Cyber Resilience Act wchodzi w życie. Co polskie firmy muszą wiedzieć od 11 czerwca

Już 11 czerwca 2026 roku wchodzą w życie pierwsze zapisy Cyber Resilience Act (CRA) – unijnego rozporządzenia, które wprowadza jednolite wymagania dotyczące cyberbezpieczeństwa produktów z elementami cyfrowymi. Nowe przepisy mają realny wpływ na producentów oprogramowania, twórców urządzeń IoT oraz dystrybutorów działających na rynku Unii Europejskiej. Choć regulacja brzmi abstrakcyjnie, w praktyce oznacza konkretne obowiązki i realne konsekwencje za ich niespełnienie.

Czym jest Cyber Resilience Act i dlaczego powstał

Cyber Resilience Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847, to akt prawny mający na celu zwiększenie poziomu bezpieczeństwa produktów z elementami cyfrowymi dostępnych na rynku UE. Jak wskazuje CERT Polska w swoim komunikacie, celem regulacji jest nie tylko podniesienie bezpieczeństwa samych produktów, ale także zapewnienie skutecznego reagowania na podatności i incydenty bezpieczeństwa.

– W praktyce przekłada się to na lepszą ochronę użytkowników – zarówno indywidualnych, jak i organizacji – przed zagrożeniami wynikającymi z podatności w oprogramowaniu i urządzeniach – czytamy w komunikacie CERT Polska. Regulacja ma więc charakter prewencyjny: zmusza producentów do projektowania i wytwarzania zabezpieczeń w cyklu życia produktu, a nie tylko po wykryciu problemu.

Nowe przepisy obejmują szeroką gamę produktów – od aplikacji mobilnych, przez oprogramowanie desktopowe, po urządzenia Internetu Rzeczy (IoT). Wyłączone zostały natomiast produkty objęte już innymi unijnymi regulacjami, jak np. wyroby medyczne czy lotnicze.

Kogo dotyczy CRA i jakie nakłada obowiązki

Producentów, importerów i dystrybutorów produktów z elementami cyfrowymi, którzy chcą oferować je na terenie UE. CRA nakłada na nich między innymi obowiązek przeprowadzania oceny ryzyka, zapewnienia aktualizacji bezpieczeństwa przez cały przewidywany okres użytkowania produktu oraz zgłaszania poważnych incydentów i podatności do właściwych organów.

W Polsce jednym z kluczowych podmiotów odpowiedzialnych za koordynację skoordynowanego ujawniania podatności jest CERT Polska, działający jako CSIRT NASK. Jak podaje zespół w komunikacie ostrzeżenia, na podstawie przepisów ustawy o krajowym systemie cyberbezpieczeństwa (Dz. U. 2026 poz. 20 z późn. zm.) pełni on funkcję koordynatora na potrzeby zgłoszeń wynikających z CRA. Oznacza to, że to właśnie do CERT Polska należy kierować raporty o podatnościach w produktach cyfrowych, które zostaną wykryte lub które producent chce zgłosić w ramach procedury odpowiedzialnego ujawnienia.

Dla małych i średnich firm może to oznaczać nowe wyzwania organizacyjne – konieczność wdrożenia procedur bezpieczeństwa, wyznaczenia osoby odpowiedzialnej za zarządzanie podatnościami oraz przygotowania się na potencjalne audyty ze strony organów nadzoru rynku.

Poradnik CERT Polska z dobrymi praktykami

Wraz z komunikatem CERT Polska udostępnił poradnik z dobrymi praktykami zarządzania bezpieczeństwem oprogramowania. Dokument został przygotowany z myślą o administratorach, programistach i osobach odpowiedzialnych za bezpieczeństwo w firmach wytwarzających oprogramowanie lub urządzenia z elementami cyfrowymi.

Poradnik zawiera praktyczne wskazówki dotyczące m.in. przeprowadzania analizy ryzyka, bezpiecznego procesu tworzenia oprogramowania, testowania pod kątem podatności oraz reagowania na incydenty. To cenne źródło wiedzy dla polskich firm, które dopiero zaczynają dostosowywać się do wymogów CRA.

Warto podkreślić, że CERT Polska nie tylko informuje o regulacjach, ale również – jako CSIRT NASK – będzie pełnił rolę koordynatora w procesie skoordynowanego ujawniania podatności. Tym samym zgłoszenia od badaczy bezpieczeństwa i producentów będą trafiać do jednego, wyspecjalizowanego zespołu.

Co to oznacza dla zwykłych użytkowników

Z perspektywy osoby korzystającej z aplikacji, smartfona czy inteligentnego gniazdka CRA to przede wszystkim większe bezpieczeństwo. Producenci będą musieli dostarczać aktualizacje łatwiące podatności przez dłuższy czas, a nowe urządzenia i oprogramowanie trafiające na rynek UE będą musiały spełniać minimalne standardy zabezpieczeń. To ograniczy liczbę produktów, które po kilku miesiącach od zakupu stają się łatwym celem dla atakujących.

Należy jednak pamiętać, że CRA to nie magiczna różdżka. Nie wyeliminuje wszystkich zagrożeń, ale znacząco podniesie poprzeczkę. Dla firm to sygnał, że czas na dostosowanie procesów – najlepiej jeszcze przed 11 czerwca. Dla użytkowników – argument, by wybierać produkty od producentów, którzy poważnie podchodzą do bezpieczeństwa.

Warto śledzić dalsze komunikaty CERT Polska oraz aktywność Ministerstwa Cyfryzacji w zakresie implementacji Krajowego Systemu Cyberbezpieczeństwa 2.0, który uzupełnia unijne regulacje. Im wcześniej firmy przygotują się na nowe obowiązki, tym łatwiej unikną sankcji i utraty zaufania klientów.