Akt o cyberodporności (CRA): wytyczne dla producentów produktów zawierających elementy cyfrowe

Wraz z publikacją oficjalnych wytycznych dotyczących CRA w lipcu 2026 r. Komisja Europejska wyjaśniła wiele kwestii związanych z praktycznym stosowaniem aktu o cyberodporności.

Nowe wyjaśnienia są szczególnie istotne dla producentów maszyn, instalacji, systemów robotycznych i przemysłowych rozwiązań automatyzacyjnych. Wytyczne potwierdzają podejście oparte na ryzyku i zapewniają większą pewność prawną w zakresie postępowania z istniejącymi systemami, częściami zamiennymi, aktualizacjami oprogramowania oraz modernizacjami.
 

W tym zakresie wytyczne odwołują się do „Blue Guide” i wyjaśniają, że pojęcia „wprowadzenie do obrotu” oraz „udostępnienie na rynku” należy odnosić do każdego pojedynczego produktu, a nie do typu produktu – niezależnie od tego, czy został on wyprodukowany jako pojedynczy egzemplarz, czy seryjnie.

W przypadku samodzielnego oprogramowania udostępnianego w formie cyfrowej uznaje się je, w rozumieniu rozporządzenia (UE) 2024/2847, za wprowadzone do obrotu z chwilą zakończenia jego opracowywania i pierwszego zaoferowania w ramach działalności gospodarczej w celu dystrybucji lub użytkowania na rynku UE.

Ponieważ oprogramowanie dystrybuowane cyfrowo można powielać bez fizycznych ograniczeń związanych z produkcją lub magazynowaniem, już w momencie pierwszego zaoferowania praktycznie nieograniczoną liczbę identycznych kopii uznaje się za wprowadzoną do obrotu. Późniejsze pobrania lub uzyskanie dostępu stanowią jedynie udostępnienie tego samego produktu, który został już wprowadzony do obrotu, nawet jeśli następują w różnych momentach.

Nowe wersje oprogramowania uznaje się za ponownie wprowadzone do obrotu tylko wtedy, gdy stanowią istotną modyfikację („substantial modification”). Drobne aktualizacje lub kolejne wersje, które nie stanowią istotnej modyfikacji, nie wymagają przeprowadzenia nowej oceny zgodności i nie zmieniają pierwotnej daty wprowadzenia do obrotu.

Interpretacja ta dotyczy wyłącznie samodzielnego oprogramowania udostępnianego cyfrowo. Nie ma ona zastosowania, gdy:

• oprogramowanie jest dostarczane na fizycznym nośniku danych, np. pamięci USB, lub
• oprogramowanie jest wprowadzane do obrotu wraz ze sprzętem jako jeden produkt.
   

Rozporządzenie (UE) 2024/2847 ma zastosowanie do produktów zawierających elementy cyfrowe, czyli produktów sprzętowych lub programowych oraz ich rozwiązań do zdalnego przetwarzania danych, o ile obejmują one bezpośrednie lub pośrednie połączenie danych z urządzeniem lub siecią.

Zakres stosowania obejmuje między innymi:

• samodzielne oprogramowanie, np. aplikacje lub programy komputerowe,
• sprzęt z wbudowanym oprogramowaniem, np. urządzenia IoT,
• samodzielny sprzęt, np. chipy lub płyty główne,
• połączenia sprzętu i oprogramowania, nawet jeśli są dostarczane oddzielnie.

Decydujące znaczenie ma nie sposób ani moment udostępnienia oprogramowania, lecz to, czy jest ono niezbędne do realizacji przewidzianych funkcji produktu. Jeśli urządzenie sprzętowe może spełniać swoje funkcje wyłącznie w połączeniu z określonym oprogramowaniem, sprzęt i oprogramowanie uznaje się łącznie za jeden produkt zawierający elementy cyfrowe.

Dotyczy to również sytuacji, w której oprogramowanie jest udostępniane dopiero po sprzedaży sprzętu za pośrednictwem innych kanałów, takich jak strona internetowa, sklep z aplikacjami lub pobranie. Przykładami są sterowniki niezbędne do działania drukarki lub aplikacje służące do sterowania monitorem aktywności fizycznej, o ile są one konieczne do działania lub użytkowania urządzenia.
 

Rozporządzenie (UE) 2024/2847 ma zastosowanie do produktów zawierających elementy cyfrowe, jeżeli ich przewidziane lub racjonalnie przewidywalne użycie obejmuje bezpośrednie lub pośrednie połączenie danych z urządzeniem lub siecią.

Definicja „produktu zawierającego elementy cyfrowe” opiera się ostatecznie na definicji „elektronicznego systemu informacyjnego”, czyli systemu – obejmującego urządzenia elektryczne lub elektroniczne – który może przetwarzać, przechowywać lub przesyłać dane cyfrowe.

Zakres stosowania CRA nie zależy zatem wyłącznie od obecności elementów elektronicznych, lecz od zdolności produktu do wymiany informacji cyfrowych.

Połączenie danych w rozumieniu CRA występuje tylko wtedy, gdy informacje są celowo kodowane cyfrowo – na przykład w postaci binarnej – i przesyłane w sposób umożliwiający ich interpretację przez odbiorcę jako dane.

Czysto elektryczne sygnały, które jedynie uruchamiają określoną funkcję – na przykład sygnały włączania/wyłączania bez przekazywania informacji – nie są uznawane za połączenie danych i w tym zakresie nie powodują objęcia produktu przepisami CRA.
 

Rozporządzenie (UE) 2024/2847 ma zastosowanie również do „systemów złożonych”, składających się z wielu komponentów sprzętowych i programowych, jeżeli są one wprowadzane do obrotu jako jeden produkt.

Ostateczna wersja wytycznych CRA poświęca systemom złożonym osobny rozdział (rozdział 2.6 „Complex systems”, punkty 29–32). Komisja Europejska wyraźnie uznaje w nim, że maszyny przemysłowe, linie produkcyjne i rozwiązania automatyzacyjne często składają się z wielu komponentów sprzętowych i programowych, charakteryzują się długimi cyklami życia oraz są uzależnione od istniejących architektur, interfejsów i wymagań dotyczących interoperacyjności.

Wytyczne potwierdzają, że takie uwarunkowania techniczne mogą zostać uwzględnione. Jeżeli określone środki cyberbezpieczeństwa nie mogą zostać w pełni wdrożone ze względu na ograniczenia techniczne lub istniejącą architekturę systemu, dopuszczalne jest zastosowanie środków alternatywnych lub kompensacyjnych. Związane z tym ryzyka muszą jednak zostać w sposób zrozumiały udokumentowane i ocenione w ramach oceny ryzyka cyberbezpieczeństwa.

Dostosowanie takich systemów do nowych wymagań bezpieczeństwa może być trudne ze względu na długie cykle rozwoju, istniejące architektury lub wymagania dotyczące interoperacyjności. Nie oznacza to jednak, że są one automatycznie wyłączone z zakresu stosowania CRA. Zastosowanie ma natomiast podejście oparte na ryzyku.

Producenci muszą:

• przeprowadzić ocenę ryzyka cyberbezpieczeństwa,
• zidentyfikować i udokumentować ograniczenia techniczne,
• zastosować alternatywne lub kompensacyjne środki bezpieczeństwa, jeżeli określone wymagania nie mogą zostać w pełni spełnione.

Ograniczenia, ryzyka i zastosowane środki muszą być przejrzyście opisane w dokumentacji technicznej oraz w informacjach dla użytkowników. Należy je również regularnie weryfikować i w razie potrzeby aktualizować w okresie wsparcia.
 

Wielu producentów maszyn od lat korzysta ze sprawdzonych protokołów komunikacyjnych, systemów magistral polowych lub komponentów sterujących.

Ostateczna wersja wytycznych wyraźnie uznaje, że ze względu na wymagania dotyczące interoperacyjności lub określone ograniczenia techniczne nie zawsze jest możliwe pełne wdrożenie najnowocześniejszych środków bezpieczeństwa.

W takich przypadkach producenci mogą stosować alternatywne lub kompensacyjne środki ochronne, pod warunkiem że związane z nimi ryzyka zostaną w sposób zrozumiały udokumentowane w ramach oceny ryzyka cyberbezpieczeństwa.

Wyjaśnienie to ma szczególne znaczenie praktyczne dla producentów i operatorów istniejących instalacji produkcyjnych.
 

Produkty opracowane przed rozpoczęciem stosowania rozporządzenia (UE) 2024/2847 mogą być nadal wprowadzane do obrotu bez konieczności ich ponownego opracowywania.

Ostateczna wersja wytycznych CRA (rozdział 2.7 „Products with digital elements designed before the CRA entered into application”, punkty 33–39) dodatkowo precyzuje tę kwestię. Dla wielu producentów maszyn jest to jedno z najważniejszych wyjaśnień zawartych w wytycznych.

Komisja Europejska wyraźnie wskazuje, że produkty zawierające elementy cyfrowe, które zostały opracowane przed rozpoczęciem stosowania CRA, nie muszą być automatycznie całkowicie przeprojektowywane ani opracowywane od nowa.

Producenci mogą nadal korzystać z istniejących konstrukcji, pod warunkiem że na podstawie oceny ryzyka cyberbezpieczeństwa będą w stanie wykazać spełnienie zasadniczych wymagań w zakresie cyberbezpieczeństwa.

Komisja wyjaśnia ponadto, że historyczna dokumentacja projektowa i dokumentacja z badań nie musi być w całości odtwarzana. W celu wykazania zgodności z wymaganiami CRA można wykorzystać istniejące dowody oraz aktualne oceny ryzyka.

Producent musi w tym celu:

• przeprowadzić ocenę ryzyka cyberbezpieczeństwa,
• wykazać, że produkt posiada już odpowiednie i skuteczne środki bezpieczeństwa,
• wykazać w ten sposób spełnienie zasadniczych wymagań w zakresie cyberbezpieczeństwa.

Jednak nawet w przypadku braku zmian konstrukcyjnych należy spełnić wszystkie obowiązki wynikające z CRA, w szczególności:

• przeprowadzić ocenę zgodności,
• sporządzić deklarację zgodności UE,
• umieścić oznakowanie CE,
• sporządzić ocenę ryzyka oraz odpowiednią dokumentację techniczną.

Jeżeli nie istnieje pierwotna ocena bezpieczeństwa z etapu opracowywania produktu, producent musi przeprowadzić aktualną ocenę ryzyka i udokumentować, w jaki sposób istniejące środki ograniczają zidentyfikowane ryzyka.

Ponadto należy wdrożyć procesy zarządzania podatnościami, a ocenę ryzyka regularnie aktualizować w okresie wsparcia.
 

Art. 3 pkt 30 rozporządzenia (UE) 2024/2847 definiuje „istotną modyfikację” jako zmianę produktu zawierającego elementy cyfrowe po jego wprowadzeniu do obrotu, która wpływa na zgodność produktu z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część I lub prowadzi do zmiany przewidzianego zastosowania, dla którego produkt został oceniony.

Zgodnie z CRA każda osoba fizyczna lub prawna, która dokonuje istotnej modyfikacji produktu, a następnie udostępnia go na rynku, jest uznawana za producenta.

Dotyczy to w szczególności:

• importerów lub dystrybutorów dokonujących istotnej modyfikacji produktu,
• każdej innej osoby fizycznej lub prawnej dokonującej takiej modyfikacji,
• modyfikacji produktów wprowadzonych do obrotu przed 11 grudnia 2027 r., jeżeli po tej dacie zostaną one istotnie zmodyfikowane.

W ramach rozporządzenia (UE) 2024/2847 rozróżnia się modyfikacje, naprawy, części zamienne oraz aktualizacje oprogramowania, aby określić, czy doszło do istotnej modyfikacji produktu.
 

Modyfikacje fizyczne i naprawy

Konserwacja, naprawa lub wymiana komponentów nie prowadzą automatycznie do istotnej modyfikacji.

Decydujące znaczenie ma to, czy:

• zmienia się przewidziane zastosowanie produktu, lub
• zwiększa się ryzyko cyberbezpieczeństwa.

Wymiana uszkodzonych komponentów na komponenty równoważne lub lepsze zasadniczo nie jest uznawana za istotną modyfikację, o ile funkcja i profil ryzyka pozostają niezmienione.
 

Części zamienne

Identyczne części zamienne wyprodukowane zgodnie z tymi samymi specyfikacjami nie podlegają CRA jako nowe produkty.

Części zamienne, które nie są identyczne, są natomiast uznawane za odrębne produkty i podlegają CRA.

Ich montaż zazwyczaj nie stanowi jednak istotnej modyfikacji pierwotnego produktu, o ile przewidziane zastosowanie i profil ryzyka pozostają niezmienione.

Ostateczna wersja wytycznych zawiera znacznie bardziej szczegółowe wyjaśnienia dotyczące części zamiennych (rozdział 4.2 „Spare parts”, punkty 96–102).

Komisja Europejska wyjaśnia, że nie każda zmiana techniczna automatycznie powoduje konieczność ponownej oceny zgodnie z CRA. Decydujące znaczenie ma w szczególności to, czy zmieniono właściwości produktu istotne z punktu widzenia cyberbezpieczeństwa, takie jak funkcje kryptograficzne, mechanizmy uwierzytelniania, protokoły komunikacyjne lub inne właściwości związane z bezpieczeństwem.

Wytyczne precyzują jednocześnie warunki, na jakich część zamienna może nadal być uznawana za „identyczną”. Dopóki funkcja, profil bezpieczeństwa i przewidziane zastosowanie pozostają niezmienione, wymiana części zamiennej zazwyczaj nie powoduje powstania nowych obowiązków wynikających z CRA dla całego systemu.
 

Aktualizacje oprogramowania

Aktualizację oprogramowania uznaje się za istotną modyfikację, jeżeli:

• wpływa ona na zgodność z wymaganiami w zakresie cyberbezpieczeństwa,
• zmienia pierwotne przewidziane zastosowanie produktu, lub
• wprowadza nowe lub zwiększone ryzyka cyberbezpieczeństwa, których nie uwzględniono w pierwotnej ocenie ryzyka.

Zwykłe aktualizacje zabezpieczeń lub aktualizacje, które zostały już uwzględnione w pierwotnej ocenie ryzyka, zasadniczo nie są uznawane za istotne modyfikacje.

Szczególnie w branży budowy maszyn i instalacji produkty są przez wiele lat modernizowane, rozbudowywane i dostosowywane do nowych wymagań.

Ostateczna wersja wytycznych CRA (rozdział 4.3 „Software updates as substantial modifications”, punkty 103–112) wyjaśnia, że nie każde rozszerzenie funkcjonalne należy automatycznie klasyfikować jako istotną modyfikację.

Decydujące znaczenie ma to, czy zmienia się pierwotne przewidziane zastosowanie produktu lub czy powstają nowe albo zwiększone ryzyka cyberbezpieczeństwa.

Jako przykład Komisja Europejska podaje zmianę rozwiązania służącego wyłącznie do monitorowania na rozwiązanie aktywnie ingerujące w sterowanie. Wyjaśnienie to zapewnia większą pewność prawną, szczególnie w przypadku projektów modernizacyjnych i retrofitów.
 

W przypadku dokonania istotnej modyfikacji:

• produkt uznaje się za ponownie wprowadzony do obrotu,
• osoba fizyczna lub prawna dokonująca modyfikacji jest uznawana za producenta,
• konieczne jest przeprowadzenie nowej oceny zgodności zgodnie z CRA.

W odniesieniu do dokumentacji po dokonaniu istotnej modyfikacji wytyczne odsyłają do punktu 2.1 „Blue Guide”. Wyjaśniono tam, że dokumentacja techniczna musi zostać zaktualizowana w takim zakresie, w jakim modyfikacja wpływa na wymagania wynikające z mających zastosowanie przepisów.

Nie ma konieczności powtarzania badań ani sporządzania nowej dokumentacji dotyczącej aspektów, na które modyfikacja nie ma wpływu.

Osoba fizyczna lub prawna, która dokonuje modyfikacji lub zleca jej dokonanie, musi wykazać, że aktualizacja wszystkich elementów dokumentacji technicznej nie jest konieczna.

Osoba ta odpowiada za zgodność zmodyfikowanego produktu i musi sporządzić deklarację zgodności, nawet jeśli wykorzystuje istniejące badania i dokumentację techniczną.

Produkty wprowadzone do obrotu przed 11 grudnia 2027 r. podlegają CRA tylko wtedy, gdy po tej dacie zostaną poddane istotnej modyfikacji.

Ostateczna wersja wytycznych CRA zawiera w tym zakresie ważne wyjaśnienia (rozdziały 4.4.1 i 4.4.2 „Consequences of a substantial modification”, punkty 117–124).

Nawet w przypadku istotnej modyfikacji nie zawsze konieczna jest ponowna ocena całego produktu. Jeżeli modyfikacja nie wpływa negatywnie na cyberbezpieczeństwo całego systemu i można ją jednoznacznie wyodrębnić, obowiązki wynikające z CRA mogą ograniczać się do zmodyfikowanych komponentów i funkcji.

Wyjaśnienie to ma duże znaczenie praktyczne, szczególnie w przypadku projektów retrofit i modernizacji maszyn oraz instalacji przemysłowych.
 

Wytyczne wyraźnie wskazują, że często przywoływany okres pięciu lat stanowi jedynie ustawowy wymóg minimalny, czyli dolną granicę. Nie należy go traktować jako standardowej wartości obowiązującej dla wszystkich produktów.

Producent musi określić okres wsparcia na podstawie faktycznie przewidywanego okresu użytkowania („expected use time”) produktu.

W przypadku produktów, których przewidywany okres użytkowania przekracza pięć lat, może być zatem konieczne zapewnienie znacznie dłuższego okresu wsparcia (rozdział 5 „Support period”, punkty 125–126).

Przy określaniu okresu wsparcia producenci muszą uwzględnić w szczególności:

• uzasadnione oczekiwania użytkowników dotyczące żywotności produktu,
• rodzaj i przewidziane zastosowanie produktu,
• mające zastosowanie przepisy prawa UE, które mogą wpływać na okres użytkowania określonych produktów,
• dostępność niezbędnego środowiska operacyjnego i systemowego,
• okresy wsparcia zintegrowanych komponentów istotnych z punktu widzenia bezpieczeństwa,
• porównywalne praktyki rynkowe dotyczące podobnych produktów,
• przyszłe wytyczne Komisji Europejskiej i organów nadzoru rynku.

Wyjaśnienie to ma szczególne znaczenie dla branży budowy maszyn i instalacji. Podczas gdy w przypadku niektórych produktów programowych lub urządzeń konsumenckich pięcioletni okres wsparcia może być odpowiedni, instalacje przemysłowe, maszyny produkcyjne, systemy robotyczne i rozwiązania automatyzacyjne są często eksploatowane przez dziesięć, piętnaście, a nawet dwadzieścia lat.

Producenci powinni zatem odpowiednio wcześnie sprawdzić, czy ich procesy serwisowe, zarządzania poprawkami oraz zarządzania podatnościami są odpowiednie do zapewniania aktualizacji zabezpieczeń przez cały faktycznie przewidywany cykl życia produktu.

Komisja Europejska wyraźnie wskazuje, że produkty o przewidywanym okresie użytkowania dłuższym niż pięć lat powinny co do zasady posiadać odpowiednio dłuższy okres wsparcia.
 

Ostateczna wersja wytycznych po raz pierwszy udziela jednoznacznej odpowiedzi na to często zadawane pytanie.

Istotna modyfikacja („substantial modification”) nie powoduje automatycznie rozpoczęcia okresu wsparcia od nowa ani jego przedłużenia.

Należy natomiast sprawdzić, czy modyfikacja zmienia pierwotne założenia dotyczące przewidywanego okresu użytkowania produktu. Tylko w takim przypadku może być konieczne odpowiednie dostosowanie okresu wsparcia.