W świecie zaawansowanym technologicznie, jak nasz, cyberataki stały się współczesnym odpowiednikiem napadów z bronią w ręku. Zamiast rabować banki, sklepy osiedlowe lub przypadkowych przechodniów w ciemnej uliczce, wielu dzisiejszych przestępców koncentruje się na wykorzystaniu cyberataków, by okradać przedsiębiorstwa, rządy oraz zwykłych ludzi. Choć skala, zasięg i śmiałość tych ataków są różne, łącznie stanowią one ogromny proceder przestępczy.
Według branżowej organizacji Cybersecurity Ventures roczny globalny koszt cyberprzestępczości przekracza obecnie 10 bilionów dolarów. Koszty te wynikają z połączenia kilku negatywnych skutków, takich jak:
- Przestoje działalności i związana z nimi utrata produktywności
- Kradzież poprzez oszustwa, wymuszenia i sprzeniewierzenie środków
- Utrata danych
- Kradzież własności intelektualnej
Różnorodność sposobów, w jakie cyberprzestępcy mogą wykorzystywać zarówno osoby indywidualne, jak i podmioty, a także szeroka gama wartościowych informacji, jakie mogą pozyskać dzięki takim atakom, sprawiają, że jest to sektor przestępczy o ogromnej skali, który z roku na rok rośnie. Dane Cybersecurity Ventures wskazują, że całkowity koszt cyberprzestępczości wzrósł dramatycznie w minionej dekadzie:
- 2015: 3 biliony dolarów
- 2021: 6 bilionów dolarów
- 2025: 10,5 biliona dolarów
Choć niektóre organizacje szacują, że łączny koszt jest znacząco niższy, nawet roczne koszty cyberprzestępczości na poziomie 1–2 bilionów dolarów stawiają ten proceder na równi z całym PKB Indonezji lub Holandii. Co więc świat i najpotężniejsze rządy robią wobec tego rozwijającego się zjawiska?
Czym jest Cyber Resilience Act?
Cyber Resilience Act (CRA) to rozporządzenie stworzone przez Unię Europejską, by przeciwdziałać narastającej cyberprzestępczości. Akt ten ma na celu zmuszenie firm technologicznych i innych producentów do tworzenia sprzętu i oprogramowania zabezpieczonego przed cyberatakami i mniej podatnego na nadużycia mające na celu wykradanie danych i/lub środków finansowych obywateli UE. Jak wyjaśnia Komisja Europejska na swojej stronie internetowej, Cyber Resilience Act ustanawia „jasne i obowiązkowe wymagania w zakresie cyberbezpieczeństwa na całym cyklu życia produktów cyfrowych”.
CRA został pierwotnie zaproponowany przez Komisję Europejską w 2022 roku. Dwa lata później, w 2024 roku, Parlament Europejski formalnie przyjął treść aktu, a Rada Unii Europejskiej wyraziła na niego zgodę. Po opublikowaniu dokumentu w Dzienniku Urzędowym UE w listopadzie, CRA oficjalnie wszedł w życie w grudniu 2024 roku.
Ze względu na szeroki zakres obowiązków, jakie CRA nakłada na firmy objęte regulacją, UE zapewniła przedsiębiorstwom odpowiednio dużo czasu na przygotowanie się do spełnienia wymagań dotyczących zgodności z przepisami. Prawo wdrażane jest przez ok. 15 miesięcy, rozpoczynając się we wrześniu 2026 roku i osiągając pełne wdrożenie w grudniu 2027 roku.
Jakie są wymagania Cyber Resilience Act?
Unijny CRA nakłada szereg obowiązków na organizacje objęte przepisami. Celem regulacji jest prawne zobowiązanie firm do tworzenia bezpieczniejszych, bardziej odpornych produktów cyfrowych, opracowania solidniejszych procedur reagowania na incydenty cyberbezpieczeństwa oraz zapewnienia większej transparentności wobec konsumentów i innych interesariuszy w odniesieniu do działań ograniczających zagrożenia i ogólnego poziomu bezpieczeństwa.
Podstawowe wymagania Cyber Resilience Act opisuje załącznik I aktu, zatytułowany Kluczowe Wymagania Cyberbezpieczeństwa. Są one podzielone na dwie grupy: jakie właściwości powinny mieć produkty cyfrowe wytwarzane przez podmioty objęte regulacją oraz jakie procesy muszą realizować producenci tych produktów, by zachować zgodność z prawem.
Załącznik I, Część I: Właściwości wymagane od produktów cyfrowych
Ta część regulacji stanowi w pewnym sensie jej sedno. UE oczekuje, że produkty cyfrowe oferowane i sprzedawane w Europie będą bezpieczniejsze i lepiej chronione przed cyberprzestępcami, a poniższe środki mają pomóc osiągnąć ten poziom ochrony. Aby spełnić wymagania CRA, produkty cyfrowe wprowadzane na rynek UE powinny być projektowane i udostępniane z następującymi cechami:
- 1 Brak znanych podatności podatnych na wykorzystanie
- 2 Domyślna konfiguracja zapewniająca bezpieczeństwo, czyli domyślne ustawienia urządzenia lub produktu gwarantują najwyższy poziom zabezpieczeń
- 3 Możliwość skutecznego usuwania podatności poprzez aktualizacje zabezpieczeń, w tym automatyczne aktualizacje z możliwością rezygnacji przez użytkownika
- 4 Ochrona przed nieautoryzowanym dostępem, w tym poprzez uwierzytelnianie, mechanizmy zarządzania tożsamością i dostępem
- 5 Zachowanie poufności wszystkich danych przechowywanych na produkcie, m.in. z użyciem szyfrowania lub innych technik
- 6 Ochrona integralności danych, oprogramowania i konfiguracji przed zewnętrzną manipulacją lub modyfikacją
- 7 Zbieranie jedynie danych niezbędnych do dalszego funkcjonowania produktu
- 8 Utrzymanie podstawowych funkcji produktu po przeprowadzeniu cyberataku
- 9 Minimalizacja negatywnego wpływu cyberataków na inne urządzenia lub sieci
- 10 Ograniczona „powierzchnia ataku”, tzn. miejsca narażone na atak, które mogą być wykorzystane przez osoby o złych intencjach
- 11 Mechanizmy ograniczające skutki oraz efektywność udanych cyberataków
- 12 Możliwość rejestrowania zdarzeń związanych z bezpieczeństwem, w tym zmian w danych i funkcjach urządzenia, z opcją rezygnacji przez użytkownika
- 13 Możliwość usunięcia przez użytkownika wszystkich danych oraz spersonalizowanych ustawień produktu
Załącznik I, Część II: Procesy wymagane od producentów
Oprócz projektowania i produkcji cyfrowych produktów wyposażonych w odpowiednie zabezpieczenia, producenci muszą być gotowi do aktywnego działania na rzecz ograniczania skutków cyberataków przez cały cykl życia produktu.
Producenci produktów muszą podjąć następujące działania:
- 1 Identyfikować i dokumentować podatności produktów, m.in. opracowując zestawienie materiałowe (BOM) obejmujące wszystkie kluczowe zależności
- 2 Niezwłocznie usuwać i eliminować podatności bezpieczeństwa, w tym za pomocą aktualizacji zabezpieczeń
- 3 Prowadzić stałe testy bezpieczeństwa produktów cyfrowych
- 4 Udostępniać informacje na temat podatności i incydentów bezpieczeństwa, w tym wpływu, poziomu zagrożenia oraz jasnych instrukcji naprawczych dla użytkowników
- 5 Ustanowić oficjalną, skoordynowaną politykę ujawniania podatności (CVD)
- 6 Stworzyć ramy dla wymiany oraz raportowania podatności, w tym poprzez opublikowanie adresu kontaktowego umożliwiającego zgłaszanie incydentów bezpieczeństwa
- 7 Zapewnić mechanizmy umożliwiające przekazywanie aktualizacji bezpieczeństwa wszystkim produktom cyfrowym w odpowiednim czasie, a gdy to możliwe – automatycznie
Te mechanizmy należy udostępniać użytkownikom i produktom niezwłocznie, bez opłat, wraz z odpowiednimi komunikatami zawierającymi istotne informacje oraz instrukcje niezbędnych działań po stronie użytkownika.
Jakie firmy obejmuje CRA?
Cyber Resilience Act obejmuje szerokie grono firm, a wiele podmiotów działających w UE będzie prawnie zobligowanych do przestrzegania dyrektywy. W uproszczeniu, CRA dotyczy wszystkich firm wytwarzających „produkty z elementami cyfrowymi” dostępne na rynku unijnym. Oznacza to – w najprostszej formie – sprzęt, który można połączyć z internetem lub innym urządzeniem, a także wszelkie oprogramowanie, w tym aplikacje i firmware.
Chociaż lista ta nie jest wyczerpująca, oto przykłady produktów regulowanych przez Cyber Resilience Act:
- Elektronika konsumencka: Laptopy, smartfony, tablety, routery, switche.
- Urządzenia smart: Inteligentne sprzęty domowe, głośniki smart, wirtualni asystenci, systemy alarmowe.
- Technologia wearable: Smartwatche, trackery fitness, inteligentne okulary, smart pierścienie.
- Oprogramowanie i firmware: Aplikacje mobilne i desktopowe, systemy operacyjne, firmware urządzeń.
- Komponenty elektroniczne: Procesory graficzne, jednostki centralne (CPU), mikroprocesory (MPU).
Produkty cyfrowe i technologiczne mają złożone łańcuchy dostaw obejmujące wielu różnych producentów, dostawców i poddostawców. UE wskazuje trzy konkretne grupy, czyli „podmioty gospodarcze”, które muszą spełniać wymogi prawne:
Producenci
Są to firmy, które wytwarzają produkt i wprowadzają go na rynek pod własną marką. Często określa się je jako oryginalnych producentów urządzeń (OEM), którzy zazwyczaj pozyskują komponenty z rozbudowanych łańcuchów dostaw składających się z dziesiątek, setek, a nawet tysięcy bezpośrednich i pośrednich dostawców. To właśnie ci producenci ponoszą odpowiedzialność za zgodność z CRA.
Importerzy
Jak wskazuje nazwa, są to podmioty zajmujące się importem produktów cyfrowych spoza UE — często od OEM lub innych producentów — i wprowadzaniem ich do obrotu na rynku unijnym.
Dystrybutorzy
Dystrybutorzy to zbiorcze określenie wszystkich podmiotów innych niż producenci i importerzy, które odpowiadają za wprowadzanie produktów cyfrowych na rynek UE. Dystrybutorzy obejmują sprzedawców detalicznych i inne firmy powiązane, często sprzedające bezpośrednio konsumentom.
Jak UE egzekwuje przepisy CRA
CRA zobowiązuje wszystkie kraje UE do wyznaczenia własnego organu rynkowego odpowiedzialnego za egzekwowanie przepisów oraz nadzorowanie firm objętych zakresem aktu. Mogą to być urzędy państwowe, agencje lub inne jednostki posiadające uprawnienia do monitorowania i egzekwowania zgodności. Wyznaczony organ rynkowy ma prawo żądać dokumentacji technicznej od podmiotów objętych przepisami, przeprowadzać wycofania produktów z rynku lub w inny sposób ograniczać wprowadzanie konkretnego produktu na rynek w przypadku stwierdzenia braku zgodności z CRA.
Ponadto organy mogą nakładać kary i grzywny na podmioty naruszające przepisy.
Konsekwencje braku zgodności z CRA
Firmy, które nie spełniają wymogów Cyber Resilience Act, mogą zostać ukarane znacznymi grzywnami.
- Naruszenia zasadniczych wymagań wynikających z CRA: Kary do 15 milionów euro lub 2,5% globalnych przychodów firmy — obowiązuje wyższa z tych wartości.
- Naruszenia innych obowiązków nałożonych przez CRA (w tym wymogów dotyczących dokumentacji i procedur oznakowania CE): Kary do 10 milionów euro lub 2% globalnych przychodów firmy — obowiązuje wyższa z tych wartości.
- Przekazanie organom rynkowym lub jednostkom notyfikowanym fałszywych lub niekompletnych informacji: Kary do 5 milionów euro lub 1% globalnych przychodów firmy — obowiązuje wyższa z tych wartości.
Rola jednostek certyfikujących w Cyber Resilience Act
To, czy firma musi współpracować z jednostką certyfikującą lub notyfikowaną, aby spełnić wymogi Cyber Resilience Act, zależy od klasyfikacji ryzyka produktów, które wytwarza, importuje lub dystrybuuje. CRA przypisuje wszystkie produkty cyfrowe do jednej z czterech kategorii:
- Produkty domyślne: Ta kategoria obejmuje większość produktów cyfrowych obecnych na rynku UE, w tym elektronikę konsumencką, zabawki i większość urządzeń typu smart. Firmy produkujące, importujące lub dystrybuujące produkty z tej kategorii nie muszą uzyskiwać oceny stron trzecich.
- Produkty ważne (Klasa I): Ta klasyfikacja obejmuje produkty z dodatkowymi wymogami bezpieczeństwa, takie jak routery, modemy, przeglądarki internetowe oraz wirtualne sieci prywatne (VPN). Zwykle wymagają one oceny przez stronę trzecią — jednostkę notyfikowaną — potwierdzającej zgodność z CRA, chyba że podmiot gospodarczy wykaże zgodność z odpowiednią zharmonizowaną normą cyberbezpieczeństwa lub posiada unijne świadectwo cyberbezpieczeństwa zatwierdzone przez CRA.
- Produkty ważne (Klasa II): Ta grupa obejmuje produkty o jeszcze większym znaczeniu dla infrastruktury bezpieczeństwa, takie jak zapory sieciowe, hipernadzorcy (hypervisors) i systemy wykrywania włamań. Firmy, które produkują, importują lub dystrybuują te produkty, zawsze muszą uzyskać ocenę stron trzecich wykonaną przez jednostkę notyfikowaną, aby potwierdzić zgodność z CRA.
- Produkty krytyczne: Jest to kategoria najwyższego ryzyka, obejmująca produkty takie jak moduły bezpieczeństwa sprzętowego, karty inteligentne i bramki liczników typu smart. Podobnie jak w przypadku trzeciej kategorii, firmy uczestniczące w wprowadzaniu tych produktów na rynek UE zawsze muszą uzyskać ocenę stron trzecich przeprowadzoną przez jednostkę notyfikowaną.
Kluczowe terminy wdrożenia Cyber Resilience Act
UE wdraża CRA etapami. Przepisy będą stopniowo nabierać mocy w okresie około 15 miesięcy, od września 2026 r. do grudnia 2027 r.
11 września firmy objęte przepisami muszą zacząć raportować aktywnie wykorzystywane podatności w cyberbezpieczeństwie oraz poważne incydenty cybernetyczne. Ponieważ proces raportowania musi się rozpocząć w tym terminie, konieczne będzie wcześniejsze ustanowienie i wdrożenie wewnętrznych procedur raportowania incydentów.
Piętnaście miesięcy po wejściu w życie obowiązku raportowania firmy zaczną podlegać wszystkim pozostałym wymogom zgodności, w tym wszystkim 13 wymogom dotyczącym produktów cyfrowych i ośmiu obowiązkom dla producentów.
Jak firmy mogą zapewnić zgodność z CRA
Jednym z głównych bieżących wyzwań związanych z CRA jest brak ostatecznie przyjętych i opublikowanych zharmonizowanych norm (stan na jesień 2026 r.). Mimo tego UE konsekwentnie realizuje dwa kluczowe terminy: raportowanie podatności we wrześniu 2026 r. i wypełnienie wszystkich wymogów zgodności w grudniu 2027 r.
Stosowanie aktualnych norm cyberbezpieczeństwa
Podmioty objęte przepisami mogą zasadnie zapytać: jeśli nie ma oficjalnych zharmonizowanych norm do tych przepisów, jak mamy się przygotować? Mimo słuszności tego pytania organizacje nie są pozostawione bez narzędzi. Wiadomo, że komitet UE opracowujący normy do CRA korzysta z już ukształtowanych w branży frameworków i standardów, z których firmy mogą korzystać już teraz, pracując nad wdrożeniem wymogów nawet przy nie do końca sprecyzowanych szczegółach. Do tych standardów należą:
- IEC 62443
- ISO 30111
- ISO/IEC 27001
- IEC 62443-4-1
Opracowanie protokołu reagowania na incydenty
Jedna rzecz jest absolutnie pewna: od 11 września 2026 r. organizacje objęte przepisami będą musiały rozpocząć raportowanie aktywnie wykorzystywanych podatności oraz poważnych incydentów cyberbezpieczeństwa.
W związku z tym firmy muszą mieć przygotowany proces raportowania incydentów na długo przed tą datą, aby skutecznie spełnić wymagania Cyber Resilience Act. Częścią tego obowiązku jest utworzenie zespołu ds. reagowania na incydenty produktowe (PSIRT), który odpowiada za reagowanie na incydenty, szybkie wykrywanie podatności, ocenę poziomu ryzyka oraz opracowywanie poprawek bezpieczeństwa wdrażanych dla wszystkich użytkowników.
Firma powinna już teraz tworzyć profesjonalne zespoły, narzędzia cyfrowe, procesy oraz dokumentację wymaganą przez te przepisy.
Skrupulatna dokumentacja każdego kroku
Po wejściu w życie wszystkich wymogów CRA w grudniu 2027 r. podmioty objęte przepisami będą musiały sporządzić obszerną dokumentację niezbędną do oceny zgodności (niezależnie od tego, czy ocena odbywa się wewnętrznie, czy przez jednostkę notyfikowaną). Dokumentacja ta musi zawierać zestawienie materiałowe, ocenę ryzyka cyberbezpieczeństwa, decyzje projektowe podejmowane pod kątem wymogów bezpieczeństwa oraz wyjaśnienie zastosowanych norm — i inne elementy.
Firmy nie muszą czekać na ostateczne wersje zharmonizowanych norm do CRA, aby zacząć przygotowywać wszystkie wymagane informacje. Już teraz można kompletować całą niezbędną dokumentację zgodnie z dyrektywą.
