Czy CRA dotyczy oprogramowania SaaS?

Cyber Resilience Act obejmuje produkty z elementami cyfrowymi wprowadzane na rynek Unii Europejskiej: oprogramowanie instalowane u klienta, urządzenia z oprogramowaniem, biblioteki i SDK. Czysta usługa w chmurze, bez komponentu instalowanego u klienta, co do zasady pozostaje poza zakresem. Wyjątkiem jest zdalne przetwarzanie danych, bez którego produkt nie mógłby wykonywać swojej funkcji (art. 3 pkt 2): wtedy chmura jest częścią produktu. Dostawców SaaS obejmuje natomiast Data Act, stosowany od 12 września 2025.

Od kiedy obowiązują przepisy CRA?

Rozporządzenie (UE) 2024/2847 weszło w życie 11 grudnia 2024. Przepisy o jednostkach oceniających zgodność (rozdział IV) stosuje się od 11 czerwca 2026. Od 11 września 2026 obowiązuje zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów przez pojedynczą platformę sprawozdawczą do CSIRT koordynatora i ENISA (art. 14). Pełne stosowanie, w tym wymagania Załącznika I, ocena zgodności i oznakowanie CE, przypada na 11 grudnia 2027 (art. 71).

Czym są klasy produktów w CRA?

CRA dzieli produkty na domyślne (samoocena producenta), istotne klasy I i II z Załącznika III oraz krytyczne z Załącznika IV. Klasa przesądza o ścieżce oceny zgodności: przy produktach istotnych i krytycznych zwykle konieczny jest udział jednostki notyfikowanej, przy domyślnych wystarcza samoocena z pełną dokumentacją techniczną.

Tak. Producent musi identyfikować i dokumentować komponenty zawarte w produkcie, w tym sporządzać wykaz komponentów (SBOM) co najmniej dla elementów najwyższego poziomu. SBOM jest też warunkiem sprawnego ustalenia, które wersje produktu zawierają podatny komponent.

Jakie są kary za naruszenie CRA?

Za naruszenie wymagań zasadniczych z Załącznika I oraz obowiązków z art. 13 i 14 przewidziano kary do 15 mln EUR lub 2,5% łącznego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Za naruszenie części innych obowiązków do 10 mln EUR lub 2% obrotu (art. 64).

CRA · Bezpłatne narzędzie

CRA Readiness Check

Sprawdź, czy Twój produkt podlega Cyber Resilience Act i na ile jesteś gotowy na jego obowiązki. Najpierw 2 pytania o zakres, potem 20 pytań w 5 obszarach, wynik w około 5 minut.

20 pytań ok. 5 minut Bezpłatnie Bez rejestracji

Stan prawny: rozporządzenie (UE) 2024/2847 (Cyber Resilience Act), w szczególności art. 13, 14, 71 i Załączniki I, III i IV. Wynik orientacyjny, oparty na samoocenie. Nie stanowi opinii prawnej.

Krok 1 z 2: zakres

Najpierw sprawdźmy, czy CRA w ogóle Was dotyczy

Dwa pytania. Jeśli produkt jest poza zakresem rozporządzenia, powiem to wprost i nie będziesz odpowiadać na 20 pytań.

Wynik wstępny

Prawdopodobnie jesteście poza zakresem CRA

Zacznij od nowa

Pytanie 1 z 20

1 / 20

Twój wynik

CRA Readiness Check

0% gotowość

Priorytety działań

Wynik orientacyjny, oparty na Twojej samoocenie. Nie stanowi opinii prawnej ani potwierdzenia zgodności z rozporządzeniem.

Pobierz raport PDF

Wynik, rozbicie na obszary, priorytety i rekomendowany następny krok w jednym pliku. Raport tworzy się w Twojej przeglądarce, Twoje odpowiedzi nie są nigdzie wysyłane.

Chcesz otrzymywać materiały o CRA i bezpieczeństwie produktów?

Terminy, wytyczne Komisji i ENISA, praktyczne wskazówki dla producentów oprogramowania. Nie częściej niż raz w miesiącu.

Omów wynik z nami

Opisz produkt i model sprzedaży. Pomożemy uporządkować proces obsługi podatności, zgłoszenia, SBOM i dokumentację. Odpowiadamy w ciągu 1 dnia roboczego.

Opisz swoją sytuację →

Zacznij od nowa