Stosuje się je co do zasady od 11 grudnia 2027 r., ale obowiązek zgłaszania wykorzystywanych podatności i poważnych incydentów działa już od 11 września 2026 r. Dotyczy przede wszystkim tych, którzy takie produkty wytwarzają, sprowadzają spoza UE lub sprzedają. 

Czego dotyczy rozporządzenie? 

CRA obejmuje produkty z elementami cyfrowymi, czyli każde oprogramowanie lub sprzęt komputerowy oraz powiązane z nimi rozwiązania zdalnego przetwarzania danych, których przeznaczenie lub racjonalnie przewidywalne wykorzystanie obejmuje bezpośrednie lub pośrednie połączenie (logiczne lub fizyczne) z urządzeniem lub siecią (art. 2 ust. 1, art. 3 pkt 1). Definicja jest bardzo szeroka: obejmuje samodzielne oprogramowanie, sprzęt (w tym IoT) i komponenty wprowadzane odrębnie do obrotu. 

Poza rozporządzeniem pozostają m.in. wyroby medyczne objęte rozporządzeniami (UE) 2017/745 i (UE) 2017/746, pojazdy objęte homologacją typu na podstawie rozporządzenia (UE) 2019/2144, produkty certyfikowane zgodnie z rozporządzeniem (UE) 2018/1139 (lotnictwo cywilne), wyposażenie morskie objęte dyrektywą 2014/90/UE, produkty opracowane wyłącznie na potrzeby bezpieczeństwa narodowego lub obronności, części zamienne identyczne z wymienianymi komponentami oraz w pewnym zakresie wolne i otwarte oprogramowanie nieudostępniane w ramach działalności handlowej (art. 2 ust. 2–8), bowiem opiekunowie takiego oprogramowania mają odrębny, lżejszy reżim – zob. sekcja Obowiązki. 

Terminy 

CRA wszedł w życie 10 grudnia 2024 r., ale jego stosowanie jest odroczone w czasie (art. 71 ust. 2): 

• od 11 czerwca 2026 r. – stosuje się rozdział IV (art. 35–51), dotyczący jednostek notyfikujących i notyfikowanych, czyli infrastruktury oceny zgodności; 
• od 11 września 2026 r. – stosuje się art. 14, czyli obowiązki producentów w zakresie zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów do CSIRT (zespołu reagowania na incydenty bezpieczeństwa komputerowego) i ENISA (Agencji UE ds. Cyberbezpieczeństwa); 
• od 11 grudnia 2027 r. – zasada ogólna, czyli stosuje się pozostały zakres rozporządzenia. 

Kogo dotyczy CRA? 

Adresatami są podmioty gospodarcze (art. 3 pkt 12): producenci, upoważnieni przedstawiciele, importerzy, dystrybutorzy oraz inne osoby podlegające obowiązkom związanym z wytwarzaniem lub udostępnianiem takich produktów na rynku UE. Obowiązki ma podmiot, który wprowadza produkt na rynek albo udostępnia go w ramach działalności handlowej, a nie ten, który jedynie go użytkuje. Przykładowo, przedsiębiorstwo wodociągowe korzystające z zakupionego systemu SCADA nie jest więc bezpośrednim adresatem obowiązków, a ryzyko regulacyjne dotyczy raczej jego dostawcy. 

W praktyce chodzi przede wszystkim o producentów urządzeń IoT, systemów sterowania i monitorowania oraz oprogramowania z funkcją łączności wprowadzanego do obrotu pod własną marką, o importerów produktów spoza UE, o dystrybutorów (w tym platformy e-commerce) i o sprzedawców internetowych, którzy oferują produkt pod własną marką lub dokonują jego istotnej modyfikacji – taki sprzedawca jest traktowany jak producent i przejmuje pełny zakres jego obowiązków (art. 21–22). Mikro- i małe przedsiębiorstwa nie są co do zasady wyłączone z obowiązków, ale korzystają z ułatwień w zakresie kar. 

Obowiązki producentów 

Największy ciężar spoczywa na producentach (art. 13–17).

Muszą oni: 

• spełnić zasadnicze wymagania cyberbezpieczeństwa już na etapie projektowania i produkcji (załącznik I część I), m.in. zapewnić bezpieczną konfigurację domyślną, możliwość instalowania aktualizacji zabezpieczeń i ochronę przed nieuprawnionym dostępem, oraz udokumentować ocenę ryzyka (art. 13 ust. 2–4); 
• wdrożyć procedury postępowania w razie wykrycia podatności (załącznik I część II), w tym politykę skoordynowanego ujawniania podatności, jeden punkt kontaktowy do zgłoszeń oraz bezpieczną i co do zasady bezpłatną dystrybucję aktualizacji; 
• określić okres wsparcia produktu – co do zasady minimum 5 lat (chyba że przewidywany okres użytkowania jest krótszy), i przez cały ten czas udostępniać aktualizacje zabezpieczeń (art. 13 ust. 8–10); 
• sporządzić dokumentację techniczną, przeprowadzić ocenę zgodności, wystawić deklarację zgodności UE i oznaczyć produkt znakiem CE (art. 28, 30), a dokumentację przechowywać co najmniej 10 lat lub przez okres wsparcia, zależnie od tego, który jest dłuższy (art. 13 ust. 13); 
• dostarczyć użytkownikom informacje i instrukcje z załącznika II oraz w razie niezgodności podjąć działania naprawcze i współpracować z organami nadzoru rynku (art. 13 ust. 21–23). 

Podejście jest oparte na ryzyku: produkty „ważne” (klasa I i II) oraz „krytyczne” podlegają bardziej rygorystycznym procedurom oceny zgodności, z udziałem jednostki notyfikowanej (załączniki III i IV). 

Szczególnie ważne są zgłoszenia z art. 14. Producent przekazuje je jednocześnie do CSIRT wyznaczonego na koordynatora i do ENISA, przez jedną platformę sprawozdawczą (art. 16): wczesne ostrzeżenie o aktywnie wykorzystywanej podatności lub poważnym incydencie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin oraz sprawozdanie końcowe w ciągu 14 dni (podatności) albo 1 miesiąca (incydenty). 

Importerzy (art. 19) i dystrybutorzy (art. 20) muszą przede wszystkim sprawdzić, czy producent dopełnił swoich obowiązków (dokumentacja, ocena zgodności, CE, deklaracja, instrukcje), podać własne dane kontaktowe na produkcie, wstrzymać obrót produktami niezgodnymi oraz informować producenta i organy nadzoru o niezgodnościach i podatnościach. Opiekunowie wolnego i otwartego oprogramowania podlegają lżejszemu reżimowi (art. 24), obejmującemu politykę cyberbezpieczeństwa, współpracę z organami i część obowiązków zgłoszeniowych. 

Kary 

Za naruszenie wymagań z załącznika I oraz obowiązków producentów z art. 13–14 grozi kara do 15 mln EUR lub do 2,5% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 64 ust. 2). Za naruszenie innych obowiązków, m.in. importerów, dystrybutorów, upoważnionych przedstawicieli, w zakresie deklaracji zgodności i oznakowania CE oraz dokumentacji technicznej, grozi kara do 10 mln EUR lub do 2% obrotu (art. 64 ust. 3). Za przekazanie jednostkom notyfikowanym lub organom nadzoru informacji nieprawdziwych, niekompletnych lub wprowadzających w błąd – do 5 mln EUR lub do 1% obrotu (art. 64 ust. 4). Mikro- i małe przedsiębiorstwa nie ponoszą kar administracyjnych za niedotrzymanie terminów zgłoszeń z art. 14 ust. 2 lit. a i ust. 4 lit. a; kar nie ponoszą też opiekunowie oprogramowania otwartego (art. 64 ust. 10). 

Co warto zrobić? 

Najpierw trzeba ustalić, w jakiej roli organizacja działa na rynku, bo od tego zależy zakres obowiązków; w szczególności sprzedaż cudzego sprzętu pod własną marką oznacza status producenta. Następnie należy sprawdzić, czy produkt mieści się w definicji i czy nie obejmuje go wyłączenie, oraz czy może być uznany za „ważny” lub „krytyczny”. Producenci powinni już teraz stosować się do regulacji zawartych w art. 14 CRA, w tym dokonywać przewidzianych w nim zgłoszeń (podatności i incydentów), w tym przedkładać wczesne ostrzeżenia, zgłoszenia podatności i incydentów, sprawozdania końcowe, w terminach wskazanych w tych przepisach, tj. odpowiednio, w zależności od rodzaju zgłoszenia 24 godzin, 72 godzin i 14 dni (albo 1 miesiąca).  

Jeżeli nie mają Państwo pewności, jaką rolę pełni Państwa organizacja w rozumieniu CRA lub jak zakwalifikować oferowany produkt, zapraszamy do kontaktu z zespołem KTW.Legal. 

autor: prawnik Emilia Sobota