--- id: CP-370 slug: cyber-resilience-act-cra-pl lang: pl title: Cyber Resilience Act description: "Rozporządzenie UE 2024/2847 nakłada wymogi cyberbezpieczeństwa na producentów produktów cyfrowych: co to zmienia dla Pana/Pani." canonical_url: https://startbrain.io/cyberpedia/pl/articles/cyber-resilience-act-cra-pl/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/cyber-resilience-act-cra-pl.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Cyber Resilience Act”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/cyber-resilience-act-cra-pl/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-035 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/cyber-resilience-act-cra-pl/ fr: https://startbrain.io/cyberpedia/fr/articles/cyber-resilience-act-cra/ en: https://startbrain.io/cyberpedia/en/articles/cyber-resilience-act-cra-explained/ de: https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de/ es: https://startbrain.io/cyberpedia/es/articles/reglamento-ciberresiliencia-cra/ it: https://startbrain.io/cyberpedia/it/articles/regolamento-cyber-resilience-act-cra/ nl: https://startbrain.io/cyberpedia/nl/articles/cyber-resilience-act-cra-nl/ pt: https://startbrain.io/cyberpedia/pt/articles/regulamento-ciberresiliencia-cra-pt/ sources: - "n": 1 title: Cyber Resilience Act publisher: Commission européenne url: https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act published: "2026-09-07" accessed: "2026-11-03" - "n": 2 title: Secure by Design | CISA publisher: CISA url: https://www.cisa.gov/securebydesign accessed: "2026-11-03" - "n": 3 title: Secure Software Development Framework | CSRC publisher: NIST url: https://csrc.nist.gov/projects/ssdf published: "2026-10-06" accessed: "2026-11-03" - "n": 4 title: Secure-by-Design | CISA publisher: CISA url: https://www.cisa.gov/resources-tools/resources/secure-by-design published: "2023-10-25" accessed: "2026-11-03" --- # Cyber Resilience Act Smartwatch, elektroniczna niania, aplikacja czy program biurowy: każdy z tych produktów może wiązać się z ryzykiem dla bezpieczeństwa, którego użytkownicy nie widzą wyraźnie. Cyber Resilience Act (CRA), czyli rozporządzenie (UE) 2024/2847, ma sprawić, by urządzenia i oprogramowanie były projektowane, aktualizowane i utrzymywane w sposób chroniący osoby, które z nich korzystają [1]. Tekst jest skierowany przede wszystkim do producentów. Mimo to to, co muszą oni zrobić, wpływa na to, co firma może kupić, jak może porównywać dostawców i czego może od nich wymagać. ## W 30 sekund - Gdzie to występuje: w produktach z elementami cyfrowymi, zarówno sprzęcie, jak i oprogramowaniu [1]. - Czego chce tekst: ograniczyć niski poziom cyberbezpieczeństwa wielu produktów i brak aktualizacji bezpieczeństwa w odpowiednim czasie [1]. - Odruch: przed zakupem lub instalacją produktu połączonego z siecią zapytać dostawcę, jak postępuje z lukami i aktualizacjami. Oznakowanie CE na podstawie CRA pojawi się później, a główne obowiązki zaczną obowiązywać od 11 grudnia 2027 r. [1]. - Jeśli to już się stało: produkt, którego producent nie odpowiada w sprawie aktualizacji, należy przed jakimkolwiek użyciem zgłosić do działu IT lub zakupów. ## Pytania wprost ### Czym jest Cyber Resilience Act? To rozporządzenie europejskie, które ustanawia obowiązkowe wymogi cyberbezpieczeństwa dla producentów produktów z elementami cyfrowymi. Obejmuje planowanie, projektowanie, tworzenie i utrzymanie tych produktów [1]. ### Kogo to dotyczy? Rozporządzenie chroni konsumentów i firmy, które kupują oprogramowanie lub sprzęt z elementami cyfrowymi [1]. Obowiązki spoczywają na producentach i trzeba je spełniać na każdym etapie łańcucha wartości [1]. Strona Komisji wskazuje też, że odpowiedzialność za bezpieczeństwo ponoszą producenci znajdujący się w całym łańcuchu dostaw [1]. ### Po czym poznać produkt zgodny z przepisami? Produkty będą nosić oznakowanie CE, które wskazuje, że spełniają wymogi rozporządzenia [1]. Krajowe organy nadzoru rynku będą czuwać nad stosowaniem przepisów [1]. ### Czy rozporządzenie już obowiązuje? Weszło w życie 10 grudnia 2024 r. [1]. Obowiązki zgłoszeniowe mają zastosowanie od 11 września 2026 r., a główne obowiązki od 11 grudnia 2027 r. [1]. ### Czy produkt wysokiego ryzyka musi być sprawdzony przez stronę trzecią? Niektóre produkty o szczególnym znaczeniu dla cyberbezpieczeństwa mogą musieć przejść ocenę przeprowadzoną przez jednostkę notyfikowaną, czyli stronę trzecią, zanim zostaną sprzedane na rynku Unii [1]. ## Co się zmienia dla pracowników Rozporządzenie nie nakłada zadań na przeciętnego pracownika. Jego wpływ jest pośredni: Komisja wyjaśnia, że konsumentom i firmom trudno ocenić, które produkty są bezpieczne, i skonfigurować je prawidłowo, a CRA ma ułatwić rozpoznawanie produktów z odpowiednimi funkcjami cyberbezpieczeństwa [1]. Warto wybierać urządzenia i oprogramowanie zatwierdzone przez firmę, a nie produkt połączony z siecią kupiony lub zainstalowany na własną rękę. Należy przyjmować proponowane aktualizacje, ponieważ brak aktualizacji w odpowiednim czasie należy do problemów, które tekst ma naprawić [1]. Zgłoszenie do działu IT produktu, który nie otrzymuje już poprawek, pozostaje radą zdroworozsądkową, a nie obowiązkiem wynikającym z rozporządzenia. Obowiązki zgłoszeniowe CRA dotyczą producentów [1]. ## Co się zmienia dla zarządu W zakupach produkty będą nosić oznakowanie CE [1]: zarząd będzie mógł uczynić z niego kryterium kontroli w miarę stosowania tekstu. Może też pytać dostawców, jak zarządzają lukami w zabezpieczeniach przez cały okres życia produktu, ponieważ rozporządzenie wymaga tego od producentów [1]. Cytowane tu źródła nie opisują szczegółowo ról producenta, importera i dystrybutora. Zarząd, który ma w tej sprawie wątpliwości, powinien sięgnąć do tekstu prawnego i do praktycznego przewodnika opublikowanego przez Komisję 27 lipca 2026 r., przeznaczonego dla producentów, programistów i firm każdej wielkości [1]. Amerykańskie wytyczne opisują ten sam kierunek zmian i mogą posłużyć jako punkt odniesienia w rozmowie z dostawcą. Po stronie nabywcy CISA publikuje przewodnik „Secure by Demand”, przeznaczony dla każdego klienta oprogramowania w rozmowach zakupowych z resellerami lub usługodawcami [2]. CISA oczekuje, że produkty będą bezpieczne zaraz po wyjęciu z pudełka, a uwierzytelnianie wieloskładnikowe, rejestrowanie zdarzeń i jednokrotne logowanie będą dostępne bez dodatkowych opłat [2]. Ramy SSDF instytutu NIST to zbiór praktyk bezpiecznego tworzenia oprogramowania. Dają wspólny język, dzięki któremu producenci oprogramowania i jego nabywcy lepiej się rozumieją przy zakupach [3]. Praktyki te są podzielone na cztery grupy: przygotowanie organizacji, ochrona oprogramowania, tworzenie dobrze zabezpieczonego oprogramowania i reagowanie na luki [3]. NIST zaznacza, że te ramy nie są listą kontrolną do odhaczania [3]. ## Co mówi tekst CRA nakłada na producentów obowiązkowe wymogi cyberbezpieczeństwa, od planowania do utrzymania produktu [1]. Producenci muszą zajmować się lukami w zabezpieczeniach przez cały cykl życia swoich produktów [1]. Dla niektórych produktów może być wymagana ocena przeprowadzona przez jednostkę notyfikowaną [1]. Oznakowanie CE będzie potwierdzać zgodność [1]. Krajowe organy nadzoru rynku będą egzekwować przepisy [1]. CRA opiera się na unijnej strategii cyberbezpieczeństwa z 2020 r. i na strategii unii bezpieczeństwa oraz uzupełnia dyrektywę NIS2 [1]. Komisja prowadzi osobne strony poświęcone producentom, państwom członkowskim, ocenie zgodności, mikroprzedsiębiorstwom i MŚP, oprogramowaniu open source, normalizacji i obowiązkom zgłoszeniowym [1]. Nie zostały one przeczytane na potrzeby tej fiszki. ## Stan wdrożenia - 10 grudnia 2024 r.: wejście rozporządzenia w życie [1]. - 27 lipca 2026 r.: publikacja przez Komisję praktycznego przewodnika, który ma pomóc producentom, programistom i firmom każdej wielkości w wypełnianiu obowiązków [1]. - 11 września 2026 r.: początek obowiązków zgłoszeniowych. Producenci muszą zgłaszać aktywnie wykorzystywane luki [1]. - 11 grudnia 2027 r.: zastosowanie głównych obowiązków [1]. Strona Komisji była ostatnio aktualizowana 7 września 2026 r. [1]. Produkt wprowadzany dziś na rynek nie podlega więc jeszcze wszystkim głównym obowiązkom, które obowiązują dopiero od grudnia 2027 r. [1]. CISA i 17 amerykańskich oraz międzynarodowych partnerów opublikowało aktualizację zasad „Secure by Design”, których pierwsze wydanie pochodzi z kwietnia 2023 r. [4]. Zasady te to: przyjęcie odpowiedzialności za wyniki bezpieczeństwa klientów, radykalna przejrzystość i odpowiedzialność oraz kierowanie od góry [4]. Są to zalecenia [4]. ## Źródła 1. Commission européenne, „Cyber Resilience Act”, 7 września 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (dostęp 3 listopada 2026) 2. CISA, „Secure by Design | CISA”. https://www.cisa.gov/securebydesign (dostęp 3 listopada 2026) 3. NIST, „Secure Software Development Framework | CSRC”, 6 października 2026. https://csrc.nist.gov/projects/ssdf (dostęp 3 listopada 2026) 4. CISA, „Secure-by-Design | CISA”, 25 października 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/cyber-resilience-act-cra-pl/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.