CRA: Wasz produkt, Wasza dokumentacja, wszystko w jednym miejscu
Akt o cyberodporności ustanawia wymagania dla produktów z elementami cyfrowymi w całym cyklu życia. Complass prowadzi Państwa produkt po produkcie od stosowalności po oznakowanie CE.
Zarządzanie zgodnością w 20 sekundProjekt, następny krok, lista kontrolna, deklaracja stosowania, pakiet audytowy. Beispieldaten der Demo-Firma.
Czym jest CRA?
Akt o cyberodporności (CRA) to rozporządzenie (UE) 2024/2847 w sprawie horyzontalnych wymogów cyberbezpieczeństwa dla produktów z elementami cyfrowymi. Wymaga bezpieczeństwa już na etapie projektowania, obsługi podatności przez cały okres wsparcia, zgłaszania aktywnie wykorzystywanych podatności oraz oceny zgodności z oznakowaniem CE.
Aktualność treści:
Czy dotyczy to nas?
CRA ma zastosowanie do produktów z elementami cyfrowymi udostępnianych na rynku UE, czyli sprzętu i oprogramowania z połączeniem danych, takiego jak sterowniki, urządzenia i aplikacje. Obowiązki dotyczą głównie producentów, a także importerów i dystrybutorów. Wyjątki dotyczą m.in. produktów już objętych niektórymi innymi przepisami UE.
Obowiązki zgłoszeniowe z art. 14 obowiązują od 11 września 2026 r., także dla produktów wprowadzonych do obrotu przed tą datą.
Niniejszy przegląd nie zastępuje porady prawnej. Rozstrzygający jest tekst prawny lub normatywny; w Complass stosowalność sprawdza się za pomocą wskazówek opartych na odnośnikach do przepisów.
Podstawa prawna
Art. 2 CRAArtykuł 2 Akt o cyberodpornościZakres1. Niniejsze rozporządzenie stosuje się do udostępnianych na rynku produktów z elementami cyfrowymi, których przeznaczenie lub racjonalnie przewidywalne wykorzystanie obejmuje bezpośrednie lub pośrednie logiczne lub fizyczne połączenie danych z urządzeniem lub siecią. 2. Niniejszego rozporządzenia nie stosuje się do produktów z elementami cyfrowymi, do których zastosowanie mają następujące akty prawne Unii: - a) …Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Zakres
Art. 3 CRAArtykuł 3 Akt o cyberodpornościDefinicjeDo celów niniejszego rozporządzenia stosuje się następujące definicje: 1) „produkt z elementami cyfrowymi” oznacza oprogramowanie komputerowe lub sprzęt komputerowy oraz powiązane z nimi rozwiązania w zakresie zdalnego przetwarzania danych, w tym komponenty oprogramowania lub sprzętu, które są oddzielnie wprowadzane do obrotu; 2) „zdalne przetwarzanie danych” oznacza przetwarzanie danych na odległość, na potrzeby …Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Definicje
Art. 7 CRAArtykuł 7 Akt o cyberodpornościWażne produkty z elementami cyfrowymi1. Produkty z elementami cyfrowymi, które posiadają podstawową funkcjonalność kategorii produktów określonej w załączniku III, uznaje się za ważne produkty z elementami cyfrowymi i podlegają one procedurom oceny zgodności, o których mowa w art. 32 ust. 2 i 3. Włączenie produktu z elementami cyfrowymi, który posiada podstawową funkcjonalność kategorii produktów określonej w załączniku III, samo w sobie nie powoduje, …Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Ważne produkty z elementami cyfrowymi
Art. 13 CRAArtykuł 13 Akt o cyberodpornościObowiązki producentów1. Wprowadzając produkt z elementami cyfrowymi do obrotu, producenci zapewniają, aby został on zaprojektowany, opracowany i wyprodukowany zgodnie z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część I. 2. W celu zapewnienia zgodności z ust. 1, producenci przeprowadzają ocenę ryzyka w cyberprzestrzeni związanego z produktem z elementami cyfrowymi i uwzględniają wynik tej oceny na …Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Obowiązki producentów
Kluczowe terminy
Wejście rozporządzenia w życie
Art. 71 ust. 1Artykuł 71 Akt o cyberodpornościWejście w życie i rozpoczęcie stosowania1. Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej. 2. Niniejsze rozporządzenie stosuje się od dnia 11 grudnia 2027 r. Art. 14 stosuje się jednak od dnia 11 września 2026 r., a rozdział IV (art. 35–51) stosuje się od dnia 11 czerwca 2026 r.Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Rozdział IV (jednostki notyfikowane, art. 35–51) ma zastosowanie
Art. 71 ust. 2Artykuł 71 Akt o cyberodpornościWejście w życie i rozpoczęcie stosowania1. Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej. 2. Niniejsze rozporządzenie stosuje się od dnia 11 grudnia 2027 r. Art. 14 stosuje się jednak od dnia 11 września 2026 r., a rozdział IV (art. 35–51) stosuje się od dnia 11 czerwca 2026 r.Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Obowiązki zgłoszeniowe z art. 14 mają zastosowanie – także do produktów już znajdujących się na rynku
Art. 71 ust. 2, art. 69 ust. 3Artykuł 71 Akt o cyberodpornościWejście w życie i rozpoczęcie stosowania1. Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej. 2. Niniejsze rozporządzenie stosuje się od dnia 11 grudnia 2027 r. Art. 14 stosuje się jednak od dnia 11 września 2026 r., a rozdział IV (art. 35–51) stosuje się od dnia 11 czerwca 2026 r.Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Systemy EHR: ocena zgodności według rozporządzenia EHDS (art. 32 ust. 5a); zmiana art. 13 ust. 4 i art. 31 ust. 3
Art. 104 rozporządzenia (UE) 2025/327Artykuł 71 Akt o cyberodpornościWejście w życie i rozpoczęcie stosowania1. Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej. 2. Niniejsze rozporządzenie stosuje się od dnia 11 grudnia 2027 r. Art. 14 stosuje się jednak od dnia 11 września 2026 r., a rozdział IV (art. 35–51) stosuje się od dnia 11 czerwca 2026 r.Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Pełne stosowanie rozporządzenia
Art. 71 ust. 2Artykuł 71 Akt o cyberodpornościWejście w życie i rozpoczęcie stosowania1. Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej. 2. Niniejsze rozporządzenie stosuje się od dnia 11 grudnia 2027 r. Art. 14 stosuje się jednak od dnia 11 września 2026 r., a rozdział IV (art. 35–51) stosuje się od dnia 11 czerwca 2026 r.Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
24 godziny / 72 godziny / 14 dni
Wczesne ostrzeżenie, zgłoszenie i sprawozdanie końcowe dla aktywnie wykorzystywanych podatności (sprawozdanie końcowe 14 dni po udostępnieniu poprawki)
Art. 14 CRAArtykuł 14 Akt o cyberodpornościObowiązki producentów w zakresie zgłaszania1. Producent jednocześnie zgłasza jakiekolwiek aktywnie wykorzystywane podatności zawarte w produkcie z elementami cyfrowymi, o których się dowiedział, CSIRT-owi wyznaczonemu na koordynatora zgodnie z ust. 7 niniejszego artykułu oraz ENISA. Producent zgłasza aktywnie wykorzystywaną podatność za pośrednictwem pojedynczej platformy sprawozdawczej ustanowionej na podstawie art. 16. 2. Do celów zgłoszenia, o którym mowa …Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Dziesięć faz od stosowalności i roli przez klasyfikację i ocenę ryzyka po deklarację zgodności, obowiązki po wprowadzeniu do obrotu i odpowiedzialność za produkt.
Katalog dla załącznika I
Zasadnicze wymogi cyberbezpieczeństwa i obsługa podatności ze statusem i dowodami, możliwe do powiązania z IEC 62443-3-3 i rozporządzeniem w sprawie maszyn.
Podatności we własnym produkcie
Import SBOM, stałe dopasowywanie komponentów do publicznych danych o podatnościach i utworzenie wstępnie wypełnionego incydentu z art. 14 w razie aktywnego wykorzystywania.
Dokumentacja techniczna
Szablony m.in. dla szacowania ryzyka, koncepcji SBOM, procesu obsługi podatności, polityki ujawniania, informacji dla użytkownika zgodnie z załącznikiem II i unijnej deklaracji zgodności.
The CRA and the Machinery Regulation in one file per product and version: requirements, SBOM, vulnerabilities, support period. Complass drafts the technical documentation and the EU declaration of conformity.
Czego Państwo minimalnie potrzebują jako Producenci
Jeśli są Państwo producentem w rozumieniu CRA, ten wybór obejmuje obowiązki w Complass. Czy tak jest, pokaże bezpłatna kontrola stosowalności.
Minimalny wybór Producenci
Pakiet Start, rozmiar S, z Podatności i techniki ataku
Podatności i techniki ataku (w tym SBOM, dokumentacja produktu CRA i MITRE ATT&CK): Obsługiwać podatności i w przypadku aktywnie wykorzystywanych podatności przekazać wczesne ostrzeżenie w ciągu 24 godzin. (Art. 14, załącznik I część II CRA (otwiera się w nowej karcie))+ 149 €
Zarządzanie incydentami
RODO, Akt w sprawie AI i Ochrona sygnalistów (HinSchG) (ochrona podstawowa)
Jeśli są Państwo wyłącznie importerem lub dystrybutorem (art. 19, 20 CRA), w Complass wystarczy regulacja CRA bez modułu podatności: Start, 199 € netto/miesiąc. Kto oferuje produkty pod własną nazwą lub istotnie je modyfikuje, uchodzi za producenta (art. 21, 22 CRA). Zobacz wybór: Minimalny wybór Importer lub dystrybutor
Polecany
Business
739 €netto miesięcznie
Większy efekt dzięki Zarządzanie zasobami i strefami, Supplier Management i Zarządzanie ciągłością działania (BCM), miejsce dla 10 użytkowników i 2 ram regulacyjnych.
Przy płatności rocznej, minimalny okres umowy 12 miesięcy. Płatność miesięczna z dopłatą 15 %. Wszystkie ceny netto plus VAT, stan na 06/11/2026. Wszystkie pakiety i moduły w przeglądzie cen
Obowiązki mogą Państwo spełnić także bez Complass. Complass wspiera wdrożenie i dokumentowanie, ale nie zastępuje porady prawnej. Informacje prawne
Często zadawane pytania
Budujemy maszyny ze sterownikiem. Czy ma zastosowanie CRA czy rozporządzenie w sprawie maszyn?+
Często oba. Complass pokazuje pokrywanie się wymagań i łączy katalogi, tak aby dowody przedstawiać tylko raz.
Czy Complass przekazuje zgłoszenie do ENISA?+
Nie. Complass wylicza terminy i przygotowuje treść; zgłoszenie przekazują Państwo za pośrednictwem platformy zgłoszeniowej.
Mogą Państwo samodzielnie założyć konto testowe, na życzenie z przykładowym projektem dla każdej regulacji. Jeśli wolą Państwo najpierw zobaczyć Complass, proszę umówić demo.
