Czas czytania: około 8 minut
Od 11 września 2026 producent produktu z elementami cyfrowymi ma obowiązek zgłaszać aktywnie wykorzystywane podatności i poważne incydenty w trybie trzech zegarów: wczesne ostrzeżenie w ciągu 24 godzin, pełne zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu 14 dni od udostępnienia poprawki dla podatności, albo w ciągu miesiąca dla poważnego incydentu. Zgłasza się raz, przez jedną platformę, do właściwego CSIRT, a informacja trafia równocześnie do ENISA. To pierwszy termin CRA, który realnie zaczyna działać. Pełne obowiązki produktowe aktu wchodzą dopiero 11 grudnia 2027. Jeśli wprowadzacie do obrotu maszynę ze sterownikiem, urządzenie z firmware albo oprogramowanie z elementami cyfrowymi, ten zegar dotyczy was niezależnie od tego, czy podlegacie NIS2.
To nie jest porada prawna, tylko praktyczne uporządkowanie tematu z perspektywy producenta. Praktyka stosowania CRA dopiero się kształtuje, a szczegóły proceduralne będą doprecyzowywane wytycznymi. W razie wątpliwości warto skonsultować się z prawnikiem od cyberbezpieczeństwa. Poniżej pokazujemy w jednym miejscu, co rusza 11 września, jak liczą się terminy, kogo dotyczy i co zrobić przed datą.
Co dokładnie rusza 11 września
CRA, czyli akt o cyberodporności (Cyber Resilience Act), wchodzi etapami. Większość obowiązków produktowych, jak wymagania bezpieczeństwa w całym cyklu życia, dokumentacja techniczna czy oznaczenie CE dla elementów cyfrowych, zaczyna obowiązywać 11 grudnia 2027. Ale jeden blok rusza wcześniej i to on jest tematem tego tekstu: obowiązek raportowania, który zgodnie z informacją Komisji Europejskiej zaczyna obowiązywać 11 września 2026.
Od tego dnia producent zgłasza dwie rzeczy. Pierwsza to aktywnie wykorzystywana podatność w produkcie z elementami cyfrowymi, czyli taka, wobec której istnieje dowód realnego wykorzystania, a nie sama teoretyczna możliwość. Druga to poważny incydent mający wpływ na bezpieczeństwo produktu. Oba zdarzenia uruchamiają ten sam wieloetapowy tryb zgłoszeniowy z twardymi terminami liczonymi w godzinach.
To rozróżnienie jest istotne, bo termin wrześniowy nie oznacza, że od tego dnia trzeba mieć domknięty cały CRA. Oznacza, że trzeba umieć wykryć kwalifikujące się zdarzenie i zgłosić je w wymaganym czasie. Zdolność zgłoszeniowa jest więc obowiązkiem, który wyprzedza resztę aktu o ponad rok.
Trzy zegary: 24 h, 72 h, 14 dni albo miesiąc
Zgłoszenie nie jest jednym dokumentem, tylko sekwencją. Licznik startuje w chwili, w której producent dowiaduje się o zdarzeniu. Najprościej ująć to w tabeli.
| Etap | Termin | Co zawiera |
|---|---|---|
| Wczesne ostrzeżenie | 24 godziny | Sygnał: co się dzieje, jakiego produktu dotyczy, czy jest wykorzystywane |
| Pełne zgłoszenie | 72 godziny | Charakter zdarzenia, dotychczasowa ocena, środki zaradcze |
| Raport końcowy (podatność) | 14 dni od poprawki | Pełny opis i udostępniony środek naprawczy |
| Raport końcowy (incydent) | miesiąc od zgłoszenia | Pełny opis, skutki i podjęte działania |
Ta różnica przy raporcie końcowym bywa gubiona, bo notatki branżowe często podają tylko regułę 14 dni. Dla poważnego incydentu zegar końcowy jest dłuższy, liczony w miesiąc. W praktyce trzy zegary znaczą jedno: procedura reagowania musi umieć rozpoznać, że zdarzenie kwalifikuje się pod CRA, i uruchomić zgłoszenie w godzinach, a nie w tygodniach. Doba to mało czasu, jeśli decyzja o zgłoszeniu wymaga eskalacji przez kilka osób, których nie ma w procedurze.
Warto też zwrócić uwagę na moment, od którego liczy się doba. Zegar startuje w chwili powzięcia wiedzy o zdarzeniu, a nie w chwili jego pełnego zrozumienia. Nie można więc czekać z 24-godzinnym ostrzeżeniem, aż analiza będzie kompletna, bo wtedy termin już przepada. Wczesne ostrzeżenie z natury jest niepełne i tak ma być: uzupełnia się je pełnym zgłoszeniem w 72 godziny. Zespół, który myli te dwa etapy, zwykle spóźnia się z pierwszym.
Kogo dotyczy obowiązek: tabela decyzyjna
Adresatem jest producent produktu z elementami cyfrowymi, czyli podmiot, który wprowadza taki produkt do obrotu pod własną nazwą lub znakiem. To szeroka kategoria: oprogramowanie, ale też sprzęt zawierający oprogramowanie lub komponent łączności. Najprościej ustalić swoją sytuację z tabeli.
| Wasza sytuacja | Czy CRA was dotyczy | Co zrobić |
|---|---|---|
| Wprowadzacie maszynę ze sterownikiem lub firmware pod własną marką | Tak, jesteście producentem | Zbudować zdolność zgłoszeniową na 11 września |
| Sprzedajecie osobno oprogramowanie z elementami cyfrowymi | Tak | Objąć produkt tą samą procedurą zgłoszeniową |
| Komponent innego dostawcy w waszym produkcie | Tak, jeśli podatność jest wykorzystywalna w waszym produkcie | Monitorować dostawców i ich podatności |
| Tylko używacie cudzego rozwiązania AI lub IT | Nie, obowiązek leży u producenta | Zabezpieczyć to w umowie i procedurze incydentowej |
| Produkt już nie jest wspierany, ale wciąż jest na rynku | Obowiązek zgłoszeń trwa | Utrzymać kanał zgłoszeń mimo końca wsparcia |
Jak zwraca uwagę analiza kancelarii Pearl Cohen, obowiązek zgłaszania trwa nawet po zakończeniu wsparcia produktu, a podatność w komponencie innego dostawcy zgłasza się wtedy, gdy podatny kod jest realnie wykorzystywalny w waszym produkcie. Samo słowo „maszyna” nie przesądza sprawy, przesądza obecność elementu cyfrowego i to, że wprowadzacie produkt do obrotu.
Trzy zegary CRA startują w chwili, gdy producent dowiaduje się o zdarzeniu.
CRA a NIS2: dwie role, dwa komplety obowiązków
Najczęstsze nieporozumienie brzmi: skoro raportuję już incydenty w NIS2, to CRA nic nie zmienia. Zmienia, bo oba akty patrzą na tę samą firmę w innej roli.
NIS2 traktuje was jako podmiot, który używa systemów i świadczy usługi, i pyta o zgłaszanie incydentów wpływających na te usługi. CRA traktuje was jako producenta, który wprowadza produkt do obrotu, i pyta o zgłaszanie podatności i incydentów w tym produkcie. Ta sama spółka może podlegać obu, w dwóch różnych rolach, z dwoma osobnymi kompletami obowiązków i dwoma osobnymi zegarami. Jeden incydent potrafi uruchomić kilka liczników naraz: NIS2 wobec CSIRT, CRA wobec CSIRT i ENISA, a przy naruszeniu danych osobowych także RODO wobec organu nadzorczego. Dlatego procedura incydentowa musi je rozgałęziać, zamiast zakładać, że jedno zgłoszenie załatwia wszystko.
Jeśli dopiero układacie stronę NIS2, przydatne są nasze teksty o rejestracji NIS2 do 3 października 2026 oraz o tym, co NIS2 znaczy dla wdrożenia AI. CRA dokłada do tego osobną, produktową gałąź.
Jak przebiega zgłoszenie i do kogo trafia
CRA porządkuje kanał zgłoszeniowy, zamiast mnożyć okienka. Producent zgłasza raz, przez jedną platformę, tak zwaną CRA Single Reporting Platform. Zgłoszenie trafia do właściwego CSIRT, wyznaczonego jako koordynator w państwie głównej siedziby producenta, a informacja jest równocześnie udostępniana ENISA. Jeśli produkt był udostępniony w innych państwach, przyjmujący CSIRT bez zbędnej zwłoki dzieli się zgłoszeniem z pozostałymi właściwymi zespołami.
Praktyczny wniosek jest taki, że zdolność zgłoszeniowa opiera się na tym, co i tak powinno działać: na wykrywaniu i na logach. Bez telemetrii, która pokazuje, że podatność jest wykorzystywana albo że produkt zachowuje się nietypowo, zegar 24 godzin startuje za późno lub wcale. To ten sam fundament, którego wymaga audyt NIS2, i dlatego narzędzia AI pracujące na waszych danych powinny zostawiać ślad, który da się pokazać. Rozkładamy to w tekście o tym, dlaczego publiczna AI nie przejdzie waszego audytu.
Co zrobić przed 11 września
Do wejścia obowiązku zostało niewiele czasu, ale przygotowanie nie jest projektem na kwartał, jeśli macie już zręby reagowania na incydenty.
- Ustalcie, czy jesteście producentem i dla których produktów. Bez tej mapy nie wiecie, których zdarzeń zegar dotyczy. To pierwsza kolumna każdej dalszej decyzji.
- Wpiszcie CRA do procedury incydentowej jako osobną gałąź. Z własnymi terminami i adresatem, a nie jako wariant zgłoszenia NIS2. Wskażcie wprost, kto decyduje o zgłoszeniu i kto ma dostęp do platformy.
- Sprawdźcie wykrywanie i logi. Czy w ogóle pozwalają stwierdzić, że podatność jest aktywnie wykorzystywana. To najczęstsza luka: obowiązek jest, a sygnał, który go uruchamia, nie dociera na czas.
- Przećwiczcie jedno zgłoszenie na sucho. Symulacja pokazuje, gdzie 24 godziny pękają, zanim zrobi to prawdziwy incydent.
- Rozdzielcie dwie daty. 11 września 2026 to start raportowania, nie całego aktu. Na wrzesień potrzebujecie działającej zdolności zgłoszeniowej, nie kompletnej zgodności produktowej, która ma termin 11 grudnia 2027.
Jeśli chcecie sprawdzić, gdzie w waszej architekturze AI brakuje śladu potrzebnego do wykrycia i zgłoszenia, nasz mini-audyt gotowości zajmuje 10 minut i nie wymaga zostawiania danych.
Najczęstsze pytania
Od kiedy dokładnie obowiązuje raportowanie w CRA?
Od 11 września 2026 dla aktywnie wykorzystywanych podatności i poważnych incydentów. Pełne obowiązki produktowe CRA zaczynają obowiązywać 11 grudnia 2027.
Jakie są terminy zgłoszenia?
Wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiedzy, pełne zgłoszenie w ciągu 72 godzin, a raport końcowy w ciągu 14 dni od udostępnienia środka naprawczego dla podatności albo w ciągu miesiąca dla poważnego incydentu.
Do kogo składa się zgłoszenie?
Raz, przez CRA Single Reporting Platform. Zgłoszenie trafia do właściwego CSIRT w państwie głównej siedziby producenta, a informacja jest równocześnie udostępniana ENISA, która dzieli się nią z CSIRT innych państw.
Czym różni się to od raportowania w NIS2?
Rolą. NIS2 widzi was jako podmiot używający systemów i świadczący usługi, CRA jako producenta wprowadzającego produkt do obrotu. Ta sama firma może podlegać obu, w dwóch rolach, z osobnymi terminami i adresatami.
Co muszę mieć gotowe na 11 września?
Działającą zdolność zgłoszeniową: wiedzę, które produkty czynią was producentem, procedurę incydentową z osobną gałęzią CRA, wyznaczonego decydenta i dostęp do platformy oraz wykrywanie i logi, które pozwalają zauważyć kwalifikujące się zdarzenie.
Fryderyk, CortexMine. Piszemy o prywatnej AI dla producentów objętych NIS2, na podstawie własnych wdrożeń i testów.
To nie jest porada prawna. Zakres obowiązków zależy od profilu produktu i organizacji, w razie wątpliwości skonsultujcie się z prawnikiem od cyberbezpieczeństwa.
Wolicie to omówić? Umówcie 30-minutową rozmowę z założycielem, bez pitchu, po prostu o waszym przypadku.