Cyber Resilience Act — pod kontrolą.

CRA obejmuje każdy produkt z elementami cyfrowymi — sprzęt wyposażony w oprogramowanie lub oprogramowanie układowe oraz samodzielne oprogramowanie — udostępniany na rynku UE. Jeśli wprowadzasz na rynek unijny urządzenie podłączone do sieci, produkt IoT lub instalowalne oprogramowanie, jesteś objęty jego zakresem. Bezpłatny test zakresu Reglyze potwierdza to w czterech pytaniach.

Liczą się dwie daty: obowiązki zgłaszania podatności i incydentów obowiązują od 11 wrz 2026, a pełna zgodność wraz z oznakowaniem CE jest wymagana od 11 gru 2027. CRA to Rozporządzenie (UE) 2024/2847.

Moduł A to ścieżka oceny zgodności, w której producent samodzielnie ocenia produkt pod kątem wymagań zasadniczych i sam wystawia deklarację zgodności UE, bez udziału jednostki notyfikowanej. Około 90% produktów — kategoria „domyślna” — kwalifikuje się do modułu A.

Tylko w przypadku „ważnych” produktów klasy II oraz produktów „krytycznych” (Załącznik III klasa II i Załącznik IV do CRA). Produkty domyślne i większość „ważnych” produktów klasy I mogą zostać samodzielnie certyfikowane w module A, zwłaszcza gdy stosuje się normy zharmonizowane.

Załącznik VII wymienia dokumentację techniczną, którą producent musi sporządzić i udostępniać organom nadzoru rynku: opis produktu, ocenę ryzyka, dowody spełnienia wymagań zasadniczych oraz wykaz komponentów oprogramowania (SBOM). Reglyze kompletuje ją na podstawie Twojej samooceny.

To podpisane oświadczenie, że Twój produkt spełnia zasadnicze wymagania CRA w zakresie cyberbezpieczeństwa. Jest obowiązkowa przed oznakowaniem CE i wprowadzeniem produktu do obrotu. Reglyze wystawia ją, gdy spełnione zostanie każde wymaganie zasadnicze.

Załącznik III do CRA wymienia produkty „ważne” (klasy I i II), takie jak menedżery haseł, sieci VPN, zapory sieciowe i systemy operacyjne; Załącznik IV wymienia produkty „krytyczne”, takie jak bramy inteligentnych liczników i elementy bezpieczne. Wszystko, czego nie wymieniono, należy do kategorii „domyślnej” i podlega samocertyfikacji w module A.

Naruszenia zasadniczych wymagań w zakresie cyberbezpieczeństwa oraz podstawowych obowiązków producenta mogą być zagrożone karą do 15 mln € lub 2,5% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa, a także możliwymi nakazami wycofania z rynku. Niższe progi mają zastosowanie do innych naruszeń.

NIS2 reguluje cyberbezpieczeństwo organizacji (podmiotów kluczowych i ważnych); CRA reguluje cyberbezpieczeństwo produktów z elementami cyfrowymi wprowadzanych na rynek UE. Producent może podlegać obu — NIS2 w zakresie tego, jak działa, a CRA w zakresie tego, co dostarcza.

Tak. Samodzielne oprogramowanie jest produktem z elementami cyfrowymi. Oprogramowanie open source dostarczane w ramach działalności komercyjnej jest objęte zakresem, z łagodniejszymi obowiązkami dla niekomercyjnych opiekunów open source. Samodzielny hostowany SaaS jest zasadniczo poza zakresem CRA, chyba że jest to rozwiązanie do zdalnego przetwarzania danych stanowiące integralną część produktu.