Formalnie rozporządzenie (UE) 2024/2847 ma zastosowanie tam, gdzie zamierzony cel produktu lub racjonalnie przewidywalne użycie obejmuje bezpośrednie lub pośrednie, logiczne lub fizyczne połączenie danych z urządzeniem lub siecią. Produkt obejmuje zdalne rozwiązanie przetwarzania danych tylko wtedy, gdy to oprogramowanie jest projektowane i rozwijane przez producenta lub pod jego odpowiedzialnością i produkt nie wykonywałby jednej ze swoich funkcji bez niego. Ogólny zakres podlega wyłączeniom z art. 2 i możliwym ograniczeniom sektorowym, w tym określonym wyrobom medycznym i diagnostyki in vitro, regulowanym pojazdom silnikowym, certyfikowanym produktom lotnictwa cywilnego, sprzętowi morskiemu, kwalifikującym się częściom zamiennych identycznym z oryginałem oraz produktom opracowanym wyłącznie dla bezpieczeństwa narodowego lub obronności albo specjalnie projektowanym do przetwarzania informacji niejawnych.
CRA wszedł w życie 10 grudnia 2024. Główne obowiązki stosują się od 11 grudnia 2027. Przepisy o notyfikacji jednostek oceniających zgodność zaczęły obowiązywać 11 czerwca 2026, a obowiązki raportowania podatności i incydentów z art. 14 stosują się od 11 września 2026. Art. 14 stosuje się też do objętych produktów wprowadzonych na rynek przed główną datą stosowania; inne wymagania zasadniczo dotyczą wcześniejszych produktów, gdy zostaną istotnie zmodyfikowane od 11 grudnia 2027. Przypadki przejściowe nadal wymagają analizy specyficznej dla produktu.
Najważniejsze punkty
Obowiązki producentaPrzeprowadzanie i dokumentowanie oceny ryzyka cyberbezpieczeństwa; projektowanie, rozwijanie i wytwarzanie produktu zgodnie z wymaganiami zasadniczymi; zarządzanie podatnościami; dostarczanie aktualizacji bezpieczeństwa i informacji dla użytkowników; utrzymywanie dokumentacji technicznej; przeprowadzanie wymaganej oceny zgodności; wspieranie obowiązków nadzoru rynku.
Bezpieczny cykl życiaWymagania adresują cechy secure-by-design i secure-by-default, ochronę przed nieautoryzowanym dostępem, poufność i integralność, redukcję powierzchni ataku, odporność, logowanie bezpieczeństwa tam, gdzie właściwe, obsługę podatności, skoordynowane ujawnianie i usuwanie w ciągu okresu wsparcia.
Okres wsparciaProducenci muszą określić i zakomunikować okres wsparcia odzwierciedlający oczekiwane użycie produktu i czynniki określone przez rozporządzenie. Okres musi zasadniczo wynosić co najmniej pięć lat; gdy produkt ma być używany krócej niż pięć lat, może odpowiadać temu krótszemu okresowi oczekiwanego użycia. Każda aktualizacja bezpieczeństwa udostępniona w okresie wsparcia musi pozostawać dostępna po wydaniu przez co najmniej dziesięć lat lub do końca okresu wsparcia, w zależności od tego, co dłuższe.
ZgodnośćWiele produktów może korzystać z procedur kontroli wewnętrznej, podczas gdy produkty zaklasyfikowane jako ważne lub krytyczne mogą wymagać ściślejszych procedur lub oceny przez stronę trzecią — zależnie od kategorii, standardów, certyfikacji i mającej zastosowanie ścieżki zgodności. Znak CE komunikuje zgodność z mającymi zastosowanie wymaganiami UE; nie jest obietnicą, że podatności nigdy nie będą istnieć.
Role łańcucha dostawImporterzy i dystrybutorzy mają własne obowiązki, w tym kontrole przed wprowadzeniem lub udostępnieniem produktów na rynku oraz działanie, gdy uważają produkt za niezgodny. Importer lub dystrybutor wprowadzający produkt pod własną nazwą lub znakiem towarowym albo dokonujący istotnej modyfikacji jest uważany za producenta i podlega obowiązkom producenta.
Raportowanie od 11 września 2026Producenci muszą raportować aktywnie wykorzystywane podatności i poważne incydenty bezpieczeństwa przez Jednolitą Platformę Raportową CRA. Oba procesy zaczynają się od wczesnego ostrzeżenia w ciągu 24 godzin i pełniejszego zgłoszenia w ciągu 72 godzin. Raport końcowy jest wymagany nie później niż 14 dni po udostępnieniu środka korygującego lub łagodzącego dla aktywnie wykorzystywanej podatności albo w ciągu miesiąca po zgłoszeniu 72-godzinnym dla poważnego incydentu.
Istotne ograniczenieZakres, klasyfikacja, ścieżki zgodności, raportowanie i daty przejściowe CRA zależą od produktu, roli podmiotu gospodarczego i faktów. Znak CE i ocena zgodności nie dowodzą, że produkt jest wolny od podatności, a decyzje o publikacji wymagają wykwalifikowanego przeglądu prawnego.