Cyber Resilience Act: Obowiązki producentów spoza UE

• CRA dotyczy wszystkich produktów z elementami cyfrowymi na rynku UE (art. 2)
• Producenci spoza UE muszą wyznaczyć przedstawiciela w UE (art. 15)
• Obowiązek zgłoszenia aktywnie wykorzystywanych luk: 24-godzinny termin (art. 14)
• Wymagana dokumentacja techniczna i deklaracja zgodności (art. 13)
• Kary do 15 mln € lub 2,5% światowego obrotu (art. 71)
• Oznakowanie CE dla produktów zgodnych (art. 13)

Zaktualizowane 24 October 2026 · 5 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 24 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga prawo? (z numerami artykułów)

Cyber Resilience Act (CRA, rozporządzenie (UE) 2024/2847) dotyczy wszystkich produktów z elementami cyfrowymi udostępnianych na rynku UE – niezależnie od kraju produkcji (art. 2). Producenci spoza UE muszą zgodnie z art. 15 wyznaczyć autoryzowanego przedstawiciela w UE. Obowiązek ten dotyczy zarówno sprzętu, jak i oprogramowania dystrybuowanego w UE. Przedstawiciel pełni rolę kontaktu dla organów i prowadzi komunikację w imieniu producenta.

Producenci muszą zapewnić, że ich produkty są bezpiecznie zaprojektowane i nie zawierają znanych, aktywnie wykorzystywanych luk (art. 13). Są zobowiązani do przeprowadzenia analizy ryzyka oraz wdrożenia odpowiednich środków technicznych i organizacyjnych. W przypadku aktywnie wykorzystywanych luk zgłoszenie do ENISA i właściwego CSIRT musi nastąpić w ciągu 24 godzin (art. 14). Pierwsza ocena musi być dostarczona w ciągu 72 godzin, a raport końcowy w ciągu 14 do 30 dni.

Dodatkowo CRA wymaga sporządzenia i udostępnienia dokumentacji technicznej oraz deklaracji zgodności UE potwierdzającej spełnienie wymagań (art. 13). Produkty muszą być oznakowane znakiem CE, aby potwierdzić zgodność. Nieprzestrzeganie tych obowiązków może skutkować wysokimi karami – do 15 mln € lub 2,5% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa (art. 71).

Jak wybrać odpowiedniego dostawcę?

Wybór przedstawiciela CRA powinien opierać się na jasnych kryteriach. Kluczowe są:

• Przejrzystość cen: Upewnij się, że dostawca ujawnia wszystkie ceny, w tym koszty odnowienia. REP27 publikuje wszystkie ceny i gwarantuje stałą cenę odnowienia, podczas gdy inni dostawcy często udzielają tych informacji tylko na zapytanie.
• Zakres usług: Sprawdź, czy dostawca oferuje 24h dyżur do zgłoszeń, publicznie weryfikowalny certyfikat i prawnie wiążącą nominację (np. podpis eIDAS). REP27 wyróżnia się pełnym, publicznie weryfikowalnym certyfikatem i 24h dyżurem.
• Czas reakcji i dostępność: Ze względu na krótkie terminy zgłoszeń (24h/72h) niezbędna jest całodobowa dostępność. REP27 zapewnia obsadę 24/7, także w święta i weekendy.
• Jasne wyłączenia: Rzetelny dostawca jasno wymienia, co nie jest objęte mandatem (np. brak oceny zgodności, brak testów technicznych). Chroni to przed niespodziankami.

Macierz decyzji:

Praktyczna wskazówka: Poproś o pisemną ofertę, w której zawarte są wszystkie usługi, wyłączenia oraz cena odnowienia. Sprawdź, czy dostawca umożliwia publiczną weryfikację certyfikatu – to kluczowe w razie kontroli.

Co naprawdę zawiera cena?

Zakres usług w cenie różni się znacznie w zależności od dostawcy. W REP27 pakiet podstawowy za EUR 490/rok (CRA) obejmuje:

• Pisemny mandat jako autoryzowany przedstawiciel zgodnie z art. 18 CRA
• 24-godzinny dyżur do zgłoszeń luk i komunikacji z ENISA/CSIRT
• Publicznie weryfikowalny certyfikat z kodem QR do potwierdzenia przed organami i partnerami
• Zarządzanie i przekazywanie zapytań organów w ciągu dwóch dni roboczych
• Wielojęzyczne szablony do niezbędnej komunikacji

Ważne: REP27 nie wykonuje oceny zgodności, testów technicznych, nie generuje SBOM ani nie analizuje incydentów. Te zadania leżą po stronie producenta lub zewnętrznych specjalistów. Inni dostawcy, jak kadano czy Euverify, nie publikują szczegółowego zakresu usług w cenie (stan na październik 2026). Koszty dodatkowe, np. za usługi dodatkowe, są dostępne tylko na zapytanie.

Porównanie usług:

Dla firm ceniących jasny podział odpowiedzialności i przejrzystość cen REP27 jest obecnie jedynym dostawcą z pełną publikacją zakresu usług i cen.

Ukryte koszty i typowe wyłączenia

Największe koszty związane z zgodnością CRA leżą poza mandatem przedstawiciela. Wyznaczenie przedstawiciela CRA to tylko niewielka część całkowitych kosztów. Główne wydatki to:

• Ocena zgodności: Dla produktów klasy "ważnej" lub "krytycznej" wymagana jest zewnętrzna ocena przez jednostkę notyfikowaną. Koszty te zwykle mieszczą się w czterocyfrowych lub pięciocyfrowych kwotach i nie są uwzględnione w opłacie dla przedstawiciela.
• Aktualizacje bezpieczeństwa: Producenci muszą zapewnić aktualizacje bezpieczeństwa przez co najmniej pięć lat i zabezpieczyć to organizacyjnie oraz finansowo. Obowiązek ten jest niezależny od mandatu przedstawiciela.
• Dokumentacja techniczna i SBOM: Sporządzenie i bieżąca aktualizacja dokumentacji technicznej oraz Software Bill of Materials (SBOM) leży po stronie producenta.

Czego dostawcy zwykle nie mówią:

• REP27 wyraźnie wyklucza ocenę zgodności, testy techniczne, generowanie SBOM i analizę incydentów. Nie ma ukrytych kosztów odnowienia, wszystkie ceny są publikowane przed podpisaniem umowy.
• W przypadku kadano i Euverify szczegóły dotyczące dodatkowych kosztów, limitów odpowiedzialności czy okresów wypowiedzenia nie są publicznie dostępne (stan na październik 2026).

Praktyczna wskazówka: Zapytaj każdego dostawcę o wyłączenia, okresy wypowiedzenia i dodatkowe koszty za usługi specjalne (np. za każde zgłoszenie, dodatkowe języki, pilną obsługę). Uzyskaj wszystkie warunki na piśmie.

Jak przebiega proces wyznaczenia krok po kroku

1. Sprawdź, czy Twój produkt podlega CRA: Dotyczy wszystkich produktów z elementami cyfrowymi (sprzęt/oprogramowanie) na rynku UE.
2. Zdefiniuj procesy wewnętrzne: Określ, kto wykrywa i inicjuje zgłoszenia luk. Zdefiniuj, co oznacza "aktywnie wykorzystywana" luka.
3. Wybierz odpowiedniego przedstawiciela: Porównaj ceny, zakres usług, możliwość potwierdzenia i dostępność. Poproś o pisemną ofertę z wszystkimi warunkami.
4. Podpisz umowę i otrzymaj mandat: W REP27 nominacja następuje w ciągu 24 godzin, wraz z weryfikowalnym certyfikatem.
5. Zaktualizuj dokumentację i kanały zgłoszeń: Wprowadź dane kontaktowe przedstawiciela do dokumentacji technicznej i podręcznika postępowania w incydentach.
6. Przygotuj szablony zgłoszeń 24h: Stwórz standardowe teksty do pierwszego zgłoszenia, oceny 72h i raportu końcowego. Wyznacz co najmniej dwóch odpowiedzialnych z dostępem do platformy.
7. Regularna kontrola: Co roku sprawdzaj, czy nominacja i procesy są aktualne.

Lista kontrolna na dziś:

1. Czy Twój produkt podlega CRA?
2. Czy masz ustalone wewnętrzne procesy zgłoszeń i odpowiedzialnych?
3. Czy wybrano odpowiedniego przedstawiciela i podpisano mandat?
4. Czy dokumentacja techniczna i kanały zgłoszeń są aktualne?
5. Czy przygotowano szablony zgłoszeń?

Ryzyka i kary za nieprzestrzeganie

CRA przewiduje surowe kary: do 15 mln € lub 2,5% światowego rocznego obrotu (art. 71). Typowe ryzyka to:

• Opóźnione lub brakujące zgłoszenie luk: Termin 24h liczy się od momentu uzyskania wiedzy, nie od zakończenia analizy. Różnice czasowe lub niejasne odpowiedzialności szybko prowadzą do naruszeń.
• Brak lub błędna nominacja przedstawiciela: Bez ważnego przedstawiciela produkt może zostać wycofany z rynku. Zapytania organów pozostają bez odpowiedzi, co zwiększa ryzyko kar.
• Niekompletna dokumentacja techniczna: W trakcie nadzoru rynku wszystkie dokumenty muszą być dostępne natychmiast. Opóźnienia lub braki skutkują sankcjami.
• Błędne lub brakujące oznakowanie CE: Produkty bez ważnego znaku CE nie mogą być wprowadzane do obrotu.

Terminy zgłoszeń (24h/72h/14-30 dni) liczone są w czasie rzeczywistym – opóźnienia z powodu różnic czasowych lub niejasności w odpowiedzialnościach szybko prowadzą do naruszeń. Odpowiedzialność za dotrzymanie terminów spoczywa na producencie, przedstawiciel jedynie przekazuje informacje, które otrzymuje na czas.

Trzy realistyczne scenariusze

• Amerykański dostawca SaaS: Firma z USA oferuje rozwiązanie chmurowe dla firm europejskich. Ponieważ oprogramowanie jest udostępniane na rynku UE, musi wyznaczyć przedstawiciela CRA. Dostawca wybiera REP27, otrzymuje mandat i certyfikat w ciągu 24 godzin, uruchamia 24h kanał zgłoszeń i wprowadza dane kontaktowe do dokumentacji technicznej. Ocena zgodności i aktualizacje bezpieczeństwa realizowane są wewnętrznie lub przez zewnętrznych specjalistów.
• Chiński sprzedawca na Amazon: Firma z Chin sprzedaje urządzenia IoT pod własną marką na Amazon.de. Jako producent musi mieć przedstawiciela CRA. Korzysta z dostawcy takiego jak kadano lub Euverify (w zależności od preferencji), zapewnia oznakowanie CE i przygotowuje dokumentację techniczną. Brak przedstawiciela grozi karami i zakazem sprzedaży na platformie.
• Brytyjski sklep internetowy: Brytyjski sprzedawca online oferuje sprzęt z aktualizacjami firmware dla klientów końcowych w UE. Również musi mieć przedstawiciela CRA. Wybiera pakiet łączony (np. REP27: CRA+GDPR), aby spełnić obowiązki zarówno CRA, jak i RODO. Kanały zgłoszeń i dokumentacja są odpowiednio dostosowane.

Te scenariusze pokazują, że obowiązek przedstawiciela dotyczy firm każdej wielkości i branży, które dostarczają produkty z elementami cyfrowymi do UE.