01
Rozmowa i zakres
ustalamy produkt, wersje, rolę firmy, rynek oraz dostępne materiały. Wyznaczamy granice oceny i zasady dostępu.
Cyber Resilience Act
Audyt i wdrożenie CRA
Tworzysz oprogramowanie lub urządzenia na rynek UE? Pomagamy ustalić zakres Cyber Resilience Act, sprawdzić luki i zaplanować zmiany. Osobno uzgadniamy wdrożenie zabezpieczeń, obsługę podatności i dokumentację produktu.
Zaufali nam
Firmy i instytucje, dla których liczy się stabilne IT.
Czy CRA dotyczy Twojego produktu?
Cyber Resilience Act to rozporządzenie (UE) 2024/2847 dotyczące produktów z elementami cyfrowymi udostępnianych na rynku UE w ramach działalności komercyjnej. Obejmuje sprzęt i oprogramowanie, których przewidywane użycie wiąże się z bezpośrednim lub pośrednim połączeniem z urządzeniem albo siecią. Zaczynamy od produktu, sposobu dystrybucji i Twojej roli: producenta, importera lub dystrybutora. Mała firma nie jest automatycznie wyłączona z CRA. Producent odpowiada za bezpieczeństwo produktu i obsługę podatności. Importer weryfikuje m.in. ocenę zgodności i dokumentację producenta; dystrybutor sprawdza m.in. CE oraz wymagane informacje i reaguje na stwierdzoną niezgodność.
Audyt CRA: co sprawdzamy
Wynikiem audytu jest mapa wymagań i luk, dowody z przeglądu oraz plan działań. Zakres testów technicznych i dostęp do kodu uzgadniamy przed rozpoczęciem.
Zakres i klasyfikacja produktu
Analizujemy funkcje, zależności chmurowe, komponenty i rolę firmy. Sprawdzamy wyłączenia oraz kategorie produktów ważnych i krytycznych wpływające na ścieżkę oceny zgodności.Ryzyko i zabezpieczenia
Przeglądamy ocenę ryzyka, ustawienia domyślne, uwierzytelnianie, ochronę danych i mechanizm aktualizacji. Uzgodnione testy odnosimy do wymagań załącznika I.Podatności i komponenty
Sprawdzamy wykaz komponentów SBOM, zależności zewnętrzne, przyjmowanie zgłoszeń, poprawki i okres wsparcia. Weryfikujemy odpowiedzialność za podatności w całym cyklu życia produktu.Dokumentacja i dowody
Oceniamy kompletność dokumentacji technicznej, instrukcji i zapisów testów. W raporcie rozdzielamy potwierdzone ustalenia, braki i obszary nieweryfikowane.Wdrożenie CRA: co możemy przygotować
Po audycie wybierasz dalszy zakres. Możemy pracować na naszym raporcie lub przeanalizować istniejącą ocenę. Implementacja zmian w samym produkcie wymaga udziału jego właściciela i zespołu rozwoju.
Bezpieczne tworzenie i aktualizacje
Porządkujemy wymagania bezpieczeństwa, przeglądy zmian i testowanie. Pomagamy zaplanować poprawki oraz bezpieczne dostarczanie aktualizacji z uzgodnionymi kryteriami odbioru.Obsługa podatności i zgłoszeń
Przygotowujemy ścieżkę zgłoszeń, odpowiedzialność i zasady reagowania. Ćwiczymy kwalifikację zdarzeń, eskalację i zebranie danych do raportowania przez platformę ENISA.Dokumentacja produktu
Pomagamy opracować ocenę ryzyka, rejestr komponentów, politykę wsparcia i dokumentację techniczną. Łączymy wymagania z dowodami ich wykonania.Sprawdzenie poprawek
W uzgodnionym zakresie ponownie sprawdzamy zabezpieczenia i procesy. Przekazujemy wyniki, pozostające ryzyka oraz zadania do utrzymania przez zespół produktu.Jak przebiega współpraca
Możesz zamówić sam audyt lub osobno uzgodnione wdrożenie. Koszt i harmonogram zależą od liczby produktów, architektury, dokumentacji oraz zakresu testów.
02
Audyt i priorytety
analizujemy dokumenty, rozmawiamy z zespołem i wykonujemy uzgodnione sprawdzenia. Przekazujemy raport luk i plan prac.
03
Wdrożenie
po uzgodnieniu osobnego zakresu przygotowujemy procesy i dokumentację oraz wspieramy zespół przy zmianach technicznych.
04
Weryfikacja i utrzymanie
sprawdzamy wykonane poprawki, wskazujemy pozostałe ryzyka i ustalamy przeglądy, aktualizacje oraz odpowiedzialność za wsparcie.
Zakres praktyczny
Terminy CRA i zgłaszanie zdarzeń
Stan informacji: 24 września 2026 r. Rozporządzenie weszło w życie 10 grudnia 2024 r.; poszczególne obowiązki zaczynają być stosowane w różnych terminach.
obowiązki producentów z art. 14 dotyczące aktywnie wykorzystywanych podatności i poważnych incydentów wpływających na bezpieczeństwo produktu już obowiązują. Obejmują także produkty wprowadzone na rynek przed 11 grudnia 2027 r.
od uzyskania wiedzy o zdarzeniu producent przekazuje wczesne ostrzeżenie i kolejne zgłoszenie. Raport końcowy o podatności: do 14 dni od udostępnienia środka naprawczego lub ograniczającego skutki; o poważnym incydencie: w ciągu miesiąca od zgłoszenia 72-godzinnego.
zaczyna być stosowana większość wymagań CRA. Produkty wprowadzone wcześniej zasadniczo podlegają im po istotnej modyfikacji dokonanej od tej daty; obowiązki raportowania mają osobną regułę.
co do zasady co najmniej pięć lat, chyba że przewidywany czas używania produktu jest krótszy. Dobór okresu wymaga analizy rodzaju produktu, sposobu użycia i oczekiwań użytkowników.
Audyt, normy i ocena zgodności
Audyt luk i wdrożenie pomagają przygotować produkt oraz dowody. Nie zastępują wymaganej procedury oceny zgodności, deklaracji zgodności UE ani oznakowania CE. Ścieżka zależy od kategorii produktu i zastosowanych specyfikacji; w określonych przypadkach potrzebna jest jednostka notyfikowana. Nie przedstawiamy Virtline jako takiej jednostki. Punktem wyjścia są wymagania CRA, w tym załącznik I. Normy i specyfikacje dobieramy do ryzyk produktu, a nie wyłącznie do nazwy branży. Prace CEN, CENELEC i ETSI w ramach zlecenia M/606 obejmują normy przekrojowe oraz produktowe. Projekt normy ani sama jej publikacja nie oznaczają automatycznie domniemania zgodności z CRA. Przed powołaniem się na normę sprawdzamy jej wersję, zakres i publikację odniesienia w Dzienniku Urzędowym UE. Domniemanie zgodności obejmuje wyłącznie wymagania, które dana norma pokrywa.
Przepisy, wytyczne i normalizacja
Oficjalne źródła do weryfikacji zakresu i terminów. Wytyczne wyjaśniają przepisy; nie zastępują rozporządzenia. Status norm sprawdzamy dla konkretnego produktu.
Pytania o CRA
Czym CRA różni się od NIS2?
+
CRA określa cyberbezpieczeństwo produktów z elementami cyfrowymi i obowiązki związane z ich cyklem życia. NIS2 dotyczy bezpieczeństwa organizacji objętych jej zakresem. Firma może podlegać obu regulacjom. Audyt NIS2 ani certyfikat ISO 27001 nie potwierdzają samodzielnie zgodności produktu z CRA.
Czy CRA obejmuje SaaS i open source?
+
Nie każda usługa chmurowa podlega CRA. Zdalne przetwarzanie może być objęte, gdy spełnia definicję rozwiązania niezbędnego do realizacji funkcji produktu. Wolne i otwarte oprogramowanie udostępniane poza działalnością komercyjną jest wyłączone, lecz osobne zasady dotyczą opiekunów oprogramowania open source. Sam bezpłatny dostęp nie rozstrzyga o wyłączeniu. Weryfikujemy model dostarczania konkretnego produktu.
Czy wszystkie urządzenia podlegają CRA?
+
Nie. Istnieją wyłączenia, m.in. dla produktów objętych przepisami o wyrobach medycznych, określonymi regulacjami motoryzacyjnymi, certyfikacją lotniczą lub wyposażeniem morskim. Osobno traktowane są produkty wyłącznie do celów obronnych lub bezpieczeństwa narodowego. Wyłączenie wymaga sprawdzenia właściwej podstawy prawnej i przeznaczenia produktu.
Czy audyt zapewnia certyfikat CRA i oznakowanie CE?
+
Nie. Otrzymujesz raport z uzgodnionego przeglądu oraz plan zmian. Wdrożenie, ponowne testy i przygotowanie dokumentacji ustalamy osobno. Producent odpowiada za właściwą ocenę zgodności, deklarację UE i CE; udział jednostki notyfikowanej zależy od kategorii produktu oraz wybranej ścieżki.
Omówmy Twój produkt i zakres prac
Napisz, jakie oprogramowanie lub urządzenie rozwijasz albo dystrybuujesz, na jakich rynkach oraz czy potrzebujesz audytu, wdrożenia czy sprawdzenia gotowości raportowania. Na początek wystarczy opis produktu.
Omów audyt lub wdrożenie CRA