Cyber Resilience Act wchodzi w życie. Co zmienia dla firm i administratorów?

Już 11 czerwca 2026 roku wchodzą w życie pierwsze zapisy Cyber Resilience Act (CRA) – unijnego rozporządzenia, które ma ujednolicić wymagania dotyczące cyberbezpieczeństwa produktów z elementami cyfrowymi. Oznacza to, że producenci oprogramowania, urządzeń IoT, a także dostawcy komponentów będą musieli spełnić nowe normy bezpieczeństwa. CERT Polska opublikował poradnik z dobrymi praktykami, który ma pomóc w przygotowaniu się na te zmiany.

Czym jest Cyber Resilience Act?

Cyber Resilience Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847, wprowadza jednolite w całej Unii Europejskiej wymagania dotyczące cyberbezpieczeństwa produktów z elementami cyfrowymi. Jak czytamy w komunikacie CERT Polska, celem regulacji jest „zwiększenie poziomu bezpieczeństwa produktów dostępnych na rynku UE oraz zapewnienie skutecznego reagowania na podatności i incydenty bezpieczeństwa”. Przekłada się to na lepszą ochronę zarówno dla użytkowników indywidualnych, jak i organizacji – przed zagrożeniami wynikającymi z podatności w oprogramowaniu i urządzeniach.

Rozporządzenie nakłada na producentów obowiązek projektowania produktów z uwzględnieniem zasad bezpieczeństwa, regularnego dostarczania aktualizacji oraz zgłaszania wykrytych podatności. To krok w stronę większej odpowiedzialności za cyberbezpieczeństwo na etapie wytwarzania, a nie dopiero po wystąpieniu incydentu.

Rola CERT Polska w nowym systemie

Na podstawie przepisów ustawy o krajowym systemie cyberbezpieczeństwa (Dz. U. 2026 poz. 20 z późn. zm.) CERT Polska, wykonując zadania CSIRT NASK, pełni funkcję koordynatora na potrzeby skoordynowanego ujawniania podatności. Zespół będzie zatem odgrywał kluczową rolę w procesie zgłaszania i zarządzania podatnościami wynikającymi z przepisów CRA. Dla administratorów i producentów oznacza to jeden punkt kontaktowy w Polsce, który ułatwi spełnienie wymogów raportowania.

Należy podkreślić, że CRA nie dotyczy wyłącznie dużych firm. Każdy podmiot wprowadzający na rynek UE produkt z elementami cyfrowymi – od małego startupu po międzynarodowego producenta – będzie musiał dostosować się do nowych wymagań. Im wcześniej rozpoczną się przygotowania, tym mniejsze ryzyko kar i zakłóceń w działalności.

Poradnik dobrych praktyk – co zawiera?

CERT Polska udostępnił poradnik, który ma pomóc w zarządzaniu bezpieczeństwem oprogramowania dla CRA. Dokument zawiera praktyczne wskazówki dotyczące m.in. identyfikacji podatności, procesów aktualizacji oraz współpracy z koordynatorami ds. ujawniania podatności. Jak zaznacza zespół, poradnik jest skierowany przede wszystkim do administratorów i producentów, ale może być też użyteczny dla specjalistów ds. bezpieczeństwa i compliance.

Choć szczegółowa treść poradnika znajduje się pod linkiem na stronie CERT Polska, już sama zapowiedź wskazuje na konkretne obszary, które warto przeanalizować: procesy zgłaszania błędów, politykę aktualizacji oraz dokumentację bezpieczeństwa. Dla firm, które dotychczas nie przykładały wagi do tych aspektów, będzie to impuls do zmiany podejścia.

Co to oznacza dla polskich firm i administratorów?

Wejście w życie CRA to nie tylko nowe obowiązki, ale także szansa na podniesienie standardów bezpieczeństwa w całym łańcuchu dostaw. Administratorzy systemów i sieci powinni już teraz zapoznać się z wymaganiami rozporządzenia i sprawdzić, czy używane przez nich produkty spełniają nowe normy. Producenci natomiast muszą przygotować się na regularne audyty i raportowanie podatności.

W praktyce firmy będą musiały wdrożyć procedury skoordynowanego ujawniania podatności, a także zapewnić, że ich produkty będą otrzymywać aktualizacje bezpieczeństwa przez cały przewidziany okres wsparcia. Dla administratorów oznacza to większą przejrzystość – będą mogli liczyć na szybsze informacje o wykrytych lukach i łatwiejszy dostęp do poprawek.

Jak się przygotować?

Pierwszym krokiem powinno być zapoznanie się z treścią rozporządzenia oraz poradnikiem CERT Polska. Warto również przeanalizować własne procesy zarządzania podatnościami i aktualizacjami. Dla firm, które dopiero zaczynają swoją przygodę z cyberbezpieczeństwem, pomocne mogą być szkolenia i konsultacje z ekspertami.

Nie należy odkładać przygotowań na ostatnią chwilę. CRA to regulacja, która będzie egzekwowana, a jej naruszenie może skutkować poważnymi konsekwencjami finansowymi i prawnymi. Lepiej być gotowym zawczasu, niż później nadrabiać zaległości pod presją czasu.

Obserwuj komunikaty CERT Polska i śledź rozwój wytycznych dotyczących CRA. To najlepszy sposób, by być na bieżąco z wymaganiami i uniknąć nieprzyjemnych niespodzianek.