{"id":113,"date":"2026-09-12T12:36:48","date_gmt":"2026-09-12T12:36:48","guid":{"rendered":"https:\/\/inneprzestrzenie.com\/blog\/?p=113"},"modified":"2026-09-12T13:01:18","modified_gmt":"2026-09-12T13:01:18","slug":"cra-masz-24-godziny-na-zgloszenie-nowe-obowiazki-firm-od-11-wrzesnia","status":"publish","type":"post","link":"https:\/\/inneprzestrzenie.com\/blog\/cra-masz-24-godziny-na-zgloszenie-nowe-obowiazki-firm-od-11-wrzesnia\/","title":{"rendered":"CRA: masz 24 godziny na zg\u0142oszenie. Nowe obowi\u0105zki firm od 11 wrze\u015bnia"},"content":{"rendered":"\n

Od 11 wrze\u015bnia 2026 dzia\u0142a unijna platforma, na kt\u00f3r\u0105 producenci sprz\u0119tu i oprogramowania musz\u0105 zg\u0142asza\u0107 aktywnie wykorzystywane luki w swoich produktach. Pierwsze powiadomienie trzeba wys\u0142a\u0107 w ci\u0105gu doby. To pierwszy termin z Cyber Resilience Act, kt\u00f3ry realnie zmienia codzienn\u0105 prac\u0119 firm technologicznych \u2013 reszta przepis\u00f3w zacznie obowi\u0105zywa\u0107 dopiero w grudniu 2027 roku.<\/p>\n\n\n\n

Czym jest CRA<\/h2>\n\n\n\n

Cyber Resilience Act to rozporz\u0105dzenie Parlamentu Europejskiego i Rady (UE) 2024\/2847. Nie dyrektywa \u2013 rozporz\u0105dzenie, czyli obowi\u0105zuje bezpo\u015brednio, bez ustawy wdra\u017caj\u0105cej. Wesz\u0142o w \u017cycie 10 grudnia 2024 roku, pe\u0142ne stosowanie przypada na 11 grudnia 2027. Obowi\u0105zki raportowe z artyku\u0142u 14 wyprzedzi\u0142y ten termin o pi\u0119tna\u015bcie miesi\u0119cy, bo Komisja uzna\u0142a, \u017ce informacja o wykorzystywanych lukach nie mo\u017ce czeka\u0107.<\/p>\n\n\n\n

Przepis dotyczy produkt\u00f3w z elementami cyfrowymi. Brzmi abstrakcyjnie, ale w praktyce oznacza wszystko, co ma procesor albo oprogramowanie i trafia na rynek unijny: routery, kamery, sterowniki, zabawki z Bluetooth, aplikacje mobilne, systemy wbudowane, oprogramowanie sprzedawane pude\u0142kowo i w subskrypcji.<\/p>\n\n\n\n

Co trzeba zg\u0142asza\u0107<\/h2>\n\n\n\n

Dwie kategorie zdarze\u0144.<\/p>\n\n\n\n

Pierwsza to aktywnie wykorzystywana podatno\u015b\u0107 \u2013 luka, co do kt\u00f3rej s\u0105 wiarygodne przes\u0142anki, \u017ce kto\u015b jej u\u017cy\u0142 w cudzym systemie bez zgody w\u0142a\u015bciciela. Sama informacja o b\u0142\u0119dzie nie wystarczy. Liczy si\u0119 dow\u00f3d u\u017cycia.<\/p>\n\n\n\n

Druga to powa\u017cny incydent bezpiecze\u0144stwa wp\u0142ywaj\u0105cy na produkt \u2013 zdarzenie uderzaj\u0105ce w dost\u0119pno\u015b\u0107, integralno\u015b\u0107, autentyczno\u015b\u0107 albo poufno\u015b\u0107 danych.<\/p>\n\n\n\n

Rutynowe \u0142atki, zg\u0142oszenia z bug bounty i b\u0142\u0119dy znalezione w testach nie uruchamiaj\u0105 tej procedury.<\/p>\n\n\n\n

Zegar<\/h2>\n\n\n\n

Terminy licz\u0105 si\u0119 od momentu, w kt\u00f3rym producent dowiedzia\u0142 si\u0119 o zdarzeniu.<\/p>\n\n\n\n

24 godziny<\/strong> \u2013 wczesne ostrze\u017cenie. Kr\u00f3tka informacja, \u017ce co\u015b si\u0119 dzieje, bez pe\u0142nej analizy.<\/p>\n\n\n\n

72 godziny<\/strong> \u2013 pe\u0142ne zg\u0142oszenie z opisem podatno\u015bci lub incydentu, stanem wiedzy i podj\u0119tymi dzia\u0142aniami. Uwaga praktyczna: ten licznik biegnie od wys\u0142ania pierwszego powiadomienia, nie od momentu wykrycia.<\/p>\n\n\n\n

Raport ko\u0144cowy<\/strong> \u2013 14 dni od udost\u0119pnienia poprawki w przypadku podatno\u015bci, miesi\u0105c od zg\u0142oszenia 72-godzinnego w przypadku incydentu.<\/p>\n\n\n\n

Zg\u0142oszenie idzie na platform\u0119 ENISA (Single Reporting Platform) i r\u00f3wnolegle do krajowego zespo\u0142u CSIRT w\u0142a\u015bciwego dla siedziby producenta w Unii. Na starcie nie ma API, jest formularz webowy. Nie ma te\u017c jeszcze mechanizmu zg\u0142osze\u0144 dobrowolnych z artyku\u0142u 15.<\/p>\n\n\n\n

Do tego artyku\u0142 14 ust\u0119p 8: producent musi bez zb\u0119dnej zw\u0142oki poinformowa\u0107 u\u017cytkownik\u00f3w produktu o podatno\u015bci i o tym, co mog\u0105 zrobi\u0107. Je\u015bli tego nie zrobi, CSIRT mo\u017ce powiadomi\u0107 ich sam.<\/p>\n\n\n\n

Kogo to obejmuje<\/h2>\n\n\n\n

Obowi\u0105zek spoczywa na producencie, czyli podmiocie, kt\u00f3ry wprowadza produkt na rynek unijny pod w\u0142asn\u0105 nazw\u0105 lub znakiem towarowym. Firma spoza UE te\u017c podlega przepisom, je\u015bli jej produkt trafia do europejskich odbiorc\u00f3w. Warto to sprawdzi\u0107 szczeg\u00f3lnie tam, gdzie kto\u015b zamawia urz\u0105dzenia u zewn\u0119trznego dostawcy i sprzedaje je pod swoj\u0105 mark\u0105 \u2013 w \u015bwietle CRA staje si\u0119 producentem ze wszystkimi konsekwencjami.<\/p>\n\n\n\n

Istotny szczeg\u00f3\u0142, kt\u00f3ry \u0142atwo przeoczy\u0107: artyku\u0142 69 ust\u0119p 3 rozci\u0105ga obowi\u0105zek raportowy na produkty wprowadzone na rynek przed 11 grudnia 2027 roku. Sprz\u0119t sprzedany pi\u0119\u0107 lat temu i od tego czasu nietkni\u0119ty nadal jest obj\u0119ty. Producent, kt\u00f3ry nie ma ju\u017c \u015brodowiska budowania ani narz\u0119dzi do analizy starego produktu, musi zg\u0142osi\u0107 luk\u0119, cho\u0107 nie odpowiada za pozosta\u0142e wymogi CRA wobec niego.<\/p>\n\n\n\n

Osobna sprawa to SaaS. Czysta us\u0142uga chmurowa bez komponentu produktowego pozostaje poza CRA \u2013 tam obowi\u0105zuje NIS2. Ale rozwi\u0105zania zdalnego przetwarzania danych, bez kt\u00f3rych produkt nie dzia\u0142a, s\u0105 w zakresie rozporz\u0105dzenia. Aplikacja mobilna z backendem w chmurze to jeden produkt, nie us\u0142uga obok urz\u0105dzenia.<\/p>\n\n\n\n

Kary<\/h2>\n\n\n\n

Trzy poziomy, w ka\u017cdym obowi\u0105zuje kwota wy\u017csza z dw\u00f3ch podanych.<\/p>\n\n\n\n

Naruszenie zasadniczych wymaga\u0144 cyberbezpiecze\u0144stwa<\/strong> \u2013 do 15 mln euro albo 2,5 procent rocznego \u015bwiatowego obrotu.<\/p>\n\n\n\n

Naruszenie pozosta\u0142ych obowi\u0105zk\u00f3w, w tym raportowych<\/strong> \u2013 do 10 mln euro albo 2 procent obrotu.<\/p>\n\n\n\n

Podanie organom nieprawdziwych lub niepe\u0142nych informacji<\/strong> \u2013 do 5 mln euro albo 1 procent obrotu.<\/p>\n\n\n\n

Organy nadzoru maj\u0105 bra\u0107 pod uwag\u0119 charakter naruszenia, czas trwania, powtarzalno\u015b\u0107 i wielko\u015b\u0107 firmy. Mikroprzedsi\u0119biorstwa, M\u015aP i startupy s\u0105 traktowane \u0142agodniej, ale nie s\u0105 zwolnione.<\/p>\n\n\n\n

Co zrobi\u0107 teraz<\/h2>\n\n\n\n

Doba to za ma\u0142o, \u017ceby dopiero wtedy zacz\u0105\u0107 si\u0119 zastanawia\u0107, kto ma klikn\u0105\u0107 wy\u015blij.<\/p>\n\n\n\n

Za\u0142\u00f3\u017c konto EU Login z uwierzytelnianiem dwusk\u0142adnikowym i zarejestruj firm\u0119 na platformie zg\u0142oszeniowej. Ustal, kt\u00f3ry CSIRT jest w\u0142a\u015bciwy dla twojej siedziby. Wska\u017c konkretn\u0105 osob\u0119 odpowiedzialn\u0105 za zg\u0142oszenia i zast\u0119pc\u0119 na urlop i chorob\u0119. Przygotuj szablon wczesnego ostrze\u017cenia, \u017ceby pod presj\u0105 nie pisa\u0107 go od zera. Zr\u00f3b list\u0119 produkt\u00f3w i komponent\u00f3w, kt\u00f3rych u\u017cywasz, wraz z tym, sk\u0105d dowiesz si\u0119 o lukach w nich. I ustal wcze\u015bniej, kto w firmie decyduje, \u017ce dane zdarzenie jest ju\u017c aktywnie wykorzystywan\u0105 podatno\u015bci\u0105, a nie zwyk\u0142ym b\u0142\u0119dem \u2013 bo od tej decyzji rusza zegar.<\/p>\n\n\n\n

Compliance w cyberbezpiecze\u0144stwie przesta\u0142 by\u0107 projektem na przysz\u0142y rok.<\/p>\n\n\n\n

\n\n\n\n

\u0179r\u00f3d\u0142a<\/h2>\n\n\n\n