Cyber Resilience Act: lista kontrolna i ocena gotowości do CRA

Akt o cyberodporności (Cyber Resilience Act) nakłada na producenta produktu z elementami cyfrowymi szereg obowiązków: zgłaszanie, wymagania bezpieczeństwa produktu, postępowanie z podatnościami i dokumenty. Proszę odpowiedzieć na każdy z nich dla swojego produktu, aby zobaczyć, na jakim są Państwo etapie i co pozostaje otwarte, z artykułem przy każdym punkcie.

Sprawdzono ze źródłami dnia 17 października 2026

Rozporządzenie (UE) 2024/2847 (akt o cyberodporności), art. 13, 14, 69 i 71, załączniki I i II

Sprawdzono ze źródłami dnia 17 października 2026

Gotowość do CRA

Proszę odpowiedzieć na każdy wiersz dla jednego produktu. Wynik liczy tylko Państwa odpowiedzi; nic nie jest sprawdzane, wysyłane ani zapisywane.

Obowiązki w zakresie zgłaszania (art. 14): od 11 września 2026 r., także dla produktów już wprowadzonych do obrotu

Aktywnie wykorzystywane podatności: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe najpóźniej 14 dni po udostępnieniu poprawki, za pośrednictwem pojedynczej platformy sprawozdawczej (Article 14(1), (2))
Poważne incydenty mające wpływ na bezpieczeństwo produktu: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (Article 14(3) to (5))
Wiedzą Państwo, który CSIRT wyznaczony na koordynatora otrzymuje Państwa zgłoszenia: ten z państwa członkowskiego głównej siedziby w Unii, a bez niej według kolejności z art. 14 ust. 7 (Article 14(7))
Użytkownicy, których to dotyczy, a w stosownych przypadkach wszyscy użytkownicy, są informowani o podatności lub incydencie i o środkach, które mogą podjąć (Article 14(8))

Wymagania dotyczące produktu (załącznik I część I): od 11 grudnia 2027 r.

„Nie dotyczy” tylko wtedy, gdy wynika to z oceny ryzyka w cyberprzestrzeni, z uzasadnieniem w dokumentacji technicznej (art. 13 ust. 4).

Cyberbezpieczeństwo odpowiednie do ryzyka (Annex I, Part I(1))
Brak znanych podatności, które można wykorzystać (Annex I, Part I(2)(a))
Bezpieczna konfiguracja domyślna, z przywracaniem (Annex I, Part I(2)(b))
Aktualizacje zabezpieczeń, domyślnie automatyczne (Annex I, Part I(2)(c))
Ochrona przed nieuprawnionym dostępem (Annex I, Part I(2)(d))
Poufność danych (Annex I, Part I(2)(e))
Integralność danych, poleceń i konfiguracji (Annex I, Part I(2)(f))
Minimalizacja danych (Annex I, Part I(2)(g))
Dostępność podstawowych funkcji (Annex I, Part I(2)(h))
Ograniczony wpływ na inne urządzenia i sieci (Annex I, Part I(2)(i))
Ograniczone powierzchnie ataku (Annex I, Part I(2)(j))
Łagodzenie skutków wykorzystania podatności (Annex I, Part I(2)(k))
Rejestrowanie i monitorowanie bezpieczeństwa, z możliwością rezygnacji (Annex I, Part I(2)(l))
Bezpieczne usunięcie wszystkich danych i ustawień (Annex I, Part I(2)(m))

Postępowanie w przypadku wykrycia podatności (załącznik I część II): od 11 grudnia 2027 r.

Podatności i komponenty zidentyfikowane i udokumentowane, z zestawieniem podstawowych materiałów do produkcji oprogramowania obejmującym co najmniej zależności najwyższego poziomu (Annex I, Part II(1))
Podatności usuwane bez zwłoki, za pomocą aktualizacji zabezpieczeń, oddzielnych od aktualizacji funkcjonalnych, jeśli jest to technicznie wykonalne (Annex I, Part II(2))
Skuteczne i regularne testy i przeglądy bezpieczeństwa produktu (Annex I, Part II(3))
Usunięte podatności ujawnione publicznie po udostępnieniu aktualizacji zabezpieczeń (Annex I, Part II(4))
Polityka skoordynowanego ujawniania podatności, wprowadzona i egzekwowana (Annex I, Part II(5))
Adres kontaktowy do zgłaszania podatności i środki ułatwiające wymianę informacji o nich, także w komponentach stron trzecich (Annex I, Part II(6))
Aktualizacje rozpowszechniane w bezpieczny sposób, a w stosownych przypadkach automatycznie w przypadku aktualizacji zabezpieczeń (Annex I, Part II(7))
Aktualizacje zabezpieczeń rozpowszechniane bez zwłoki i bezpłatnie (chyba że z użytkownikiem biznesowym uzgodniono inaczej w przypadku produktu na zamówienie), z komunikatami doradczymi (Annex I, Part II(8))

Obowiązki producentów (art. 13): od 11 grudnia 2027 r.

Ocena ryzyka w cyberprzestrzeni przeprowadzona, udokumentowana, aktualizowana w okresie wsparcia i zawarta w dokumentacji technicznej (Article 13(2) to (4))
Należyta staranność przy komponentach stron trzecich i komponentach otwartego oprogramowania; znalezione w nich podatności zgłaszane temu, kto je wytwarza lub utrzymuje (Article 13(5), (6))
Okres wsparcia ustalony według przewidywanego czasu użytkowania produktu: co najmniej pięć lat, chyba że przewidywany czas użytkowania jest krótszy (Article 13(8))
Każda aktualizacja zabezpieczeń pozostaje dostępna co najmniej 10 lat od jej wydania albo przez resztę okresu wsparcia, jeśli jest on dłuższy (Article 13(9))
Koniec okresu wsparcia, co najmniej miesiąc i rok, jasno podany w momencie zakupu (Article 13(19))
Numer typu, partii lub serii na produkcie, a jeśli to niemożliwe, na opakowaniu lub w dokumencie towarzyszącym (Article 13(15))
Nazwa, adres pocztowy oraz adres e-mail lub inne cyfrowe dane kontaktowe na produkcie, opakowaniu lub w dokumencie towarzyszącym, a także pojedynczy punkt kontaktowy dla użytkowników (Article 13(16), (17))
Informacje i instrukcje dla użytkownika (załącznik II) dołączone do produktu i dostępne co najmniej 10 lat albo przez okres wsparcia, jeśli jest on dłuższy (Article 13(18), Annex II)
Dokumentacja techniczna (załącznik VII) sporządzona przed wprowadzeniem produktu do obrotu (Article 13(12), Article 31, Annex VII)
Procedura oceny zgodności wybrana i przeprowadzona (art. 32); ważne i krytyczne produkty mają mniej ścieżek (Article 13(12), Article 32)
Deklaracja zgodności UE sporządzona i oznakowanie CE umieszczone; kopia lub uproszczona deklaracja dołączona do produktu (Article 13(12), (20), Articles 28 and 30)
Dokumentacja techniczna i deklaracja przechowywane co najmniej 10 lat od wprowadzenia do obrotu albo przez okres wsparcia, jeśli jest on dłuższy (Article 13(13))

Gotowość: 0%

Zrobione: 0 z 38 wierszy, które dotyczą produktu

Bez odpowiedzi: 38 (liczone jako niezrobione)

Według obszaru

Zgłaszanie0%
Wymagania dotyczące produktu0%
Postępowanie z podatnościami0%
Obowiązki producentów0%

Do zrobienia

Aktywnie wykorzystywane podatności: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe najpóźniej 14 dni po udostępnieniu poprawki, za pośrednictwem pojedynczej platformy sprawozdawczej (Article 14(1), (2); Brak odpowiedzi) Rejestr zgłoszeń CRA
Poważne incydenty mające wpływ na bezpieczeństwo produktu: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (Article 14(3) to (5); Brak odpowiedzi) Rejestr zgłoszeń CRA
Wiedzą Państwo, który CSIRT wyznaczony na koordynatora otrzymuje Państwa zgłoszenia: ten z państwa członkowskiego głównej siedziby w Unii, a bez niej według kolejności z art. 14 ust. 7 (Article 14(7); Brak odpowiedzi) Rejestr zgłoszeń CRA
Użytkownicy, których to dotyczy, a w stosownych przypadkach wszyscy użytkownicy, są informowani o podatności lub incydencie i o środkach, które mogą podjąć (Article 14(8); Brak odpowiedzi) Rejestr zgłoszeń CRA
Cyberbezpieczeństwo odpowiednie do ryzyka (Annex I, Part I(1); Brak odpowiedzi)
Brak znanych podatności, które można wykorzystać (Annex I, Part I(2)(a); Brak odpowiedzi)
Bezpieczna konfiguracja domyślna, z przywracaniem (Annex I, Part I(2)(b); Brak odpowiedzi)
Aktualizacje zabezpieczeń, domyślnie automatyczne (Annex I, Part I(2)(c); Brak odpowiedzi)
Ochrona przed nieuprawnionym dostępem (Annex I, Part I(2)(d); Brak odpowiedzi)
Poufność danych (Annex I, Part I(2)(e); Brak odpowiedzi)
Integralność danych, poleceń i konfiguracji (Annex I, Part I(2)(f); Brak odpowiedzi)
Minimalizacja danych (Annex I, Part I(2)(g); Brak odpowiedzi)
Dostępność podstawowych funkcji (Annex I, Part I(2)(h); Brak odpowiedzi)
Ograniczony wpływ na inne urządzenia i sieci (Annex I, Part I(2)(i); Brak odpowiedzi)
Ograniczone powierzchnie ataku (Annex I, Part I(2)(j); Brak odpowiedzi)
Łagodzenie skutków wykorzystania podatności (Annex I, Part I(2)(k); Brak odpowiedzi)
Rejestrowanie i monitorowanie bezpieczeństwa, z możliwością rezygnacji (Annex I, Part I(2)(l); Brak odpowiedzi)
Bezpieczne usunięcie wszystkich danych i ustawień (Annex I, Part I(2)(m); Brak odpowiedzi)
Podatności i komponenty zidentyfikowane i udokumentowane, z zestawieniem podstawowych materiałów do produkcji oprogramowania obejmującym co najmniej zależności najwyższego poziomu (Annex I, Part II(1); Brak odpowiedzi) Generator SBOM
Podatności usuwane bez zwłoki, za pomocą aktualizacji zabezpieczeń, oddzielnych od aktualizacji funkcjonalnych, jeśli jest to technicznie wykonalne (Annex I, Part II(2); Brak odpowiedzi)
Skuteczne i regularne testy i przeglądy bezpieczeństwa produktu (Annex I, Part II(3); Brak odpowiedzi)
Usunięte podatności ujawnione publicznie po udostępnieniu aktualizacji zabezpieczeń (Annex I, Part II(4); Brak odpowiedzi)
Polityka skoordynowanego ujawniania podatności, wprowadzona i egzekwowana (Annex I, Part II(5); Brak odpowiedzi)
Adres kontaktowy do zgłaszania podatności i środki ułatwiające wymianę informacji o nich, także w komponentach stron trzecich (Annex I, Part II(6); Brak odpowiedzi)
Aktualizacje rozpowszechniane w bezpieczny sposób, a w stosownych przypadkach automatycznie w przypadku aktualizacji zabezpieczeń (Annex I, Part II(7); Brak odpowiedzi)
Aktualizacje zabezpieczeń rozpowszechniane bez zwłoki i bezpłatnie (chyba że z użytkownikiem biznesowym uzgodniono inaczej w przypadku produktu na zamówienie), z komunikatami doradczymi (Annex I, Part II(8); Brak odpowiedzi)
Ocena ryzyka w cyberprzestrzeni przeprowadzona, udokumentowana, aktualizowana w okresie wsparcia i zawarta w dokumentacji technicznej (Article 13(2) to (4); Brak odpowiedzi) Pakiet dokumentów CRA (płatny)
Należyta staranność przy komponentach stron trzecich i komponentach otwartego oprogramowania; znalezione w nich podatności zgłaszane temu, kto je wytwarza lub utrzymuje (Article 13(5), (6); Brak odpowiedzi)
Okres wsparcia ustalony według przewidywanego czasu użytkowania produktu: co najmniej pięć lat, chyba że przewidywany czas użytkowania jest krótszy (Article 13(8); Brak odpowiedzi)
Każda aktualizacja zabezpieczeń pozostaje dostępna co najmniej 10 lat od jej wydania albo przez resztę okresu wsparcia, jeśli jest on dłuższy (Article 13(9); Brak odpowiedzi)
Koniec okresu wsparcia, co najmniej miesiąc i rok, jasno podany w momencie zakupu (Article 13(19); Brak odpowiedzi)
Numer typu, partii lub serii na produkcie, a jeśli to niemożliwe, na opakowaniu lub w dokumencie towarzyszącym (Article 13(15); Brak odpowiedzi)
Nazwa, adres pocztowy oraz adres e-mail lub inne cyfrowe dane kontaktowe na produkcie, opakowaniu lub w dokumencie towarzyszącym, a także pojedynczy punkt kontaktowy dla użytkowników (Article 13(16), (17); Brak odpowiedzi)
Informacje i instrukcje dla użytkownika (załącznik II) dołączone do produktu i dostępne co najmniej 10 lat albo przez okres wsparcia, jeśli jest on dłuższy (Article 13(18), Annex II; Brak odpowiedzi) Pakiet dokumentów CRA (płatny)
Dokumentacja techniczna (załącznik VII) sporządzona przed wprowadzeniem produktu do obrotu (Article 13(12), Article 31, Annex VII; Brak odpowiedzi) Pakiet dokumentów CRA (płatny)
Procedura oceny zgodności wybrana i przeprowadzona (art. 32); ważne i krytyczne produkty mają mniej ścieżek (Article 13(12), Article 32; Brak odpowiedzi) Sprawdzenie klasy CRA
Deklaracja zgodności UE sporządzona i oznakowanie CE umieszczone; kopia lub uproszczona deklaracja dołączona do produktu (Article 13(12), (20), Articles 28 and 30; Brak odpowiedzi) Pakiet dokumentów CRA (płatny)
Dokumentacja techniczna i deklaracja przechowywane co najmniej 10 lat od wprowadzenia do obrotu albo przez okres wsparcia, jeśli jest on dłuższy (Article 13(13); Brak odpowiedzi)

Państwa własne odpowiedzi, a nie ocena: wynik nie dowodzi, że produkt spełnia wymagania rozporządzenia.

Co obejmuje sprawdzenie

Obowiązki w zakresie zgłaszania (art. 14): aktywnie wykorzystywane podatności i poważne incydenty, zgłaszane CSIRT-owi wyznaczonemu na koordynatora i ENISA za pośrednictwem pojedynczej platformy sprawozdawczej, oraz informowanie użytkowników.
Zasadnicze wymagania w zakresie cyberbezpieczeństwa dotyczące produktu (załącznik I część I): jedno wymaganie ogólne i trzynaście szczegółowych.
Wymagania dotyczące postępowania w przypadku wykrycia podatności (załącznik I część II): osiem punktów, w tym zestawienie podstawowych materiałów do produkcji oprogramowania (SBOM).
Pozostałe obowiązki producentów (art. 13): ocena ryzyka, komponenty, okres wsparcia, aktualizacje, oznaczenia, informacje dla użytkownika, dokumentacja techniczna, ocena zgodności, deklaracja i oznakowanie CE, przechowywanie dokumentów.

Terminy

Art. 14 (zgłaszanie) stosuje się od 11 września 2026 r., także do produktów wprowadzonych do obrotu przed 11 grudnia 2027 r. (art. 69 ust. 3 i art. 71 ust. 2).
Pozostałe przepisy stosuje się od 11 grudnia 2027 r. Produkt wprowadzony do obrotu przed tą datą podlega im tylko wtedy, gdy od tej daty zostanie poddany istotnym modyfikacjom (art. 69 ust. 2).

Jak liczony jest wynik

Liczą się tylko wiersze z odpowiedzią „Zrobione”. „Zrobione częściowo”, „Nierozpoczęte” i wiersze bez odpowiedzi liczą się jako otwarte, więc wynik nigdy nie pokazuje więcej, niż Państwo zaznaczyli. „Nie dotyczy” usuwa wiersz z sumy; ta odpowiedź jest dostępna tylko dla wymagań szczegółowych z załącznika I część I pkt 2, które mają zastosowanie na podstawie oceny ryzyka w cyberprzestrzeni i w stosownych przypadkach, a dokumentacja techniczna musi to uzasadnić (art. 13 ust. 4). Wynik procentowy jest zaokrąglany w dół.

Czego sprawdzenie nie robi

Nie testuje ani nie ocenia produktu: wynik liczy Państwa własne odpowiedzi, a wysoki wynik nie dowodzi, że produkt spełnia wymagania rozporządzenia. Dotyczy tylko producentów, a nie importerów (art. 19), dystrybutorów (art. 20) ani opiekunów otwartego oprogramowania (art. 24). Klasę produktu i procedurę oceny zgodności wskaże sprawdzenie CRA, terminy zgłoszeń rejestr zgłoszeń CRA, a SBOM przygotuje generator SBOM.

Państwa odpowiedzi nie opuszczają przeglądarki i nie są zapisywane: ponowne wczytanie strony je usuwa. Wynik można skopiować lub wydrukować.

Źródła

Rozporządzenie (UE) 2024/2847 (akt o cyberodporności), art. 13, 14, 69 i 71, załączniki I i II