pierwszy obowiązek o realnym znaczeniu już obowiązuje, a główne wymagania wejdą w życie za nieco ponad rok.

Co obowiązuje od 11 września 2026 r.

Producenci produktów z elementami cyfrowymi muszą zgłaszać dwa rodzaje zdarzeń za pośrednictwem jednolitej platformy zgłoszeń ENISA, uruchomionej 11 września 2026 r.:

Aktywnie wykorzystywane podatności w ich produktach: wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiadomości, zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu 14 dni od udostępnienia środka naprawczego lub ograniczającego.
Poważne incydenty wpływające na bezpieczeństwo ich produktów: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca od zgłoszenia.

Zgłoszenie trafia do zespołu CSIRT państwa członkowskiego producenta, który pełni rolę koordynatora, i jednocześnie do ENISA. Producent musi też poinformować użytkowników produktu, w razie potrzeby o środkach, które mogą podjąć.

Obowiązki dotyczą także produktów już wprowadzonych do obrotu, nie tylko nowych (art. 69 ust. 3). Obejmują również mikro- i małych producentów, którym nie grozi jednak kara za samo niedotrzymanie 24-godzinnego wczesnego ostrzeżenia.

Co dalej

11 grudnia 2027 r.: CRA zacznie obowiązywać w pełni: bezpieczeństwo już na etapie projektowania, obsługa podatności w okresie wsparcia, dokumentacja techniczna, ocena zgodności i oznakowanie CE. Od tej daty obowiązki zgłoszeń dotyczą też opiekunów oprogramowania open source (open-source stewards).
Od 11 czerwca 2026 r. obowiązują przepisy o notyfikacji jednostek oceniających zgodność, aby jednostki notyfikowane były gotowe przed 2027 r.

Co zrobić teraz

Ustal, kto w organizacji może złożyć zgłoszenie w ciągu 24 godzin, także w weekend, i przetestuj dostęp do platformy.
Prowadź jeden rejestr dla każdego zdarzenia z momentem powzięcia wiadomości, bo od niego liczą się wszystkie terminy.
Przygotuj krótki wzór komunikatu dla użytkowników.
Wykorzystaj czas do grudnia 2027 r. na wymagania projektowe i dokumentacyjne: wykaz produktów objętych przepisami, zestawienie komponentów oprogramowania (SBOM) i proces obsługi podatności.

Szczegóły art. 14 w naszym poradniku: zgłoszenia w Cyber Resilience Act.

Źródła

Wyłącznie w celach informacyjnych, nie stanowi porady prawnej. Ostatnia aktualizacja: 19 października 2026.

Tematy: Cyber Resilience Act, ENISA, UE

Dostępne także w języku: English, Nederlands, Italiano, Deutsch, Français, Español, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål