Cyber Resilience Act: które polskie firmy muszą działać od zaraz?

Czym jest Cyber Resilience Act i dlaczego budzi kontrowersje?

Cyber Resilience Act, czyli unijne rozporządzenie o odporności cyfrowej, to prawo, które od końca 2024 roku stopniowo wchodzi w życie. Jego cel brzmi szlachetnie: sprawić, by sprzęt i oprogramowanie były bezpieczne od samego początku, a nie dopiero po ataku. W praktyce oznacza to, że producenci, importerzy i dystrybutorzy produktów z elementami cyfrowymi muszą wziąć na siebie odpowiedzialność za luki w zabezpieczeniach przez cały cykl życia urządzenia.

Brzmi prosto. Tylko że diabeł tkwi w szczegółach. Kontrowersje budzi przede wszystkim zakres obowiązków. Zgodnie z rozporządzeniem, przepisy obejmują niemal wszystko, co ma połączenie z internetem: od inteligentnych żarówek, przez routery, po zaawansowane systemy automatyki przemysłowej. Producenci będą musieli nie tylko łatkować dziury, ale też udostępniać aktualizacje bezpieczeństwa przez określony czas, często kilka lat. A co jeśli się okaże, że aktualizacja skraca żywotność baterii albo spowalnia sprzęt?

Wiele firm w Polsce dopiero teraz orientuje się, że ich "zwykły" produkt z diodą LED i aplikacją mobilną to w oczach urzędników pełnoprawny produkt cyfrowy. Brak stosownej dokumentacji, testów i planu aktualizacji może oznaczać zakaz sprzedaży. Moim zdaniem to akurat działa lepiej niż dotychczasowe, dobrowolne standardy, ponieważ wymusza realne procedury zamiast polegać na dobrej woli pojedynczych programistów, którzy często nie mają wpływu na decyzje budżetowe. Nie oznacza to, że prawo jest idealne. Nie każda firma jest gotowa na koszty związane z audytami, które potrafią pochłonąć spory budżet. Diabeł tkwi w szczegółach, a tych w CRA jest naprawdę sporo.

Kogo dokładnie dotyczy CRA? Praktyczny podział firm w Polsce

Rozporządzenie o cyberodporności, bo tak należy tłumaczyć skrót CRA, to unijny akt prawny, który wchodzi w życie etapami. Nie obejmuje wszystkich przedsiębiorców równo i od razu. Większość małych firm może odetchnąć, przynajmniej na jakiś czas. Te największe muszą działać już teraz.

Kluczowy jest podział na kategorie. Urządzenia z elementami cyfrowymi, od smartwatchy po przemysłowe sterowniki, traktowane są różnie w zależności od tego, jakie ryzyko niosą dla użytkowników. Im większe potencjalne zagrożenie, tym krótszy termin na dostosowanie się.

Moim zdaniem polskie firmy produkujące elektronikę użytkową powinny zacząć przygotowania teraz, nie czekać na oficjalne terminy. Powód jest prosty: proces certyfikacji potrafi trwać miesiącami, a kolejki w jednostkach notyfikowanych będą rosły. Diabeł tkwi w szczegółach, a dokumentacja techniczna to nie jest coś, co zrobisz w tydzień.

Każda firma, która sprzedaje swoje produkty na terenie Unii Europejskiej, musi zweryfikować swoją pozycję. Częsty scenariusz wygląda tak: importer sprowadza gotowe urządzenia z Chin, myśli, że go to nie dotyczy. To błąd. Odpowiedzialność spada na pierwszego dystrybutora na rynku unijnym. Brak dostosowania się do przepisów oznacza zakaz sprzedaży. Koniec historii.

Terminy i kary: co się stanie, jeśli nie zdążysz?

Cyber Resilience Act to nie jest kolejna unijna dyrektywa, którą można odłożyć na półkę. Ustawodawca wprost wskazuje, które podmioty muszą zacząć działać w pierwszej kolejności. Mylne jest założenie, że przepisy obejmą wyłącznie gigantów technologicznych. Spore znaczenie mają tu także mniejsze firmy produkcyjne, które dostarczają komponenty z elementami cyfrowymi. Jeśli twoja firma sprzedaje w UE jakiekolwiek urządzenia z oprogramowaniem, lepiej sprawdź, czy jesteś w grupie podwyższonego ryzyka.

Obowiązki są rozłożone w czasie, a ustawodawca przewidział okresy przejściowe. Kluczowe terminy zależą od kategorii produktu i wielkości przedsiębiorstwa. Diabeł tkwi w szczegółach, bo część przepisów zacznie obowiązywać szybciej, niż się spodziewasz. Dla urządzeń z kategorii wyższego ryzyka terminy są krótsze. Dla pozostałych, producenci mają nieco więcej czasu na dostosowanie procesów. Brzmi prosto? Tylko że w praktyce wdrożenie wymaga zmian w całym cyklu życia produktu, od projektowania po aktualizacje bezpieczeństwa.

Kary za brak dostosowania potrafią zaboleć. Wysokość sankcji bywa uzależniona od skali naruszenia i obrotu firmy. W skrajnych przypadkach mówi się o kwotach sięgających milionów euro albo procentach globalnego przychodu. To nie czarna magia, ale zwykła kalkulacja ryzyka. Koszt wdrożenia zabezpieczeń zwykle bywa niższy niż potencjalna kara, nie wspominając o utracie zaufania klientów. Weryfikacja statusu firmy to pierwszy krok. Audyt produktów pod kątem wymogów to drugi. Plan wdrożenia to absolutna podstawa.

Wyobraź sobie sytuację, w której producent prostego czujnika temperatury odkrywa, że jego produkt podlega nowym regulacjom. Czasu ma mało, a procedury certyfikacji są czasochłonne. Wtedy każdy miesiąc zwłoki realnie przybliża go do ryzyka sankcji. Moim zdaniem lepszym wyborem bywa wcześniejsze wdrożenie nawet części wymogów niż czekanie na ostateczne terminy, ponieważ pozwala to rozłożyć koszty i uniknąć chaosu na ostatnią chwilę. Przepisy wciąż się doprecyzowują, więc warto śledzić oficjalne komunikaty Komisji Europejskiej. W razie wątpliwości, konsultacja z prawnikiem specjalizującym się w prawie nowych technologii to rozsądny wydatek.

Jak przygotować firmę do CRA bez paniki i przepłacania?

Nowe obowiązki wynikające z unijnego rozporządzenia o odporności cybernetycznej (Cyber Resilience Act) wchodzą w życie etapami. Część firm już teraz powinna sprawdzić, czy ich produkty i usługi cyfrowe mieszczą się w zakresie regulacji. Diabeł tkwi w szczegółach, bo wiele polskich przedsiębiorstw dopiero teraz orientuje się, że przepisy dotyczą również nich, nie tylko gigantów technologicznych.

Zanim zaczniesz wydawać pieniądze na drogie audyty i konsultantów, zrób prosty przegląd własnych zasobów. Sprawdź, czy tworzysz oprogramowanie, sprzęt z elementami cyfrowymi albo komponenty do takich rozwiązań. Jeśli tak, twoja firma prawdopodobnie podlega CRA. Kluczowe znaczenie ma tu właściwa klasyfikacja produktu, a tę warto zweryfikować w aktualnych wytycznych Komisji Europejskiej. Mylne założenie, że „nas to nie dotyczy”, potrafi słono kosztować.

Moim zdaniem lepszym wyborem bywa wdrożenie podstawowych procedur bezpieczeństwa we własnym zakresie niż natychmiastowe zatrudnianie zewnętrznych ekspertów. Powód jest prosty: CRA wymaga przede wszystkim udokumentowania procesów, analizy ryzyka i planu reagowania na incydenty. To często praca organizacyjna, a nie zakup drogich narzędzi.

Typowy scenariusz wygląda tak: firma produkuje prostą aplikację mobilną dla klientów biznesowych. Zamiast panikować, zaczyna od spisania, jakie dane przetwarza, kto ma do nich dostęp i co się dzieje w razie awarii. Taki dokument to podstawa, o którą później opierają się bardziej zaawansowane wymagania. Brzmi prosto. Tylko że większość firm nie ma nawet tego.

Nie daj się zwariować marketingowi firm, które obiecują pełne dostosowanie do CRA w tydzień. To nie czarna magia, ale konkretna praca z dokumentacją i procesami. Większość obowiązków da się wdrożyć stopniowo, a kary za nieprzestrzeganie przepisów zaczną być realnie egzekwowane dopiero po pełnym okresie przejściowym. Spokojna, metodyczna analiza własnych produktów i uzupełnienie ewidentnych braków to na dziś najrozsądniejsza strategia.

Najczęściej zadawane pytania (FAQ)

Czy moja firma musi wdrożyć wymogi Cyber Resilience Act od zaraz? To zależy od wielkości i profilu działalności. Duże podmioty oraz producenci kluczowych komponentów mają najkrótszy czas na dostosowanie się. Mniejsze firmy często dostają więcej czasu, ale to nie znaczy, że mogą zwlekać. Przygotowania warto zacząć już teraz, bo proces certyfikacji i testów potrafi trwać miesiącami.

Jakie kary przewiduje rozporządzenie?

Grzywny bywają dotkliwe i potrafią sięgać nawet kilku procent globalnego obrotu rocznego. Wysokość zależy od wagi naruszenia. Mylne założenie? Wiele firm sądzi, że sankcje dotyczą tylko gigantów technologicznych. Nic bardziej mylnego. Uderzyć mogą także w średnie przedsiębiorstwa produkujące oprogramowanie na zamówienie więcej na ten temat znajdziesz w naszym przewodniku: "Cyberbezpieczeństwo w Polsce: co grozi firmom i zwykłym ludziom".

Warto pamiętać o jednym: Cyber Resilience Act to nie tylko nowe obowiązki dla producentów, ale też realna zmiana odpowiedzialności za cały łańcuch dostaw. Jeśli korzystasz z komponentów od podwykonawcy, również musisz zweryfikować jego zgodność z przepisami.

Typowy scenariusz wygląda tak: polska firma tworzy aplikację mobilną na zlecenie niemieckiego klienta. Kontrakt obejmuje już wymogi CRA, a audytorzy sprawdzają, czy proces aktualizacji bezpieczeństwa działa sprawnie. Kto nie ma procedur, ten szybko traci kontrakt. Moim zdaniem lepszym wyborem bywa przedwczesne wdrożenie pełnych wymogów nawet dla mniejszego produktu, bo to buduje przewagę rynkową, a nie tylko kosztuje.
Więcej o realnych zagrożeniach dla firm i obywateli znajdziesz w naszym artykule przewodnim.