Cyber Resilience Act wchodzi w życie. Co zmienia dla polskich firm i administratorów?

11 czerwca 2026 roku weszły w życie pierwsze przepisy unijnego rozporządzenia Cyber Resilience Act (CRA). To jedna z najważniejszych regulacji cyberbezpieczeństwa ostatnich lat, która nakłada jednolite wymagania na producentów i dystrybutorów produktów z elementami cyfrowymi w całej Unii Europejskiej. Dla polskich firm, administratorów i użytkowników oznacza to realną zmianę w podejściu do bezpieczeństwa oprogramowania i urządzeń.

Czym jest Cyber Resilience Act i kogo dotyczy?

Cyber Resilience Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847, ma na celu zwiększenie poziomu bezpieczeństwa produktów dostępnych na rynku UE oraz zapewnienie skutecznego reagowania na podatności i incydenty bezpieczeństwa. Jak czytamy w komunikacie CERT Polska, w praktyce przekłada się to na lepszą ochronę użytkowników – zarówno indywidualnych, jak i organizacji – przed zagrożeniami wynikającymi z podatności w oprogramowaniu i urządzeniach.

Nowe przepisy obejmują szeroką gamę produktów: od aplikacji mobilnych i systemów operacyjnych, przez routery i kamery IP, po zaawansowane systemy przemysłowe. Obowiązki spoczywają przede wszystkim na producentach, importerach i dystrybutorach, ale ich skutki odczują także administratorzy i zwykli użytkownicy – głównie poprzez dłuższe wsparcie bezpieczeństwa i szybsze łatanie luk.

Rola CERT Polska w nowym systemie

Na podstawie przepisów ustawy o krajowym systemie cyberbezpieczeństwa (Dz. U. 2026 poz. 20 z późn. zm.) CERT Polska, wykonując zadania CSIRT NASK, pełni funkcję koordynatora na potrzeby skoordynowanego ujawniania podatności. Oznacza to, że zespół będzie odgrywał kluczową rolę w procesie zgłaszania i zarządzania lukami w produktach objętych CRA.

Eksperci CERT Polska przygotowali już poradnik z dobrymi praktykami zarządzania bezpieczeństwem oprogramowania, który ma pomóc producentom i administratorom w dostosowaniu się do nowych wymogów. Dokument zawiera praktyczne wskazówki dotyczące m.in. procesu raportowania podatności, polityki bezpieczeństwa oraz współpracy z zespołami reagującymi na incydenty.

Co zmienia się dla administratorów i firm?

Dla administratorów systemów i sieci wejście w życie CRA oznacza przede wszystkim konieczność zweryfikowania, czy używane przez nich produkty spełniają nowe wymagania. Producenci będą zobowiązani do:

• zapewnienia bezpieczeństwa produktu przez cały przewidywany okres użytkowania,
• szybkiego udostępniania poprawek bezpieczeństwa,
• przejrzystego informowania o podatnościach i sposobach ich łagodzenia.

W praktyce administratorzy powinni spodziewać się częstszych aktualizacji i lepszej komunikacji ze strony producentów. Warto również śledzić komunikaty CERT Polska, który będzie publikował ostrzeżenia i zalecenia dotyczące konkretnych podatności zgłaszanych w ramach CRA.

Dla firm, które same tworzą oprogramowanie lub urządzenia, nowe przepisy oznaczają konieczność wdrożenia procesów bezpiecznego programowania, testowania i reagowania na incydenty. Niewywiązywanie się z obowiązków może skutkować sankcjami, w tym wysokimi karami finansowymi.

Jak się przygotować?

Najlepszym punktem wyjścia jest zapoznanie się z poradnikiem CERT Polska oraz przeanalizowanie, które produkty w organizacji podlegają nowym przepisom. Warto również sprawdzić, czy dostawcy oprogramowania i sprzętu deklarują zgodność z CRA – to może stać się ważnym kryterium przy wyborze rozwiązań w najbliższych miesiącach.

Cyber Resilience Act to nie tylko nowe obowiązki, ale przede wszystkim szansa na podniesienie poziomu bezpieczeństwa w całej Unii Europejskiej. Dla polskich firm i administratorów oznacza to więcej jasnych reguł i lepszą ochronę przed cyberzagrożeniami. Warto już teraz zacząć dostosowywać swoje procesy, aby uniknąć problemów w przyszłości.