# Czym jest Cyber Resilience Act (CRA)? > Cyber Resilience Act (CRA — akt o cyberodporności) to rozporządzenie Unii Europejskiej ustanawiające poziome wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi wprowadzanych na rynek UE. - Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/cyber-resilience-act/ - Wydawca: Yellow Cube - Język: pl - Kontakt: hello@yellowcube.eu ## Treść Formalnie rozporządzenie (UE) 2024/2847 ma zastosowanie tam, gdzie zamierzony cel produktu lub racjonalnie przewidywalne użycie obejmuje bezpośrednie lub pośrednie, logiczne lub fizyczne połączenie danych z urządzeniem lub siecią. Produkt obejmuje zdalne rozwiązanie przetwarzania danych tylko wtedy, gdy to oprogramowanie jest projektowane i rozwijane przez producenta lub pod jego odpowiedzialnością i produkt nie wykonywałby jednej ze swoich funkcji bez niego. Ogólny zakres podlega wyłączeniom z art. 2 i możliwym ograniczeniom sektorowym, w tym określonym wyrobom medycznym i diagnostyki in vitro, regulowanym pojazdom silnikowym, certyfikowanym produktom lotnictwa cywilnego, sprzętowi morskiemu, kwalifikującym się częściom zamiennych identycznym z oryginałem oraz produktom opracowanym wyłącznie dla bezpieczeństwa narodowego lub obronności albo specjalnie projektowanym do przetwarzania informacji niejawnych. CRA wszedł w życie 10 grudnia 2024. Główne obowiązki stosują się od **11 grudnia 2027**. Przepisy o notyfikacji jednostek oceniających zgodność zaczęły obowiązywać 11 czerwca 2026, a obowiązki raportowania podatności i incydentów z art. 14 stosują się od **11 września 2026**. Art. 14 stosuje się też do objętych produktów wprowadzonych na rynek przed główną datą stosowania; inne wymagania zasadniczo dotyczą wcześniejszych produktów, gdy zostaną istotnie zmodyfikowane od 11 grudnia 2027. Przypadki przejściowe nadal wymagają analizy specyficznej dla produktu. ### Najważniejsze punkty - **Obowiązki producenta:** Przeprowadzanie i dokumentowanie oceny ryzyka cyberbezpieczeństwa; projektowanie, rozwijanie i wytwarzanie produktu zgodnie z wymaganiami zasadniczymi; zarządzanie podatnościami; dostarczanie aktualizacji bezpieczeństwa i informacji dla użytkowników; utrzymywanie dokumentacji technicznej; przeprowadzanie wymaganej oceny zgodności; wspieranie obowiązków nadzoru rynku. - **Bezpieczny cykl życia:** Wymagania adresują cechy secure-by-design i secure-by-default, ochronę przed nieautoryzowanym dostępem, poufność i integralność, redukcję powierzchni ataku, odporność, logowanie bezpieczeństwa tam, gdzie właściwe, obsługę podatności, skoordynowane ujawnianie i usuwanie w ciągu okresu wsparcia. - **Okres wsparcia:** Producenci muszą określić i zakomunikować okres wsparcia odzwierciedlający oczekiwane użycie produktu i czynniki określone przez rozporządzenie. Okres musi zasadniczo wynosić co najmniej pięć lat; gdy produkt ma być używany krócej niż pięć lat, może odpowiadać temu krótszemu okresowi oczekiwanego użycia. Każda aktualizacja bezpieczeństwa udostępniona w okresie wsparcia musi pozostawać dostępna po wydaniu przez co najmniej dziesięć lat lub do końca okresu wsparcia, w zależności od tego, co dłuższe. - **Zgodność:** Wiele produktów może korzystać z procedur kontroli wewnętrznej, podczas gdy produkty zaklasyfikowane jako ważne lub krytyczne mogą wymagać ściślejszych procedur lub oceny przez stronę trzecią — zależnie od kategorii, standardów, certyfikacji i mającej zastosowanie ścieżki zgodności. Znak CE komunikuje zgodność z mającymi zastosowanie wymaganiami UE; nie jest obietnicą, że podatności nigdy nie będą istnieć. - **Role łańcucha dostaw:** Importerzy i dystrybutorzy mają własne obowiązki, w tym kontrole przed wprowadzeniem lub udostępnieniem produktów na rynku oraz działanie, gdy uważają produkt za niezgodny. Importer lub dystrybutor wprowadzający produkt pod własną nazwą lub znakiem towarowym albo dokonujący istotnej modyfikacji jest uważany za producenta i podlega obowiązkom producenta. - **Raportowanie od 11 września 2026:** Producenci muszą raportować aktywnie wykorzystywane podatności i poważne incydenty bezpieczeństwa przez Jednolitą Platformę Raportową CRA. Oba procesy zaczynają się od wczesnego ostrzeżenia w ciągu 24 godzin i pełniejszego zgłoszenia w ciągu 72 godzin. Raport końcowy jest wymagany nie później niż 14 dni po udostępnieniu środka korygującego lub łagodzącego dla aktywnie wykorzystywanej podatności albo w ciągu miesiąca po zgłoszeniu 72-godzinnym dla poważnego incydentu. - **Istotne ograniczenie:** Zakres, klasyfikacja, ścieżki zgodności, raportowanie i daty przejściowe CRA zależą od produktu, roli podmiotu gospodarczego i faktów. Znak CE i ocena zgodności nie dowodzą, że produkt jest wolny od podatności, a decyzje o publikacji wymagają wykwalifikowanego przeglądu prawnego. ### Powiązane terminy [Secure by design]() · [Skoordynowane ujawnianie podatności (CVD)]() · [Wykaz komponentów oprogramowania (SBOM)]() · [Dyrektywa NIS2]() ### Źródła [EUR-Lex: Regulation (EU) 2024/2847, especially Articles 2, 13–16, 43, and 68–71](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) · [European Commission: Cyber Resilience Act](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act) · [European Commission: CRA Reporting Obligations](https://digital-strategy.ec.europa.eu/en/policies/cra-reporting) ## Budujmy skuteczniejszą cyberobronę razem Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów. [Skontaktuj się z Yellow Cube]() ## Źródło i zakres informacji Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.