Koszt raportowania podatności w 24h dla producentów spoza UE (CRA 2026)

• Obowiązek od 11 września 2026 dla wszystkich producentów produktów cyfrowych sprzedawanych w UE
• REP27 oferuje usługę za 490 €/rok, odnowienie 440 €, cena opublikowana
• Kadano: 999 €/rok, Euverify: 590 £/rok (~690 €), ceny opublikowane
• Usługa obejmuje tylko przekazywanie zgłoszeń, bez testów czy ocen technicznych
• Nieprzestrzeganie: kary do 15 mln € lub 2,5% globalnego obrotu
• Nie dotyczy importerów, dystrybutorów ani sprzedawców poza UE

Zaktualizowane 22 October 2026 · 7 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 22 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga prawo: Artykuł 14 CRA

Artykuł 14 Cyber Resilience Act (Rozporządzenie UE 2024/2847) wprowadza bardzo rygorystyczny obowiązek raportowania dla wszystkich producentów produktów cyfrowych sprzedawanych w Unii Europejskiej, niezależnie od ich siedziby. Od 11 września 2026 każdy producent musi zgłosić w ciągu 24 godzin od wykrycia podatność aktywnie wykorzystywaną lub poważny incydent bezpieczeństwa wpływający na produkt. Zgłoszenie odbywa się przez jednolitą platformę zarządzaną przez ENISA, skierowaną do koordynującego CSIRT kraju UE docelowego.

• Zgłoszenie składa się z trzech etapów: early warning (do 24h), szczegółowe powiadomienie (do 72h), raport końcowy (do 14 dni).
• Raportowanie jest obowiązkowe także dla producentów spoza UE sprzedających bezpośrednio lub przez marketplace klientom UE.
• Nie są wymagane testy bezpieczeństwa ani oceny techniczne przez przedstawiciela: jego rola to przekazywanie zgłoszeń i pełnienie funkcji punktu kontaktowego.
• Obowiązek dotyczy też incydentów wpływających na bezpieczeństwo produktu, nie tylko podatności już wykorzystanych.

Brak zgłoszenia lub opóźnienie może skutkować karami do 15 mln € lub 2,5% rocznego globalnego obrotu, w zależności od tego, która kwota jest wyższa. Przepisy dotyczą każdego, kto wprowadza produkty cyfrowe na rynek UE, w tym producentów oprogramowania, sprzętu, urządzeń IoT, SaaS i innych.

Źródła: NIS2.gov.ie, Licentium

Jak wybrać dostawcę: praktyczne kryteria i porównanie

Wybór odpowiedniego dostawcy raportowania podatności zgodnie z CRA wymaga uwagi na kilka praktycznych aspektów oprócz ceny. Oto główne kryteria do rozważenia:

• Opublikowana i przejrzysta cena: Wybieraj dostawców jasno deklarujących roczny koszt i odnowienie, unikając niespodzianek.
• Pokrycie geograficzne: Dostawca musi zapewniać reprezentację we wszystkich krajach UE, gdzie sprzedajesz swoje produkty.
• Certyfikacja i weryfikacja: Elektronicznie podpisane i publicznie weryfikowalne pełnomocnictwo to gwarancja rzetelności.
• Całodobowy kanał raportowania: Usługa musi być dostępna 24/7, także w weekendy i święta.
• Jasność co do wyłączeń: Żaden z uwzględnionych dostawców nie oferuje w cenie podstawowej testów bezpieczeństwa, SBOM czy wsparcia technicznego: pełnomocnictwo obejmuje tylko przekazywanie zgłoszeń.

Szczegółowe porównanie:

Praktyczna rada: zawsze pytaj wcześniej, co jest w cenie, czy są opłaty za pojedyncze zgłoszenie i jak wygląda odnowienie. Wybieraj dostawców z publicznie weryfikowalnym certyfikatem i jasno określoną formą prawną oraz zasięgiem geograficznym.

Co naprawdę obejmuje cena: szczegóły praktyczne

Opublikowana cena przez dostawców obejmuje wyłącznie pełnomocnictwo do reprezentacji przy zgłaszaniu podatności zgodnie z Art. 18 CRA. Oznacza to, że przedstawiciel:

• Odbiera i przekazuje zgłoszenia podatności lub incydentów bezpieczeństwa do odpowiednich organów (CSIRT/ENISA) za pośrednictwem oficjalnej platformy.
• Pełni funkcję punktu kontaktowego dla europejskich organów nadzoru w przypadku zapytań lub wyjaśnień.
• Dostarcza podpisane i certyfikowane pełnomocnictwo, często z kodem QR do publicznej weryfikacji.
• Zapewnia kanał raportowania aktywny 24/7 (przynajmniej REP27, zgodnie z deklaracjami na stronach).

W cenie podstawowej nie są zawarte:

• Testy bezpieczeństwa lub oceny podatności
• Generowanie Software Bill of Materials (SBOM)
• Wsparcie techniczne, prawne lub operacyjne przy przygotowaniu zgłoszeń
• Zarządzanie kryzysem lub komunikacja z użytkownikami końcowymi (poza przekazaniem zgłoszenia)

Na przykład REP27 zaznacza, że „ocena zgodności należy do jednostek notyfikowanych, testy do firm bezpieczeństwa, generowanie SBOM do Twojego procesu budowy, a raportowanie do Twojego zespołu ds. bezpieczeństwa”. Pełnomocnictwo obejmuje tylko przekazywanie i odbiór zgłoszeń od organów. Brak ukrytych opłat za pojedyncze zgłoszenie, brak ukrytych upselli.

Rada: upewnij się, że masz wewnętrzne kompetencje do przygotowania zgłoszeń i odpowiadania na ewentualne pytania organów.

Ukryte koszty, ograniczenia usługi i ryzyka praktyczne

Koszt pełnomocnictwa to tylko część budżetu potrzebnego na zgodność z Cyber Resilience Act. Ukryte koszty i ograniczenia usługi są często pomijane:

• Przygotowanie wewnętrzne: Zbieranie informacji, przygotowanie zgłoszeń i komunikacja z przedstawicielem leżą po stronie producenta.
• Audyt i oceny: W razie żądania organów możesz ponieść koszty audytów zewnętrznych lub ocen technicznych, nieobjętych pełnomocnictwem.
• Wsparcie techniczne i prawne: Przedstawiciel nie świadczy doradztwa technicznego ani prawnego poza przekazywaniem zgłoszeń; ewentualne konsultacje są dodatkowo płatne.
• Ograniczona odpowiedzialność: Żaden z uwzględnionych dostawców nie bierze odpowiedzialności za błędy w treści dostarczonej przez klienta lub za pominięcia w zgłoszeniu.
• Odnowienie i zmiana dostawcy: Zawsze sprawdzaj warunki odnowienia i ewentualne kary za zmianę dostawcy: REP27 publikuje ceny odnowienia i zmiany, inni nie.

Ryzyka praktyczne:

• Brak gotowości procedury wewnętrznej zwiększa ryzyko niedotrzymania terminów.
• Brak zgłoszenia lub opóźnienie może skutkować wysokimi karami administracyjnymi i blokadą sprzedaży w UE.

Rada: traktuj pełnomocnictwo jako „polisy procesowej”, a nie rozwiązanie techniczne. Realna zgodność zależy od Twojej organizacji wewnętrznej.

Jak działa nominacja: krok po kroku i lista kontrolna

Nominacja przedstawiciela CRA przebiega według jasnego schematu operacyjnego. Oto praktyczne kroki i lista kontrolna do wykonania:

1. Sprawdź, czy sprzedajesz produkty cyfrowe w UE: Jeśli tak, zweryfikuj, czy jesteś producentem (nie tylko dystrybutorem/importerem).
2. Wybierz dostawcę: Porównaj ceny, zakres usług, wyłączenia i przejrzystość umowy.
3. Zamów usługę online: Wypełnij formularz zgłoszeniowy i otrzymaj pełnomocnictwo reprezentanta Art. 18.
4. Podpisz i archiwizuj pełnomocnictwo: Dokument musi być podpisany przez obie strony i przechowywany na potrzeby kontroli.
5. Wprowadź dane przedstawiciela do dokumentacji firmowej: Zaktualizuj runbooki, polityki wewnętrzne i dokumentację zgodności.
6. Przygotuj wewnętrzną procedurę zgłaszania: Określ, kto może zgłaszać podatność, jak zbierać dowody, jak wypełniać szablony zgłoszeń (early warning, powiadomienie, raport końcowy).
7. Wyznacz co najmniej dwóch submitterów: Upewnij się, że co najmniej dwie osoby mają dostęp do platformy ENISA, aby uniknąć blokad w razie nieobecności.
8. Rejestruj wszystkie kroki: Dokumentuj kto, kiedy i jak dokonał każdego zgłoszenia. To kluczowe przy audycie.

Lista kontrolna operacyjna:

1. Zweryfikuj swoją rolę (producent, importer, dystrybutor)
2. Wybierz i nominuj przedstawiciela
3. Przygotuj wewnętrzną procedurę raportowania
4. Wyznacz submitterów i zaktualizuj dokumentację
5. Wstępnie wypełnij szablony zgłoszeń
6. Rejestruj każde zgłoszenie i komunikację

Rada: przejrzystość procedur to prawdziwa wartość dodana usługi reprezentacji.

Macierz decyzyjna: kto potrzebuje usługi?

Nie każda firma potrzebuje pełnomocnictwa do raportowania podatności. Oto macierz decyzyjna oparta na rzeczywistych przypadkach:

Rada: jeśli jesteś tylko dystrybutorem lub importerem i nie wprowadzasz produktu na rynek na własne nazwisko, nie masz obowiązku nominacji. Jeśli jesteś producentem spoza UE, nominacja jest niezbędna, by uniknąć kar.

Co dostawcy przemilczają (a powinieneś wiedzieć)

Wielu dostawców nie publikuje ważnych szczegółów, które mogą wpłynąć na Twoją zgodność i rzeczywiste koszty:

• Wyłączenia: Żaden z uwzględnionych dostawców nie oferuje testów bezpieczeństwa, SBOM ani ocen technicznych w cenie podstawowej. Pełnomocnictwo obejmuje tylko przekazywanie zgłoszeń.
• Odpowiedzialność: Odpowiedzialność za poprawność i terminowość zgłoszeń zawsze spoczywa na producencie. Przedstawiciel nie weryfikuje ani nie modyfikuje otrzymanych treści.
• Odnowienie i zmiana dostawcy: Niektórzy dostawcy nie podają ceny odnowienia ani warunków zmiany przedstawiciela. REP27 publikuje oba, inni nie.
• Języki i godziny pracy: Sprawdź, czy dostawca faktycznie działa 24/7 i czy może obsługiwać zgłoszenia w różnych językach, jeśli to konieczne.
• Ograniczenia usługi: Przedstawiciel nie zajmuje się komunikacją z użytkownikami końcowymi, zarządzaniem kryzysem ani doradztwem prawnym.

Rada: zawsze żądaj pisemnej listy wyłączeń i ograniczeń odpowiedzialności przed podpisaniem umowy.

Scenariusze praktyczne: trzy realne przypadki i najprostsza ścieżka

• US SaaS sprzedający w UE: Musi wyznaczyć przedstawiciela CRA, przygotować procedurę raportowania i wprowadzić przedstawiciela do dokumentów firmowych. W przypadku podatności przekazuje zgłoszenie przedstawicielowi, który przesyła je do ENISA/CSIRT. Najprostsza ścieżka to wybór dostawcy z kanałem 24/7 i weryfikowalnym pełnomocnictwem.
• Sprzedawca chiński na Amazon: Jeśli jest producentem produktu cyfrowego, ma obowiązek raportowania i musi wyznaczyć przedstawiciela; jeśli jest tylko dystrybutorem, nie. Najprostsza ścieżka to wyjaśnienie roli kontraktowej i ewentualne zlecenie dostawcy z doświadczeniem w e-commerce.
• Sklep online z UK: Jeśli sprzedaje produkty cyfrowe klientom UE, musi wyznaczyć przedstawiciela i przestrzegać procedury raportowania; jeśli sprzedaje tylko w UK, nie ma obowiązku. Najprostsza ścieżka to ocena, czy udział sprzedaży w UE uzasadnia koszt zgodności.

We wszystkich przypadkach kluczowa jest wewnętrzna gotowość i przejrzystość procedur, by dotrzymać terminów i zmniejszyć ryzyko kar.