Jak zgłaszać luki w zabezpieczeniach w ciągu 24 godzin zgodnie z Cyber Resilience Act

• Artykuł 14 CRA: zgłaszanie w ciągu 24 godzin aktywnie wykorzystywanych luk/poważnych incydentów.
• Zgłoszenia odbywają się przez platformę ENISA do koordynującego CSIRT.
• Producenci spoza UE muszą wyznaczyć autoryzowanego przedstawiciela.
• REP27 — Europe Services, SE: mandat za 490 €/rok (cena zweryfikowana).
• Ukryte koszty: prace inżynieryjne, okres wsparcia, ocena zgodności.
• Dostawcy różnią się cenami, zakresem usług i przejrzystością.

Zaktualizowane 20 October 2026 · 12 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 20 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Wymagania Cyber Resilience Act (z numerami artykułów)

Cyber Resilience Act (CRA) to kompleksowe rozporządzenie dotyczące wszystkich produktów z elementami cyfrowymi wprowadzanych na rynek UE, niezależnie od tego, czy są to urządzenia sprzętowe czy oprogramowanie (Artykuł 1, źródło). Jego głównym celem jest zapewnienie, że produkty są projektowane, rozwijane i utrzymywane z uwzględnieniem cyberbezpieczeństwa jako integralnej części cyklu życia. Prawo weszło w życie 10 grudnia 2024 (Artykuł 71(1)), ale większość obowiązków, w tym zgłaszanie, staje się wiążąca od 11 września 2026 dla Artykułu 14 i w pełni od 11 grudnia 2027 (Artykuł 71(2)).

Artykuł 14 jest kluczowy dla reakcji na incydenty: producenci muszą zgłosić każdą aktywnie wykorzystywaną lukę lub poważny incydent wpływający na bezpieczeństwo produktu w ciągu 24 godzin od momentu uzyskania wiedzy. Zgłoszenie odbywa się przez platformę ENISA do koordynującego CSIRT. Czas liczy się od momentu uzyskania informacji, nie od zakończenia dochodzenia czy potwierdzenia. Pełne zgłoszenie należy złożyć w ciągu 72 godzin, a raport końcowy w ciągu 14 dni. Termin zgłoszenia obejmuje weekendy i święta — nie ma przedłużeń ani przerw.

Artykuł 18 wymaga od producentów spoza UE wyznaczenia autoryzowanego przedstawiciela z siedzibą w UE. Przedstawiciel ten pełni oficjalną rolę kanału zgłoszeń i kontaktu z władzami. Bez tego importer lub dystrybutor staje się domyślnie odpowiedzialny, co może powodować ryzyka handlowe i zgodności.

Produkty wprowadzone na rynek przed 11 grudnia 2027 podlegają CRA tylko jeśli po tej dacie przejdą istotną modyfikację (Artykuł 69(2)). Nieprzestrzeganie przepisów może skutkować karami do 15 mln € lub 2,5% globalnego rocznego obrotu (źródło).

• Artykuł 14: zgłaszanie w ciągu 24 godzin aktywnie wykorzystywanych luk/poważnych incydentów
• Artykuł 18: autoryzowany przedstawiciel dla producentów spoza UE
• Artykuł 69(2): zasady dla produktów starszych

Jak wybrać autoryzowanego przedstawiciela CRA

Wybór odpowiedniego autoryzowanego przedstawiciela CRA jest kluczowy dla producentów spoza UE. Przedstawiciel jest oficjalnym kanałem zgłoszeń luk i kontaktem regulacyjnym w UE. Oto główne czynniki do rozważenia:

• Przejrzystość cen: Tylko nieliczni dostawcy publikują zweryfikowane ceny. REP27 — Europe Services, SE oferuje jasny mandat za 490 €/rok (odnowienie 440 €), kadano podaje 999 €/rok, a Euverify 590 £/rok. Inni wymagają indywidualnej wyceny.
• Zakres usług: Potwierdź, co jest wliczone w opłatę. Mandat z artykułu 18 to minimum, ale niektórzy oferują dodatkowe usługi, jak monitoring, przechowywanie dowodów lub dokumentację samooceny (np. CRAguard, ProvenVEX, SECURiMENT).
• Wyłączenia: Żaden z dostawców nie obejmuje w opłacie oceny zgodności, testów bezpieczeństwa ani generowania SBOM. To osobne koszty inżynieryjne lub jednostek notyfikowanych.
• Certyfikat i weryfikacja: Szukaj dostawcy oferującego weryfikowalny certyfikat (REP27 zapewnia kod QR i publiczną stronę weryfikacji).
• Warunki odnowienia: Upewnij się, że cena odnowienia jest podana na piśmie przed opłaceniem pierwszej faktury. Ciche lub niejasne odnowienia to częsty problem na rynku.
• Proces reakcji: Zapytaj, jak obsługiwane są żądania od władz, w jakich językach i w jakich godzinach. Całodobowa infolinia jest niezbędna do dotrzymania 24-godzinnego terminu zgłoszenia.

Poniżej porównanie zakresu usług i wyłączeń według dostępnych informacji:

Zawsze żądaj pisemnej umowy z wyszczególnieniem zakresu, wyłączeń i warunków odnowienia.

Co naprawdę obejmuje cena

Zrozumienie, co jest (i nie jest) wliczone w opublikowaną cenę, jest kluczowe dla planowania budżetu i zgodności. Opłata za mandat z artykułu 18 zwykle obejmuje tylko formalne wyznaczenie i prowadzenie infolinii zgłoszeniowej w UE. Oto praktyczne znaczenie:

• Mandat i infolinia: Przedstawiciel jest uprawniony do działania jako oficjalny kontakt do zgłoszeń luk. W przypadku REP27 obejmuje to całodobową infolinię, zarządzanie kanałem CSIRT/ENISA oraz weryfikowalny certyfikat z kodem QR. Kadano i Euverify oferują podobne mandaty, ale nie podają dodatkowych funkcji publicznie.
• Usługi dodatkowe: Niektórzy dostawcy (CRAguard, ProvenVEX, SECURiMENT) oferują usługi dodatkowe, jak monitoring zależności, przechowywanie dowodów lub procedury reagowania na incydenty. Nie są one jednak publicznie wycenione i mogą generować znaczne koszty.
• Czego nie ma w cenie: Żaden z dostawców nie obejmuje oceny zgodności, testów bezpieczeństwa ani generowania SBOM. To osobne, często znaczne koszty realizowane przez jednostki notyfikowane lub zespół techniczny klienta.
• Cena odnowienia: Tylko REP27 publikuje cenę odnowienia (440 €/rok), niższą niż opłata za pierwszy rok. Kadano i Euverify nie podają warunków odnowienia publicznie.

Porównując dostawców, zawsze proś o szczegółowy wykaz tego, co jest wliczone, a co generuje dodatkowe opłaty. Niektórzy oferują też pakiety reprezentacji na podstawie RODO art. 27 lub NIS2 (REP27: 690 €/rok za CRA+RODO, 990 €/rok za CRA+RODO+NIS2).

Podsumowanie w tabeli:

Ukryte koszty i wyłączenia

Choć opłata za mandat przedstawiciela jest często najmniejszym składnikiem kosztów zgodności z CRA, ukryte koszty i wyłączenia mogą być znaczące:

• Czas pracy inżynieryjnej: Samoocena, dokumentacja i przygotowanie SBOM są obowiązkowe, ale nie wliczone w opłatę przedstawiciela. Wymagają dedykowanych zasobów technicznych.
• Okres wsparcia: CRA wymaga co najmniej pięciu lat aktualizacji bezpieczeństwa dla większości produktów. Budżetuj utrzymanie jako linię produktową, a nie jednorazowy projekt.
• Ocena zgodności: Dla ważnych produktów klasy II lub krytycznych wymagana jest ocena jednostki notyfikowanej. Może kosztować tysiące euro i trwać miesiące. Przedstawiciel nie pokrywa tych kosztów.
• Wykrywanie incydentów: Przedstawiciel nie monitoruje Twoich systemów pod kątem luk. Za wykrywanie i wstępną analizę odpowiada Twój zespół bezpieczeństwa.
• Opłaty za incydent lub zgłoszenie: REP27 deklaruje brak dodatkowych opłat za zgłoszenia, ale inni dostawcy mogą pobierać opłaty za usługi dodatkowe lub zarządzanie incydentami. Zawsze potwierdzaj to na piśmie.
• Ograniczenia odpowiedzialności: Dostawcy zwykle ograniczają odpowiedzialność do zakresu mandatu. Nie odpowiadają za pominięte zgłoszenia z powodu błędów wewnętrznych klienta.
• Okresy wypowiedzenia i warunki odnowienia: Ciche lub niejasne odnowienia mogą prowadzić do nieoczekiwanych kosztów lub przerw w ochronie. REP27 publikuje ceny i warunki odnowienia; inni mogą tego nie robić.

Co dostawcy zwykle pomijają:

• Mandat nie obejmuje wykrywania luk, łatania ani powiadamiania użytkowników — to pozostaje Twoją odpowiedzialnością.
• Żądania dokumentacji od władz mogą się opóźniać, jeśli Twój runbook jest niekompletny lub zespół nieprzygotowany.
• Zmiana dostawcy może być skomplikowana, jeśli mandat nie jest jasno ograniczony do Artykułu 18(3).

Zawsze żądaj listy wyłączeń i potwierdź warunki na piśmie przed podpisaniem umowy.

Jak przebiega wyznaczenie przedstawiciela: krok po kroku

Wyznaczenie autoryzowanego przedstawiciela CRA to proces uporządkowany. Oto jak wygląda w praktyce, z konkretnymi krokami i wskazówkami:

1. Określ swój status: Czy jesteś producentem produktu z elementami cyfrowymi wprowadzanym na rynek UE? Jeśli tak, kontynuuj. Jeśli jesteś tylko importerem lub dystrybutorem, sprawdź, czy wprowadzasz produkt pod własną nazwą.
2. Sprawdź swoją siedzibę: Jeśli nie masz podmiotu prawnego w UE, musisz wyznaczyć autoryzowanego przedstawiciela. Jeśli masz spółkę zależną w UE działającą jako producent, zgłaszasz bezpośrednio.
3. Wybierz dostawcę: Porównaj dostawców na podstawie opublikowanych cen, zakresu usług i przejrzystości. REP27, kadano i Euverify publikują ceny; inni podają szczegóły na żądanie.
4. Podpisz pisemny mandat: Dostawca (np. REP27) wystawia podpisany list wyznaczenia, zwykle z podpisem elektronicznym eIDAS i weryfikowalnym certyfikatem. Potwierdź, że mandat jest ograniczony do obowiązków z Artykułu 18(3).
5. Zaktualizuj dokumentację zgodności: Dodaj dane przedstawiciela do dokumentacji technicznej, runbooka i innych wymaganych dokumentów CRA.
6. Utwórz proces zgłoszeń: Wskaż co najmniej dwóch zgłaszających z dostępem do platformy ENISA. Przygotuj szablony ostrzeżeń i powiadomień z wyprzedzeniem.
7. Określ wyzwalacze i proces wewnętrzny: Udokumentuj, co oznacza uzyskanie wiedzy o aktywnie wykorzystywanej luce lub poważnym incydencie. Zdecyduj, kto może to zgłosić i jakie dowody są wymagane (np. obserwacja eksploatacji, wiarygodne zgłoszenie klienta).
8. Dokumentacja czasowa: Zachowuj znaczniki czasowe świadomości, zgłoszenia i aktualizacji. To dowód w razie kwestionowania terminu.
9. Stała gotowość: Szkol zespół, testuj proces zgłoszeń i regularnie aktualizuj runbook.

Proces ten zapewnia gotowość do dotrzymania 24-godzinnego terminu zgłoszenia i unikania luk w zgodności.

Ryzyka i kary

Ryzyka niezgodności z CRA są poważne, zarówno finansowo, jak i operacyjnie:

• Kary: Niezgłoszenie w terminie może skutkować karami administracyjnymi do 15 mln € lub 2,5% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Kary dotyczą także braku wyznaczenia przedstawiciela lub niewłaściwej reakcji na incydent (źródło).
• Ryzyka operacyjne: Opóźnienia w zgłoszeniach mogą prowadzić do dochodzeń regulacyjnych, wycofania produktów z rynku lub zakazu dostępu do rynku. Zakupy i dystrybucja mogą zostać zablokowane, jeśli nie można wykazać ważnego przedstawiciela UE.
• Szkody reputacyjne: Brak szybkiego powiadomienia użytkowników lub władz może skutkować negatywnym rozgłosem i utratą zaufania klientów.
• Zaburzenia wewnętrzne: Brak jasnego procesu zgłoszeń może powodować utratę cennych godzin podczas incydentu, zwiększając ryzyko i koszty.

Przykłady problemów:

• Spędzanie pierwszych godzin incydentu na szukaniu właściwego CSIRT lub kanału zgłoszeń, tracąc cenny czas.
• Żądania dokumentacji trafiające do biura w innej strefie czasowej, powodujące opóźnienia w odpowiedzi.
• Dystrybutor traktowany domyślnie jako kanał zgłoszeń, co powoduje utratę kontroli nad incydentem.
• Ciche przerwy w mandacie z powodu niejasnych warunków odnowienia.

Zminimalizuj ryzyka, wyznaczając przejrzystego, responsywnego przedstawiciela i utrzymując solidny proces wewnętrzny.

Macierz decyzji: czy potrzebujesz przedstawiciela CRA?

Skorzystaj z poniższej macierzy, aby określić, czy potrzebujesz autoryzowanego przedstawiciela CRA w zależności od modelu biznesowego i lokalizacji:

Zawsze weryfikuj swój status i obowiązki przed wyznaczeniem przedstawiciela.

Lista kontrolna: kroki do zgodności z 24-godzinnym zgłaszaniem CRA

1. Określ, czy Twój produkt podlega CRA (element cyfrowy, rynek UE).
2. Potwierdź, czy jesteś producentem (nie tylko importerem/dystrybutorem).
3. Jeśli poza UE, wyznacz autoryzowanego przedstawiciela CRA i uzyskaj podpisany mandat.
4. Udokumentuj dane przedstawiciela w dokumentacji technicznej i rejestrach zgodności.
5. Utwórz całodobowy kanał odbioru zgłoszeń luk (wewnętrzny lub przez przedstawiciela).
6. Wskaż co najmniej dwóch zgłaszających z dostępem do platformy ENISA.
7. Przygotuj z wyprzedzeniem szablony ostrzeżeń i powiadomień.
8. Przeszkol personel, co wyzwala zgłoszenie i jak reagować w ciągu 24 godzin.
9. Określ i udokumentuj dowody wymagane do "uzyskania świadomości" o luce lub incydencie.
10. Zachowuj wszystkie znaczniki czasowe dla dowodów zgodności i audytu.
11. Regularnie przeglądaj i aktualizuj runbook oraz proces zgłoszeń.

Stosowanie tej listy pomoże uniknąć najczęstszych błędów zgodności.

Realistyczne scenariusze: który obowiązek dotyczy?

• Amerykańska firma SaaS sprzedająca do UE: Jako producent spoza UE musisz wyznaczyć autoryzowanego przedstawiciela CRA (np. REP27) jako kanał zgłoszeń. Utwórz całodobowy kanał odbioru i zapewnij co najmniej dwóch pracowników do zgłaszania przez platformę ENISA. Przygotuj szablony ostrzeżeń i udokumentuj proces określania aktywnego wykorzystania luki.
• Chiński sprzedawca na Amazon (własna marka): Jeśli produkujesz i sprzedajesz własne produkty cyfrowe do klientów UE, potrzebujesz przedstawiciela CRA. Jeśli tylko odsprzedajesz marki innych, nie potrzebujesz. Wyznacz przedstawiciela, zaktualizuj dokumentację i przygotuj się na zgłaszanie w 24 godziny.
• Brytyjski sklep internetowy z własnym urządzeniem IoT: Jeśli sprzedajesz bezpośrednio konsumentom w UE, jesteś producentem i musisz wyznaczyć przedstawiciela CRA. Jeśli sprzedajesz tylko w UK, CRA nie ma zastosowania. Jeśli korzystasz z dystrybutora UE, który wprowadza produkt pod własną nazwą, on przejmuje odpowiedzialność.

We wszystkich przypadkach najprostsza zgodna droga to wyznaczenie przejrzystego przedstawiciela z ustaloną ceną, udokumentowanie procesu zgłoszeń i przeszkolenie zespołu przed datą obowiązywania prawa.