Cyber Resilience Act — co zmienia dla firm zamawiających oprogramowanie
Opublikowano: 01.10.2026 · 3 min czytania · Autor: itpoludzku.pl
Unijny akt o cyberodporności nakłada obowiązki na producentów produktów z elementami cyfrowymi. Jeśli zamawiasz aplikację, sprzedajesz urządzenie z oprogramowaniem albo masz własny system — warto wiedzieć, czy dotyczy Cię jako producenta, czy tylko jako klienta.
W skrócie
- CRA weszło w życie w grudniu 2024; główne obowiązki zaczną obowiązywać w grudniu 2027.
- Od 11 września 2026 producenci muszą zgłaszać aktywnie wykorzystywane podatności i poważne incydenty.
- Termin zgłoszenia: wczesne ostrzeżenie w 24 godziny, pełne zgłoszenie w 72 godziny.
- Firma, która tylko używa oprogramowania, nie staje się producentem — ale warto pytać dostawców o ich gotowość.
Cyber Resilience Act, po polsku akt o cyberodporności, dotyczy produktów z elementami cyfrowymi wprowadzanych na rynek Unii: oprogramowania, urządzeń z firmware, systemów IoT. Jego celem jest, żeby producent odpowiadał za bezpieczeństwo produktu przez cały okres wsparcia — a nie tylko w dniu sprzedaży.
Harmonogram
Kogo to dotyczy
| Twoja rola | Czy CRA nakłada obowiązki | Co zrobić |
|---|---|---|
| Software house sprzedający własny produkt | Tak, jako producent | Procedura zgłaszania, aktualizacje bezpieczeństwa |
| Producent urządzeń z oprogramowaniem | Tak, jako producent | Jak wyżej, plus firmware |
| Firma zamawiająca aplikację tylko na własny użytek | Zwykle nie jako producent | Ustalić w umowie odpowiedzialność za aktualizacje |
| Firma sprzedająca aplikację klientom | Może stać się producentem | Sprawdzić z prawnikiem |
| Użytkownik oprogramowania | Nie | Pytać dostawców o wsparcie i aktualizacje |
Kwalifikacja to kwestia prawna
Czy Twoja firma jest producentem w rozumieniu CRA, zależy od szczegółów: co sprzedajesz, komu, w jakiej formie. Ten tekst porządkuje temat technicznie; przy wątpliwościach decyzję warto skonsultować z prawnikiem.
Co oznacza obowiązek zgłaszania
Wczesne ostrzeżenie — 24 godziny
Od momentu, gdy producent dowie się o aktywnie wykorzystywanej podatności albo poważnym incydencie.
Zgłoszenie — 72 godziny
Z opisem problemu i informacją o dostępnych lub planowanych środkach zaradczych.
Raport końcowy
Najpóźniej 14 dni po udostępnieniu poprawki.
Zgłoszenia trafiają do krajowego zespołu reagowania na incydenty i do unijnej agencji ds. cyberbezpieczeństwa przez wspólną platformę. W praktyce to oznacza, że producent musi mieć procedurę: kto monitoruje podatności, kto decyduje o zgłoszeniu, kto przygotowuje poprawkę.
O co pytać wykonawcę aplikacji
- Jak długo będzie wydawał aktualizacje bezpieczeństwa?
- Jak monitoruje podatności w bibliotekach, z których korzysta?
- Czy ma procedurę zgłaszania zgodną z CRA, jeśli jest producentem?
- Kto w umowie odpowiada za aktualizacje po zakończeniu projektu?
- Czy dostaniesz listę komponentów użytych w aplikacji?
Zapisz okres wsparcia w umowie
Najczęstszy problem z aplikacjami na zamówienie nie jest prawny, tylko praktyczny: po zakończeniu projektu nikt nie aktualizuje bibliotek. Zapis o okresie wsparcia i aktualizacjach bezpieczeństwa chroni niezależnie od CRA.
Wniosek
Jeśli tworzysz i sprzedajesz oprogramowanie albo urządzenia — CRA dotyczy Cię już teraz przez obowiązek zgłaszania. Jeśli tylko zamawiasz aplikację na własny użytek — zadbaj o zapis w umowie, kto i jak długo ją aktualizuje.
Najczęstsze pytania
Czy CRA dotyczy stron internetowych?
Zwykła strona firmowa świadczona jako usługa co do zasady nie jest produktem z elementami cyfrowymi w rozumieniu CRA. Inaczej może być z oprogramowaniem sprzedawanym klientom.
Czy oprogramowanie open source jest objęte?
Rozwijane niekomercyjnie — co do zasady nie. Wykorzystywane w produktach komercyjnych — producent produktu odpowiada za całość, łącznie z bibliotekami.
Jakie są kary?
Przepisy przewidują wysokie kary dla producentów. Dla małych firm kluczowe jest jednak przygotowanie procedury, zanim cokolwiek się wydarzy.
Czy CRA to to samo co NIS2?
Nie. NIS2 dotyczy podmiotów świadczących usługi w określonych sektorach, CRA — produktów z elementami cyfrowymi. Firma może podlegać obu albo żadnemu.
Od czego zacząć jako mały producent?
Od spisu komponentów w produkcie, monitorowania ich podatności i prostej procedury: kto zgłasza, kto naprawia, w jakim czasie.
Zamawiasz albo tworzysz aplikację?
Pomagam zaplanować aktualizacje i monitorowanie podatności, a w aplikacjach, które buduję, okres wsparcia ustalamy na piśmie. Zobacz tworzenie aplikacji webowych i audyt bezpieczeństwa IT.
Patryk · itpoludzku.pl
Zajmuję się serwisem komputerowym, stronami i sklepami internetowymi oraz wdrożeniami dla małych firm. Piszę o tym, co robię na co dzień — razem z sytuacjami, w których coś się nie opłaca. Dojeżdżam do klientów w promieniu 50 km od Grodziska Mazowieckiego.
Oceń ten wpis
Kliknij gwiazdkę, aby ocenić (1-5).
0/5 · głosów: 0
Komentarze (0)
Brak komentarzy — bądź pierwszy!
Dodaj komentarz
Komentujesz jako gość — możesz też zalogować się lub założyć konto. Każdy może skomentować wpis tylko raz.
