Akt o cyberodporności (CRA) – definicja rozporządzenia 2024/2847
Akt o cyberodporności (Cyber Resilience Act, CRA) to rozporządzenie (UE) 2024/2847 ustanawiające horyzontalne wymagania w zakresie cyberbezpieczeństwa dla produktów z elementami cyfrowymi udostępnianych na rynku Unii.
Akt o cyberodporności (ang. Cyber Resilience Act, CRA) to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi oraz w sprawie zmiany rozporządzeń (UE) nr 168/2013 i (UE) 2019/1020 i dyrektywy (UE) 2020/1828. Określa zasadnicze wymagania w zakresie cyberbezpieczeństwa, które produkty muszą spełniać, aby mogły być udostępniane na rynku Unii, oraz obowiązki producentów, importerów i dystrybutorów.
Zakres
Rozporządzenie stosuje się do produktów z elementami cyfrowymi udostępnianych na rynku, których przeznaczenie lub racjonalnie przewidywalne wykorzystanie obejmuje bezpośrednie lub pośrednie, logiczne lub fizyczne połączenie danych z urządzeniem lub siecią. Wyłączone są produkty objęte odrębnymi aktami sektorowymi wymienionymi w art. 2, m.in. wyroby medyczne i wyroby medyczne do diagnostyki in vitro.
Pojęcia zdefiniowane w rozporządzeniu
Produkt z elementami cyfrowymi
Oprogramowanie komputerowe lub sprzęt komputerowy oraz powiązane z nimi rozwiązania w zakresie zdalnego przetwarzania danych, w tym komponenty oprogramowania lub sprzętu wprowadzane do obrotu oddzielnie.
Importer
Osoba fizyczna lub prawna mająca miejsce zamieszkania lub siedzibę w Unii, która wprowadza do obrotu produkt z elementami cyfrowymi opatrzony nazwą handlową lub znakiem towarowym osoby mającej siedzibę poza Unią.
Zasadnicze wymagania w zakresie cyberbezpieczeństwa
Wymagania z załącznika I, podzielone na wymagania dotyczące właściwości produktu (część I) i wymagania dotyczące postępowania producenta z podatnościami (część II).
Ważne i krytyczne produkty z elementami cyfrowymi
Produkty o podstawowej funkcjonalności z kategorii wymienionych w załączniku III są ważnymi produktami (klasy I i II), a produkty z załącznika IV – krytycznymi produktami. Kategorie te podlegają bardziej wymagającym procedurom oceny zgodności niż pozostałe produkty.
Zgłaszanie podatności i incydentów
Producent zgłasza aktywnie wykorzystywane podatności w produkcie oraz poważne incydenty mające wpływ na bezpieczeństwo produktu jednocześnie CSIRT-owi wyznaczonemu na koordynatora i agencji ENISA, za pośrednictwem pojedynczej platformy sprawozdawczej (art. 14).
Produkty spełniające wymagania opatruje się oznakowaniem CE.
Daty stosowania
| Przepisy | Stosowanie od |
|---|---|
| Rozdział IV – notyfikacja jednostek oceniających zgodność (art. 35–51) | 11 czerwca 2026 r. |
| Art. 14 – obowiązki producentów w zakresie zgłaszania | 11 września 2026 r. |
| Pozostałe przepisy | 11 grudnia 2027 r. |
Relacja do innych aktów
CRA zmienia rozporządzenie (UE) 2019/1020 w sprawie nadzoru rynku. Wymagania dotyczące cyberbezpieczeństwa części urządzeń radiowych wynikają także z rozporządzenia delegowanego (UE) 2022/30 do dyrektywy radiowej – opisuje je hasło RED – cyberbezpieczeństwo urządzeń radiowych.
Pojęcia powiązane
Najczęstsze pytania
Co oznacza skrót CRA?
CRA to Cyber Resilience Act, czyli akt o cyberodporności – rozporządzenie (UE) 2024/2847 w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi.
Od kiedy stosuje się akt o cyberodporności?
Co do zasady od 11 grudnia 2027 r. Obowiązki producentów w zakresie zgłaszania podatności i incydentów (art. 14) stosuje się od 11 września 2026 r., a przepisy o notyfikacji jednostek oceniających zgodność od 11 czerwca 2026 r.
Czym jest produkt z elementami cyfrowymi?
Według CRA jest to oprogramowanie lub sprzęt komputerowy wraz z powiązanymi rozwiązaniami w zakresie zdalnego przetwarzania danych, w tym komponenty oprogramowania lub sprzętu wprowadzane do obrotu oddzielnie.