Nie przegap już żadnych nowości i zmian dotyczących CE! Zarejestruj się teraz w serwisie informacyjnym CE (w języku angielskim)
Udostępnij artykuł specjalistyczny
W dniu 20 listopada 2024 r. w Dzienniku Urzędowym Unii Europejskiej opublikowano rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymogów dotyczących cyberbezpieczeństwa produktów zawierających elementy cyfrowe, tzw. akt o cyberodporności (w skrócie CRA). Przepis ten ma na celu zapewnienie bezpieczeństwa wielu produktów, takich jak podłączone do sieci kamery domowe, lodówki, telewizory, zabawki, a także maszyny, przed ich wprowadzeniem na rynek.
Nowe rozporządzenie ma na celu wypełnienie luk, wyjaśnienie powiązań i ujednolicenie istniejących ram prawnych dotyczących cyberbezpieczeństwa, aby zapewnić bezpieczeństwo produktów zawierających elementy cyfrowe, np. produktów Internetu rzeczy (Internet of Things, IoT), w całym łańcuchu dostaw i przez cały cykl życia.
Uwaga: Ten artykuł specjalistyczny jest na bieżąco aktualizowany. Nie przegap ważnych aktualizacji i zapisz się do naszego bezpłatnego newsletter lub śledź nas na LinkedIn!
Zapisz się do Newsletter
Śledź IBF na LinkedIn
Kontekst
Wraz z aktem o cyberodporności Unia Europejska po raz pierwszy ustanowiła horyzontalne ramy prawne dotyczące cyberbezpieczeństwa produktów z elementami cyfrowymi. Celem regulacji jest poprawa cyberbezpieczeństwa produktów sprzętowych i oprogramowania w całym ich cyklu życia oraz uzupełnienie istniejących luk w europejskich ramach prawnych.
Komisja Europejska przedstawiła projekt aktu o cyberodporności we wrześniu 2022 r. Po zakończeniu procesu legislacyjnego rozporządzenie (UE) 2024/2847 zostało opublikowane w Dzienniku Urzędowym Unii Europejskiej 20 listopada 2024 r. i weszło w życie 10 grudnia 2024 r. Większość wymagań będzie stosowana od 11 grudnia 2027 r., jednak niektóre przepisy zaczną obowiązywać wcześniej.
Od kiedy stosuje się przepisy aktu o cyberodporności?
W dniu 20 listopada 2024 r. w Dzienniku Urzędowym UE opublikowano akt o cyberodporności (Cyber Resilience Act, CRA), nową ustawę w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi.
Od kiedy należy stosować akt o cyberodporności?
Nowe rozporządzenie wejdzie w życie dwadzieścia dni po opublikowaniu w Dzienniku Urzędowym UE (10 grudnia 2024 r.) i będzie miało bezpośrednie zastosowanie w każdym państwie członkowskim UE 36 miesięcy po wejściu w życie, czyli od 11 grudnia 2027 r.
Niektóre przepisy będą obowiązywać już wcześniej:
Dlaczego Unia Europejska przyjęła akt o cyberodporności?
Nowa ustawa „akt o cyberodporności” ma na celu zapewnienie większego bezpieczeństwa produktów cyfrowych dla osób fizycznych i przedsiębiorstw. Producenci takich produktów – zarówno sprzętu, jak i oprogramowania – będą zobowiązani do usuwania luk w zabezpieczeniach za pomocą aktualizacji oprogramowania oraz do informowania użytkowników końcowych swoich produktów o potencjalnych zagrożeniach dla cyberbezpieczeństwa.
Ponadto rozporządzenie określa wymagania dotyczące tworzenia oprogramowania, podkreślając tym samym zasadę „Security by Design” (bezpieczeństwo już na etapie projektowania), wymaganą również w obowiązującej już ustawie „Cyber Security Act”.
Jakie są cele aktu o cyberodporności?
Nadrzędnym celem aktu o cyberodporności jest poprawa cyberbezpieczeństwa produktów sprzętowych i oprogramowania na rynku wewnętrznym UE. Komisja konkretyzuje cele aktu prawnego w postaci 4 środków:
Co można powiedzieć o zakresie stosowania aktu o cyberodporności?
Z zakresu stosowania rozporządzenia wynika, że obszar ten jest bardzo szeroki:
„Niniejsze rozporządzenie stosuje się do udostępnianych na rynku produktów z elementami cyfrowymi, których przeznaczenie lub racjonalnie przewidywalne wykorzystanie obejmuje bezpośrednie lub pośrednie logiczne lub fizyczne połączenie danych z urządzeniem lub siecią.“
Ze względu na szeroki zakres stosowania rozporządzenie obejmuje zarówno produkty sprzętowe, takie jak maszyny i urządzenia IoT, jak i produkty programowe.
W zakresie stosowania wymieniono również wyjątki, np. wyroby medyczne zgodnie z rozporządzeniem (UE) 2017/745 nie wchodzą w zakres stosowania CRA.
Akt prawny reguluje również przyszłą współpracę z rozporządzeniem delegowanym 2022/30, które już teraz wymaga spełnienia wymagań bezpieczeństwa dotyczących internetowych instalacji w rozumieniu dyrektywy 2014/53/UE w sprawie urządzeń radiowych. W ten sposób Bruksela ogłosiła, że w celu uniknięcia nakładania się przepisów rozporządzenie 2022/30 zostanie uchylone. Odpowiedni akt prawny został opublikowany w Dzienniku Urzędowym UE w dniu 29 kwietnia 2026 r. i wyznacza datę 12 grudnia 2027 r. jako datę wejścia w życie CRA.
Czy akt o cyberodporności wymaga procedury oceny zgodności oraz „oceny ryzyka cyberbezpieczeństwa“?
Podobnie jak inne akty prawne UE, na przykład dyrektywa maszynowa, a w przyszłości rozporządzenie w sprawie maszyn, akt o cyberodporności przewiduje również procedurę oceny zgodności.
Jednym z kluczowych elementów tej procedury jest ocena ryzyka w cyberprzestrzeni. W niniejszym artykule określamy ją – przez analogię do oceny ryzyka znanej z obszaru bezpieczeństwa maszyn – jako „ocenę ryzyka cyberbezpieczeństwa“. Takie porównanie jest szczególnie pomocne dla producentów maszyn.
Art. 13 ust. 2 CRA stanowi w tym zakresie:
„ (...) producenci przeprowadzają ocenę ryzyka w cyberprzestrzeni związanego z produktem z elementami cyfrowymi i uwzględniają wynik tej oceny na etapie planowania, projektowania, opracowywania, produkcji, dostarczania i utrzymania produktu z elementami cyfrowymi w celu zminimalizowania ryzyka w cyberprzestrzeni, zapobiegania incydentom i zminimalizowania ich skutków, w tym w odniesieniu do zdrowia i bezpieczeństwa użytkowników“
W zależności od krytyczności produktów procedura oceny zgodności rozróżnia między wewnętrzna kontrola produkcji (moduł A) a dwiema procedurami, w których konieczne jest zaangażowanie jednostek notyfikowanych. Szczegółowe informacje na ten temat można znaleźć w arkuszu informacyjnym dotyczącym aktu o cyberodporności.
Naszym zdaniem szczególne znaczenie dla producentów mają wymagania określone w pkt 2 załącznika VII do rozporządzenia. Dokumentacja techniczna musi obejmować m.in. informacje dotyczące projektowania, opracowywania, produkcji oraz procedur postępowania w przypadku wykrycia podatności.
W przypadku rozwoju oprogramowania oznacza to konieczność dokumentowania zarówno decyzji dotyczących architektury oprogramowania, jak i decyzji odnoszących się do procesów rozwoju i kompilacji (build). Dla producentów może to oznaczać dodatkowe wymagania w zakresie dokumentacji. Oczywiście oznacza to dla przedsiębiorstw zwiększony nakład pracy związany z dokumentacją. W szczególności szybki rozwój technologiczny narzędzi związanych z tworzeniem oprogramowania (np. dla procesów kompilacji) z pewnością postawi przed przedsiębiorstwami w przyszłości możliwe do pokonania, ale nie należy ich lekceważyć, wyzwania organizacyjne.
Treść w brzmieniu:
„ZAWARTOŚĆ DOKUMENTACJI TECHNICZNEJ
(…)
opis projektowania, opracowywania i produkcji produktu z elementami cyfrowymi oraz procedur postępowania w przypadku wykrycia podatności, w tym:
(a) niezbędne informacje o projektowaniu i opracowaniu produktu z elementami cyfrowymi, w tym w stosownych przypadkach rysunki i schematy lub opis architektury systemu wyjaśniający, jak elementy oprogramowania współgrają ze sobą lub wzajemnie się uzupełniają oraz włączają się w ogólne przetwarzanie;
(b) niezbędne informacje i specyfikacje wprowadzonych przez producenta procedur postępowania w przypadku wykrycia podatności, w tym zestawienie podstawowych materiałów do produkcji oprogramowania, politykę skoordynowanego ujawniania podatności, dowód, że podano adres do kontaktu do celów zgłaszania podatności, oraz opis rozwiązań technicznych wybranych na potrzeby bezpiecznej dystrybucji aktualizacji;
(c) niezbędne informacje i specyfikacje dotyczące procesów produkcji i monitorowania produktu z elementami cyfrowymi oraz walidacji tych procesów;“
Co oznaczają wymagania aktu o cyberodporności dla producentów?
Niemiecki Federalny Urząd Bezpieczeństwa Technologii Informacyjnych (Bundesamt für Sicherheit in der Informationstechnik – BSI) oferuje wsparcie w identyfikacji wymagań CRA dla producentów poprzez opublikowanie wytycznych technicznych TR-03183. Więcej informacji na ten temat można znaleźć w naszym artykule specjalistycznym „Wytyczne techniczne dotyczące wymagań w zakresie cyberodporności” (w języku angielskim).
Jak działają obowiązki zgłaszania i platforma Single Reporting Platform?
Od 11 września 2026 r. zaczną obowiązywać obowiązki zgłaszania wynikające z aktu o cyberodporności. Od tego momentu producenci będą musieli zgłaszać aktywnie wykorzystywane luki w zabezpieczeniach oraz poważne incydenty związane z bezpieczeństwem w produktach zawierających elementy cyfrowe.
W celu składania tych zgłoszeń ENISA udostępnia tzw. Single Reporting Platform (SRP). Służy ona jako centralny punkt kontaktowy, dzięki czemu producenci muszą złożyć zgłoszenie tylko raz. Podczas zgłoszenia jako koordynator wybierany jest właściwy zespół CSIRT (Computer Security Incident Response Team). Wybór ten zasadniczo zależy od tego, w którym państwie członkowskim producent ma swoją główną siedzibę. Zgłoszenie jest jednocześnie udostępniane agencji ENISA i w razie potrzeby przekazywane do innych zainteresowanych zespołów CSIRT oraz organów nadzoru rynku.
Rozporządzenie CRA przewiduje w tym zakresie wieloetapową procedurę zgłaszania: w ciągu 24 godzin od powzięcia wiadomości o zdarzeniu podlegającym zgłoszeniu należy najpierw przekazać wczesne ostrzeżenie. W ciągu 72 godzin należy przekazać dalsze informacje oraz wstępną ocenę. Następnie wymagane jest sporządzenie raportu końcowego. W przypadku aktywnie wykorzystywanych luk w zabezpieczeniach raport ten musi zostać przedłożony najpóźniej 14 dni po udostępnieniu środka naprawczego, a w przypadku poważnych incydentów związanych z bezpieczeństwem – w ciągu miesiąca od zgłoszenia w terminie 72 godzin.
ENISA udostępnia obecnie konkretne wytyczne dotyczące rejestracji i korzystania z platformy SRP, a także składania i aktualizowania zgłoszeń. Producenci powinni zatem jak najwcześniej zapoznać się z platformą i ustalić wewnętrzne procedury rozpoznawania, oceny oraz rozpatrywania w wyznaczonych terminach ewentualnych zdarzeń podlegających zgłoszeniu.
Kiedy pojawią się zharmonizowane normy dotyczące aktu o cyberodporności?
W dniu 3 lutego 2025 r. Komisja oficjalnie zwróciła się do europejskich organizacji normalizacyjnych CEN, CENELEC i ETSI o opracowanie „zharmonizowanych norm dotyczących zasadniczych wymagań w zakresie cyberbezpieczeństwa wymienionych w załączniku I do niniejszego rozporządzenia”. W ramach tego zlecenia normalizacyjnego Komisja dąży do uwzględnienia istniejących norm europejskich i międzynarodowych w dziedzinie cyberbezpieczeństwa, które zostały już opublikowane lub są obecnie opracowywane.
Główny dokument zlecenia normalizacyjnego zawiera motywy oraz aspekty formalne, takie jak sprawozdawczość i okres ważności, natomiast w załącznikach do zlecenia przedstawiono konkretne wykazy nowych norm europejskich, które mają zostać opracowane (załącznik I), a także ich profil wymagań (załącznik II), podzielone na normy horyzontalne i wertykalne.
Normy horyzontalne (wiersze 1–15 w załączniku I) mają na celu stworzenie spójnych ogólnych ram w odniesieniu do wymagań bezpieczeństwa oraz postępowania w przypadku luk w zabezpieczeniach. Natomiast normy wertykalne (wiersze 16–41) obejmują wymagania bezpieczeństwa dla określonych kategorii produktów.
Podczas webinarium „Standards supporting the act o cyberodporności”1 CEN/CENELEC przedstawiły ponadto hierarchiczny model takich przyszłych norm CRA, który silnie przypomina podział na normy typu A, B i C zawarty w Dzienniku Urzędowym UE dotyczącym dyrektywy maszynowej lub rozporządzenia maszynowego. Również w tym przypadku obowiązuje zasada:
Zgodnie z informacjami przedstawionymi podczas webinarium termin przyjęcia norm horyzontalnych typu A oraz norm typu B dotyczących usuwania luk w zabezpieczeniach przewidziano najpóźniej na 30 sierpnia 2026 r. Normy typu C dla poszczególnych kategorii produktów muszą być gotowe do 30 października 2026 r., a tuż przed wejściem w życie CRA 11 grudnia 2027 r. pojawią się normy typu B dotyczące środków technicznych (30 października 2027 r.). Obecnie należy się spodziewać, że zwłaszcza terminy wyznaczone na rok 2026 nie będą mogły zostać dotrzymane – w związku z tym planowana jest zmiana zlecenia normalizacyjnego CRA, w ramach której oba terminy mają zostać przesunięte o 2 miesiące w przyszłość. Zmiana ta ma obecnie formę jedynie projektu, a ostateczna publikacja odpowiedniej decyzji wykonawczej w Dzienniku Urzędowym UE nie nastąpiła jeszcze.
Przegląd przyszłej klasyfikacji oraz planowanego wdrożenia (na podstawie aktualnych informacji) przedstawiono na poniższym wykresie2:
Czy istnieją już przykłady norm i specyfikacji, które można by ujednolicić w celu spełnienia wymagań CRA?
W zleceniu normalizacyjnym wyraźnie mowa jest o „nowych normach europejskich, które należy opracować”. Niemniej jednak CEN, CENELEC i ETSI mogą korzystać z już istniejących dokumentów.
Przykładami takich norm i specyfikacji, które mogłyby zostać zharmonizowane w celu spełnienia wymagań CRA, są:
Analogicznie do nowego rozporządzenia maszyn (UE) 2023/1230, w przypadku braku zharmonizowanych norm dotyczących wymogów w zakresie cyberbezpieczeństwa określonych w załączniku I, Komisja może przyjąć akty wykonawcze zawierające wspólne specyfikacje dotyczące wymogów technicznych. Ustawodawca pozostawia sobie tę opcję na wypadek, gdyby pożądane normy nie zostały dostarczone w wyznaczonym terminie, zlecenie normalizacyjne nie zostało przyjęte lub treść dokumentów nie odpowiadała zleceniu.
Szczególnie dla producentów maszyn cenne źródło informacji stanowią następujące dokumenty:
Jaki jest związek między aktem o cyberodporności a dyrektywą NIS 2?
Dyrektywa NIS 2 dotyczy przede wszystkim cyberbezpieczeństwa podmiotów kluczowych i ważnych oraz wykorzystywanych przez nie sieci i systemów informatycznych. Podmioty objęte jej zakresem stosowania są zobowiązane do stosowania odpowiednich i proporcjonalnych środków w celu zarządzania ryzykiem w zakresie cyberbezpieczeństwa.
Akt o cyberodporności koncentruje się natomiast na wymaganiach dotyczących cyberbezpieczeństwa produktów z elementami cyfrowymi i nakłada obowiązki na odpowiednie podmioty gospodarcze, w szczególności na producentów.
W uproszczeniu można zatem powiedzieć, że NIS 2 koncentruje się przede wszystkim na cyberbezpieczeństwie podmiotów oraz ich sieci i systemów informatycznych, natomiast CRA dotyczy cyberbezpieczeństwa produktów z elementami cyfrowymi w całym ich cyklu życia.
W dniu 20 listopada 2024 r. w Dzienniku Urzędowym UE opublikowano ostateczną wersję aktu o cyberodporności. Pełny tekst rozporządzenia (UE) 2024/2847 można znaleźć pod następującym linkiem:
Akt o cyberodporności 2024/2847 z dnia 20 listopada 2024 r.
Zmiany i poprawki do aktu o cyberodporności
W dniu 5 marca 2025 r. akt o cyberodporności został zmieniony na mocy rozporządzenia (UE) 2025/327 w sprawie europejskiej przestrzeni danych dotyczących zdrowia (EHDS). Rozporządzenie to reguluje dostęp, wykorzystanie i ochronę elektronicznych danych dotyczących zdrowia na terenie UE.
Uzupełnia ono przepisy aktu o cyberodporności w zakresie wymagań bezpieczeństwa dotyczących cyfrowych produktów medycznych, określa jednolitą dokumentację techniczną dla oprogramowania medycznego oraz ustanawia zasady dotyczące modeli „oprogramowanie jako usługa” (SaaS), które nie podlegają bezpośrednio przepisom aktu o cyberodporności.
W dniu 2 lipca 2025 r. Komisja Europejska opublikowała sprostowanie 2025/90555. We wszystkich wersjach językowych ustawy CRA wprowadzono zmianę w art. 64 ust. 10. Dotychczas znajdowało się tam sformułowanie „W drodze odstępstwa od ustępów 3–9...”, natomiast obecnie odstępstwo dotyczy ustępów 2–9. W związku z tym małe i mikroprzedsiębiorstwa wymienione w art. 64 ust. 10, a także administratorzy oprogramowania open source są zwolnieni z odpowiednich kar pieniężnych określonych w art. 64 ust. 2.
Inne publikacje dotyczące CRA w Dzienniku Urzędowym Unii Europejskiej
W dniu 1 grudnia 2025 r. w Dzienniku Urzędowym UE opublikowano rozporządzenie wykonawcze (UE) 2025/2392. Ten tzw. akt wykonawczy musiał zostać opublikowany zgodnie z rozporządzeniem najpóźniej do dnia 11 grudnia 2025 r. (dwa lata przed rozpoczęciem ogólnego stosowania CRA) i zawiera opis techniczny kategorii produktów istotnych (załącznik III) i krytycznych (załącznik IV) zawierających elementy cyfrowe CRA.
Rozporządzenie 2025/2392 w załączniku I zawiera opisy techniczne ważnych produktów z elementami cyfrowymi, podzielonych na klasy I (np. menedżery haseł, systemy zarządzania siecią lub systemy zarządzania informacjami) i II (np. hiperwizory, zapory sieciowe, i mikroprocesory odporne na manipulacje). W załączniku II znajdują się opisy elementów krytycznych, takich jak urządzenia sprzętowe ze skrzynkami zabezpieczającymi, urządzenia do zaawansowanych celów bezpieczeństwa i karty inteligentne.
20 kwietnia 2026 r. przyjęto rozporządzenie delegowane (UE) 2026/881. Uzupełnia ono akt o cyberodporności (Cyber Resilience Act) i określa, na jakich warunkach można tymczasowo opóźnić przekazywanie zgłoszeń dotyczących aktywnie wykorzystywanych luk w zabezpieczeniach lub poważnych incydentów związanych z cyberbezpieczeństwem ze względów związanych z cyberbezpieczeństwem.
Zasadniczo zgłoszenia są przekazywane do właściwych organów za pośrednictwem jednolitej platformy zgłoszeniowej (Single Reporting Platform). Jednak w wyjątkowych przypadkach CSIRT, który jako pierwszy otrzymuje zgłoszenie, może opóźnić jego przekazanie do innych odpowiednich CSIRT na czas absolutnie niezbędny. Warunkiem jest istnienie uzasadnionych powodów związanych z cyberbezpieczeństwem.
Rozporządzenie precyzuje w szczególności następujące przypadki:
Możliwość opóźnienia nie dotyczy zatem samego obowiązku zgłaszania przez producenta. Rozporządzenie delegowane reguluje raczej, w jakich szczególnych okolicznościach dalsze przekazywanie już złożonego zgłoszenia może zostać ograniczone lub opóźnione.
3 grudnia 2025 r. Komisja Europejska opublikowała na swojej stronie internetowej dokument zawierający najczęściej zadawane pytania dotyczące aktu o cyberodporności (CRA). Ten liczący 66 stron dokument zawiera zbiór pytań technicznych i ma na celu wsparcie zainteresowanych stron we wdrażaniu aktu o cyberodporności. Pytania i odpowiedzi nie obejmują całego zakresu stosowania CRA, lecz koncentrują się na powtarzających się kwestiach, które służby Komisji zgromadziły od momentu wejścia w życie CRA. Jest to „dokument dynamiczny”, który w razie potrzeby będzie aktualizowany przez Komisję.
W osobnym rozdziale 2.4 dokument porusza również kwestię wzajemnych zależności między CRA a nowym rozporządzeniem w sprawie maszyn (UE) 2023/1230. Zgodnie z dokumentem dany produkt może być klasyfikowany zarówno jako maszyna w rozumieniu rozporządzenia w sprawie maszyn, jak i jako produkt z elementami cyfrowymi w rozumieniu CRA. Jako przykład podano maszynę do pakowania żywności, która zawiera oprogramowanie i sprzęt zapewniające jej bezpieczne działanie. W takich przypadkach producenci muszą zapewnić zgodność produktu z wymaganiami w zakresie cyberbezpieczeństwa określonymi zarówno w rozporządzeniu w sprawie maszyn, jak i w CRA. Spełnienie wymagań jednego rozporządzenia nie oznacza automatycznie spełnienia wymagań drugiego.
Jednocześnie między tymi dwoma aktami prawnymi istnieją pewne synergie. Ponieważ wymagania dotyczące cyberbezpieczeństwa częściowo odnoszą się do podobnych zagrożeń, spełnienie wymagań CRA może ułatwić spełnienie wymagań rozporządzenia w sprawie maszyn. Producenci są jednak zobowiązani do wykazania tych potencjalnych synergii na podstawie rzetelnej oceny ryzyka lub poprzez odniesienie do norm zharmonizowanych i innych specyfikacji technicznych.
Zgodnie z dokumentem zawierającym najczęściej zadawane pytania (FAQ) ocena zgodności produktów objętych zakresem obu rozporządzeń musi być przeprowadzana oddzielnie w odniesieniu do CRA i rozporządzenia w sprawie maszyn. Przeprowadzenie procedury oceny zgodności zgodnie z jednym z tych rozporządzeń nie zastępuje automatycznie procedury wymaganej na mocy drugiego. Aby zapewnić zgodne z prawem wprowadzenie produktu do obrotu, producenci muszą zatem przestrzegać procedur oceny zgodności określonych w obu rozporządzeniach.
27 lipca 2026 r. Komisja Europejska opublikowała ostateczną wersję wytycznych dotyczących aktu o cyberodporności. Celem dokumentu jest bardziej precyzyjne określenie obowiązków oraz zakresu stosowania przepisów.
Szczególny nacisk położono przy tym na ułatwienie mikroprzedsiębiorstwom oraz małym i średnim przedsiębiorstwom przestrzegania przepisów. Podmioty te mogą ubiegać się o dodatkowe wsparcie w zakresie wdrażania przepisów w ramach programu SECURE. Pod względem merytorycznym dokument koncentruje się na rozwiązaniach w zakresie zdalnego przetwarzania danych oraz na wolnym i otwartym oprogramowaniu, pojęciu „okresu wsparcia”, a także na wzajemnych zależnościach między CRA a innymi przepisami UE.
W „Secure by Design and Default Playbook” ENISA, Agencja Unii Europejskiej ds. Cyberbezpieczeństwa, przedstawia konkretne wskazówki dotyczące tego, w jaki sposób producenci produktów z elementami cyfrowymi mogą wdrażać wymagania CRA pod względem technicznym i organizacyjnym.
Ten praktyczny przewodnik z lipca 2026 r. jest skierowany w szczególności do producentów oprogramowania i urządzeń IoT, a jego celem jest wspieranie systematycznego wdrażania zasad cyberbezpieczeństwa w całym cyklu życia produktu.
Przypisy:1 Webinar „Standards supporting the Cyber Resilience Act” – szczegóły na stronie internetowej CEN/CENELEC2 Kategoryzacja przyszłych norm dotyczących CRA. Własna prezentacja oparta na powyższym webinarze CEN/CENELEC
Opublikowano: 03.09.2026 (ostatnia aktualizacja)
Johannes Windeler-Frick, MSc ETH Dyrektor zarządzający IBF Solutions. Specjalista ds. oznakowania CE i Safexpert. Wykłady, podcasty i publikacje na różne tematy związane z CE, w szczególności organizacja CE i efektywne zarządzanie CE. Kierowanie dalszym rozwojem systemu oprogramowania Safexpert. Studia z elektrotechniki na ETH w Zurychu (magister) ze specjalizacją w zakresie techniki energetycznej oraz pogłębiona wiedza w dziedzinie obrabiarek.
E-Mail: johannes.windeler-frick@ibf-solutions.com | www.ibf-solutions.com