Cyber Resilience Act 24-godzinne zgłaszanie luk: Dostawcy i ceny (2026)

• Artykuł 14 CRA wymaga 24-godzinnego zgłaszania aktywnie wykorzystywanych luk do ENISA.
• Producenci spoza UE muszą wyznaczyć upoważnionego przedstawiciela z siedzibą w UE do zgłaszania.
• REP27 — Europe Services, SE pobiera 490 € rocznie za mandat z Art. 18.
• Ceny konkurencji: kadano (999 €/rok), Euverify (590 £/rok), inni na zapytanie.
• REP27 nie obejmuje doradztwa prawnego, generowania SBOM ani oceny zgodności.
• Nie dotyczy importerów, dystrybutorów ani produktów wprowadzonych przed 11 września 2026.

Zaktualizowane 17 October 2026 · 8 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 17 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Wymogi prawne: Artykuły 14 i 18 CRA

Cyber Resilience Act (CRA) wprowadza rygorystyczne zasady dla producentów wprowadzających na rynek UE produkty z elementami cyfrowymi. Artykuł 1 określa zakres: obejmuje sprzęt i oprogramowanie z elementami cyfrowymi, w tym urządzenia połączone, firmware i aplikacje. Artykuł 10 ustanawia podstawowe wymagania dotyczące środków cyberbezpieczeństwa w całym cyklu życia produktu, a artykuł 11 szczegółowo opisuje obowiązki producentów, takie jak ocena ryzyka, obsługa luk i ocena zgodności.

Artykuł 14 jest kluczowy: wymaga od producentów zgłaszania każdej aktywnie wykorzystywanej luki lub poważnego incydentu wpływającego na bezpieczeństwo produktu do ENISA za pośrednictwem jednolitej platformy zgłoszeniowej w ciągu 24 godzin od uzyskania wiedzy. Obowiązek ten powstaje na podstawie wiarygodnych dowodów eksploatacji lub istotnego zdarzenia bezpieczeństwa, a nie samego odkrycia luki. 24-godzinny termin liczony jest w godzinach kalendarzowych, włącznie z nocami, weekendami i świętami.

Dla producentów spoza UE artykuł 18 wymaga wyznaczenia upoważnionego przedstawiciela z siedzibą w UE. Przedstawiciel ten odpowiada za obsługę procesu 24-godzinnego zgłaszania i jest oficjalnym punktem kontaktowym dla władz UE. Importerzy i dystrybutorzy mają własne obowiązki określone w artykule 12, ale główny obowiązek zgłoszeniowy spoczywa na producencie lub jego upoważnionym przedstawicielu.

Produkty wprowadzone na rynek UE przed 11 września 2026 są zwolnione z obowiązku 24-godzinnego zgłaszania, ale muszą spełniać inne przepisy CRA. Nieprzestrzeganie przepisów może skutkować karami do 15 milionów euro lub 2,5% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Prawo jest jasne: jeśli jesteś producentem spoza UE sprzedającym produkty cyfrowe w UE po tej dacie, musisz mieć upoważnionego przedstawiciela gotowego do działania w ciągu 24 godzin od wystąpienia kwalifikującego się incydentu.

Jak wybrać upoważnionego przedstawiciela CRA

Wybór odpowiedniego upoważnionego przedstawiciela jest kluczowy dla zgodności i efektywności operacyjnej. Zacznij od weryfikacji podmiotu prawnego dostawcy, jego siedziby w UE oraz doświadczenia. Na przykład REP27 — Europe Services, SE ma siedzibę w Pradze, Czechy, działa od 2018 roku i podpisał mandaty dla firm w 24 krajach.

Kluczowe kryteria wyboru to:

• Przejrzystość cen: Szukaj jasnych, opublikowanych cen i warunków odnowienia. REP27 publikuje ceny pierwszoroczne i odnowienia. Niektórzy dostawcy, jak kadano i Euverify, również publikują ceny, inni wymagają zapytania.
• Zakres mandatu: Upewnij się, że mandat ogranicza się do obowiązków z Art. 18. Zbyt szerokie mandaty mogą obejmować obowiązki z Art. 13, co jest zabronione przez Art. 18(2). REP27 wyraźnie ogranicza zakres do zgłaszania z Art. 18.
• Dostępność: Infolinia powinna działać 24/7, w tym w weekendy i święta. REP27 gwarantuje ciągłą obsługę, szczegóły u innych dostawców wymagają potwierdzenia.
• Weryfikacja certyfikatu: Weryfikowalny certyfikat (np. kod QR REP27 i publiczna weryfikacja) stanowi dowód wyznaczenia i może być sprawdzany przez władze lub klientów.
• Wyłączenia: Wyjaśnij, co nie jest wliczone, np. doradztwo prawne, generowanie SBOM, testy techniczne. REP27 jasno wymienia wyłączenia; wielu konkurentów tego nie robi.

Usługi łączone (np. skanowanie techniczne, generowanie SBOM) mogą być przydatne, jeśli brakuje zasobów wewnętrznych, ale zawsze sprawdzaj ukryte koszty, niejasne ceny odnowienia lub nieprecyzyjne opisy usług. Poproś o opis procesu na piśmie, w tym jak obsługiwane są zgłoszenia, w jakich językach i w jakich godzinach.

Na koniec upewnij się, że mandat dostawcy jest weryfikowalny, a proces przekazywania żądań władz jest szybki i udokumentowany. To nie tylko formalność – opóźnienia lub błędy w komunikacji mogą mieć konsekwencje prawne i handlowe.

Co naprawdę obejmuje cena: porównanie dostawców

Zrozumienie, co jest wliczone w opublikowaną cenę, jest kluczowe, by uniknąć niespodzianek. Poniżej szczegółowe porównanie ofert na podstawie dostępnych danych:

Cena REP27 (490 €/rok, 440 € przy odnowieniu) dotyczy wyłącznie mandatu z Art. 18 z jasnymi wyłączeniami. Kadano i Euverify publikują ceny, ale nie podają publicznie zakresu wliczonego i wyłączeń. Dostawcy tacy jak ResilienceWP i Seentrix oferują dodatkowe usługi techniczne (SBOM, skanowanie, dokumentacja), ale ceny i zakres dostępne są tylko na zapytanie.

Zawsze żądaj szczegółowego opisu usług i potwierdzenia cen odnowienia przed podpisaniem umowy. Najdroższym błędem jest zakładanie, że zgodność techniczna lub doradztwo prawne są wliczone, gdy tak nie jest.

Ukryte koszty i czego dostawcy zwykle nie mówią

Choć cena podstawowa jest ważna, ukryte koszty i wyłączenia mogą znacząco wpłynąć na budżet zgodności i ryzyko operacyjne. Oto, czego dostawcy często nie ujawniają od razu:

• Wyłączenia: REP27 jasno informuje, że nie obejmuje doradztwa prawnego, usług IOD, ocen zgodności technicznej, generowania SBOM ani testów. Wielu konkurentów nie podaje takich informacji, więc zawsze pytaj. Zgodność techniczna (SBOM, ocena zgodności, inżynieria) nigdy nie jest częścią mandatu przedstawiciela i musi być budżetowana osobno.
• Ceny odnowienia: Niektórzy dostawcy oferują niską cenę pierwszego roku, ale nie publikują stawek odnowienia. REP27 publikuje obie ceny. Zawsze uzyskaj warunki odnowienia na piśmie, by uniknąć niespodzianek.
• Opłaty za każde zgłoszenie: Niektórzy przedstawiciele mogą pobierać dodatkowe opłaty za każde żądanie władz lub osoby, albo za pilne zgłoszenia. REP27 takich opłat nie podaje, ale w innych miejscach może być inaczej. Wyjaśnij to przed podpisaniem.
• Okresy wypowiedzenia i zakończenia umowy: Proces zakończenia mandatu lub zmiany dostawcy rzadko jest szczegółowo opisany. Zapytaj o okresy wypowiedzenia i ewentualne opłaty.
• Ograniczenia odpowiedzialności: Większość przedstawicieli ogranicza swoją odpowiedzialność za niedotrzymanie terminów lub błędne zgłoszenia. Te ograniczenia nie zawsze są publicznie dostępne.
• Usługi łączone: Dostawcy oferujący usługi techniczne (np. SBOM, skanowanie) mogą pobierać znaczne dodatkowe opłaty lub wymagać długoterminowych umów. Potwierdź zakres i ceny na piśmie.

Podsumowując, rzeczywisty koszt zgodności to nie tylko opłata za przedstawiciela, ale także wewnętrzne koszty inżynieryjne, techniczne i utrzymania całodobowego procesu reagowania na incydenty. Zawsze żądaj pełnego rozbicia kosztów i pisemnego potwierdzenia wszystkich warunków przed zobowiązaniem się.

Jak przebiega wyznaczenie przedstawiciela: krok po kroku

Wyznaczenie upoważnionego przedstawiciela CRA to proces wymagający starannego planowania i dokumentacji. Oto praktyczny przewodnik krok po kroku oparty na najlepszych praktykach i wymogach prawnych:

1. Ocena zastosowania: Potwierdź, że Twój produkt to element cyfrowy (sprzęt/oprogramowanie) wprowadzony na rynek UE po 11 września 2026. Jeśli tak, obowiązuje 24-godzinny wymóg zgłaszania CRA.
2. Wybór dostawcy: Porównaj dostawców według opublikowanej ceny, zakresu, wyłączeń i reputacji. Poproś o wszystkie warunki i ceny odnowienia na piśmie.
3. Umowa i mandat: Podpisz pisemny mandat z wybranym przedstawicielem. REP27 wydaje podpisany mandat z Art. 18 i weryfikowalny certyfikat w ciągu 24 godzin. Upewnij się, że podmiot prawny ma siedzibę w UE i jest wpisany do rejestru handlowego.
4. Aktualizacja dokumentacji: Zanotuj dane przedstawiciela w dokumentacji zgodności. Przygotuj jasny proces zgłaszania, w tym kto może zgłaszać incydent i jak dokumentować dowody.
5. Przygotowanie wewnętrzne: Wyznacz co najmniej dwóch pracowników jako zgłaszających na platformie ENISA, najlepiej w różnych strefach czasowych. Przygotuj szablony wczesnych ostrzeżeń i przypisz odpowiedzialność za powiadomienia 72-godzinne oraz komunikację z użytkownikami.
6. Reakcja na incydent: Po wykryciu kwalifikującej się luki lub incydentu natychmiast powiadom przedstawiciela. Przedstawiciel w ciągu 24 godzin zgłasza wczesne ostrzeżenie do ENISA/CSIRT, następnie realizuje powiadomienie 72-godzinne i raport końcowy.
7. Prowadzenie rejestrów: Prowadź szczegółowe zapisy o czasie uzyskania wiedzy, zgłoszeniach i komunikacji. To kluczowe, jeśli zgodność będzie kwestionowana przez władze.
8. Stała kontrola: Regularnie przeglądaj procesy i aktualizuj dane kontaktowe, szablony i obowiązki w razie potrzeby.

Ten proces zapewnia spełnienie rygorystycznych terminów CRA i unikanie kar. Kluczowa jest przygotowanie: zdefiniuj wyzwalacze, przypisz role i przećwicz procedurę przed wejściem prawa w życie.

Ryzyka, kary i terminy zgodności

Cyber Resilience Act wprowadza poważne ryzyka prawne i finansowe za nieprzestrzeganie przepisów. Artykuł 15 określa procedury egzekwowania i kary. Największym ryzykiem jest niedotrzymanie 24-godzinnego terminu zgłoszenia aktywnie wykorzystywanych luk lub poważnych incydentów. Termin liczy się od momentu uzyskania wiedzy, nie od zakończenia dochodzenia. Opóźnienia mogą skutkować karami do 15 mln € lub 2,5% globalnego obrotu, w zależności od tego, która kwota jest wyższa.

Inne ryzyka to:

• Opóźnienia w dostępie do rynku: Brak wyznaczenia przedstawiciela lub certyfikatu weryfikowalnego może opóźnić wprowadzenie produktu lub zatrzymać procesy zakupowe, zwłaszcza w sprzedaży B2B.
• Działania egzekucyjne: Władze mogą wszcząć kontrole, żądać dokumentacji lub nakładać środki naprawcze, jeśli obowiązki zgłoszeniowe nie są spełnione.
• Utrata reputacji: Publiczne niepowodzenia w zgłaszaniu mogą zaszkodzić marce i zaufaniu klientów.
• Wielokrotne reżimy zgłoszeń: Jeden incydent może wymagać zgłoszeń według CRA, NIS2, RODO i GPSR, z różnymi terminami i organami. Na przykład atak ransomware wykorzystujący Twój produkt może wymagać trzech oddzielnych zgłoszeń.

Terminy zgodności są rygorystyczne: wymóg 24-godzinnego zgłaszania obowiązuje od 11 września 2026 dla nowych produktów. Produkty wprowadzone przed tą datą są zwolnione z tego obowiązku, ale muszą spełniać inne przepisy CRA. Okres wsparcia aktualizacji bezpieczeństwa – co najmniej pięć lat – to kolejny ukryty koszt, który należy planować i budżetować jako linię produktową, a nie jednorazowy projekt.

Podsumowując, ryzyka niezgodności są znaczne, a koszt braku przygotowania jest znacznie wyższy niż koszt wyznaczenia wykwalifikowanego przedstawiciela.

Macierz decyzji: czy potrzebujesz upoważnionego przedstawiciela CRA?

Skorzystaj z poniższej macierzy, aby określić, czy potrzebujesz upoważnionego przedstawiciela CRA:

Macierz obejmuje większość scenariuszy. W razie wątpliwości skonsultuj się z prawnikiem lub dostawcą. Pamiętaj, że obowiązek spoczywa na producencie lub jego przedstawicielu, nie na importerze czy dystrybutorze, chyba że wprowadzają produkt pod własną nazwą.

Lista kontrolna: kroki do zgodności z 24-godzinnym zgłaszaniem CRA

1. Zmapuj swoje produkty: Sporządź listę wszystkich produktów z elementami cyfrowymi sprzedawanych w UE oraz dat ich wprowadzenia.
2. Oceń procesy wewnętrzne: Przejrzyj, jak wykrywane, eskalowane i dokumentowane są luki w Twojej organizacji.
3. Wybierz przedstawiciela: Porównaj dostawców, poproś o pisemne potwierdzenie wszystkich opłat, cen odnowienia i zakresu usług.
4. Podpisz mandat: Uzyskaj podpisany mandat z Art. 18 i weryfikowalny certyfikat od wybranego dostawcy.
5. Zaktualizuj dokumentację: Dodaj dane przedstawiciela do runbooka i dokumentacji zgodności. Przygotuj szablony wczesnych ostrzeżeń i powiadomień.
6. Wyznacz role zgłoszeniowe: Wskaż co najmniej dwóch zgłaszających na platformie ENISA, najlepiej w różnych strefach czasowych.
7. Przetestuj procedury: Przeprowadź ćwiczenie symulujące wykorzystaną lukę, aby każdy znał swoje obowiązki i terminy.
8. Przeszkol zespół: Edukuj pracowników, co uruchamia 24-godzinny termin i jak eskalować incydenty.
9. Monitoruj aktualizacje regulacyjne: Bądź na bieżąco ze zmianami wymagań CRA i platform zgłoszeniowych przed wrześniem 2026.
10. Regularnie przeglądaj i aktualizuj: Corocznie lub po poważnym incydencie aktualizuj procesy i dokumentację.

Stosowanie tej listy kontrolnej pomoże Ci przygotować się do spełnienia rygorystycznych obowiązków zgłoszeniowych CRA i uniknąć kosztownych kar.

Realistyczne scenariusze: która ścieżka dotyczy Ciebie?

• Amerykańska firma SaaS sprzedająca do firm w UE: Firma jest producentem spoza UE wprowadzającym produkty cyfrowe na rynek UE. Musi wyznaczyć upoważnionego przedstawiciela do zgłoszeń z Art. 18 (np. REP27, kadano, Euverify). Zespół bezpieczeństwa wykrywa luki i powiadamia przedstawiciela, który w ciągu 24 godzin składa zgłoszenia do ENISA/CSIRT. Importer lub dystrybutor nie jest zaangażowany, więc obowiązek jest bezpośredni.
• Chiński sprzedawca na Amazon wysyłający urządzenia IoT do konsumentów UE: Jeśli sprzedawca jest producentem spoza UE, musi wyznaczyć przedstawiciela. Jeśli Amazon działa jako importer, obowiązek zgłoszeniowy może przejść na Amazon. Sprzedawca powinien to wyjaśnić z platformą i w razie potrzeby wyznaczyć przedstawiciela oraz zaktualizować dokumentację produktu.
• Brytyjski sklep internetowy sprzedający routery pod własną marką w UE: Jako producent spoza UE firma musi wyznaczyć przedstawiciela do 24-godzinnego zgłaszania. Dane przedstawiciela muszą być w dokumentacji zgodności, a procesy wewnętrzne gotowe do szybkiego eskalowania incydentów. Jeśli sklep działa też jako importer lub dystrybutor pod własną nazwą, mogą obowiązywać dodatkowe wymogi.

Te scenariusze pokazują, jak ważne jest zmapowanie łańcucha dostaw i wyjaśnienie ról. Najprostsza zgodna ścieżka to wyznaczenie przedstawiciela, udokumentowanie procesu i przeszkolenie zespołu do szybkiej reakcji.