Cyber Resilience Act

Rozporządzenie nie nakłada zadań na przeciętnego pracownika. Jego wpływ jest pośredni: Komisja wyjaśnia, że konsumentom i firmom trudno ocenić, które produkty są bezpieczne, i skonfigurować je prawidłowo, a CRA ma ułatwić rozpoznawanie produktów z odpowiednimi funkcjami cyberbezpieczeństwa¹.

Warto wybierać urządzenia i oprogramowanie zatwierdzone przez firmę, a nie produkt połączony z siecią kupiony lub zainstalowany na własną rękę. Należy przyjmować proponowane aktualizacje, ponieważ brak aktualizacji w odpowiednim czasie należy do problemów, które tekst ma naprawić¹. Zgłoszenie do działu IT produktu, który nie otrzymuje już poprawek, pozostaje radą zdroworozsądkową, a nie obowiązkiem wynikającym z rozporządzenia. Obowiązki zgłoszeniowe CRA dotyczą producentów¹.

W zakupach produkty będą nosić oznakowanie CE¹: zarząd będzie mógł uczynić z niego kryterium kontroli w miarę stosowania tekstu. Może też pytać dostawców, jak zarządzają lukami w zabezpieczeniach przez cały okres życia produktu, ponieważ rozporządzenie wymaga tego od producentów¹.

Cytowane tu źródła nie opisują szczegółowo ról producenta, importera i dystrybutora. Zarząd, który ma w tej sprawie wątpliwości, powinien sięgnąć do tekstu prawnego i do praktycznego przewodnika opublikowanego przez Komisję 27 lipca 2026 r., przeznaczonego dla producentów, programistów i firm każdej wielkości¹.

Amerykańskie wytyczne opisują ten sam kierunek zmian i mogą posłużyć jako punkt odniesienia w rozmowie z dostawcą. Po stronie nabywcy CISA publikuje przewodnik „Secure by Demand”, przeznaczony dla każdego klienta oprogramowania w rozmowach zakupowych z resellerami lub usługodawcami². CISA oczekuje, że produkty będą bezpieczne zaraz po wyjęciu z pudełka, a uwierzytelnianie wieloskładnikowe, rejestrowanie zdarzeń i jednokrotne logowanie będą dostępne bez dodatkowych opłat².

Ramy SSDF instytutu NIST to zbiór praktyk bezpiecznego tworzenia oprogramowania. Dają wspólny język, dzięki któremu producenci oprogramowania i jego nabywcy lepiej się rozumieją przy zakupach³. Praktyki te są podzielone na cztery grupy: przygotowanie organizacji, ochrona oprogramowania, tworzenie dobrze zabezpieczonego oprogramowania i reagowanie na luki³. NIST zaznacza, że te ramy nie są listą kontrolną do odhaczania³.

CRA nakłada na producentów obowiązkowe wymogi cyberbezpieczeństwa, od planowania do utrzymania produktu¹. Producenci muszą zajmować się lukami w zabezpieczeniach przez cały cykl życia swoich produktów¹. Dla niektórych produktów może być wymagana ocena przeprowadzona przez jednostkę notyfikowaną¹.

Oznakowanie CE będzie potwierdzać zgodność¹. Krajowe organy nadzoru rynku będą egzekwować przepisy¹. CRA opiera się na unijnej strategii cyberbezpieczeństwa z 2020 r. i na strategii unii bezpieczeństwa oraz uzupełnia dyrektywę NIS2¹.

Komisja prowadzi osobne strony poświęcone producentom, państwom członkowskim, ocenie zgodności, mikroprzedsiębiorstwom i MŚP, oprogramowaniu open source, normalizacji i obowiązkom zgłoszeniowym¹. Nie zostały one przeczytane na potrzeby tej fiszki.

• 10 grudnia 2024 r.: wejście rozporządzenia w życie¹.
• 27 lipca 2026 r.: publikacja przez Komisję praktycznego przewodnika, który ma pomóc producentom, programistom i firmom każdej wielkości w wypełnianiu obowiązków¹.
• 11 września 2026 r.: początek obowiązków zgłoszeniowych. Producenci muszą zgłaszać aktywnie wykorzystywane luki¹.
• 11 grudnia 2027 r.: zastosowanie głównych obowiązków¹.

Strona Komisji była ostatnio aktualizowana 7 września 2026 r.¹. Produkt wprowadzany dziś na rynek nie podlega więc jeszcze wszystkim głównym obowiązkom, które obowiązują dopiero od grudnia 2027 r.¹.

CISA i 17 amerykańskich oraz międzynarodowych partnerów opublikowało aktualizację zasad „Secure by Design”, których pierwsze wydanie pochodzi z kwietnia 2023 r.⁴. Zasady te to: przyjęcie odpowiedzialności za wyniki bezpieczeństwa klientów, radykalna przejrzystość i odpowiedzialność oraz kierowanie od góry⁴. Są to zalecenia⁴.