Obowiązki Cyber Resilience Act dla producentów spoza UE

• CRA dotyczy producentów spoza UE sprzedających w UE od 11 września 2026
• Artykuł 18: wymagany upoważniony przedstawiciel UE, jeśli brak obecności w UE
• Obowiązek zgłaszania aktywnie wykorzystywanych luk w ciągu 24 godzin (art. 14)
• Droga oceny zgodności zależy od klasy produktu
• Kary do 15 mln euro lub 2,5% obrotu za naruszenia

Zaktualizowane 18 October 2026 · 9 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 18 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga prawo (z numerami artykułów)

Cyber Resilience Act (CRA) to nowe unijne rozporządzenie dotyczące produktów z elementami cyfrowymi, w tym sprzętu, oprogramowania i komponentów. Dotyczy każdego producenta — niezależnie od lokalizacji — jeśli jego produkty są wprowadzane na rynek UE. Prawo weszło w życie 10 grudnia 2024. Obowiązki zgłoszeniowe zaczynają się 11 września 2026; pełna zgodność (w tym oznakowanie CE i ocena zgodności) jest wymagana od 11 grudnia 2027.

• Artykuł 18: Producenci spoza UE muszą wyznaczyć upoważnionego przedstawiciela w UE dla każdej linii produktów, jeśli nie mają zakładu w UE. Przedstawiciel ten jest oficjalnym kontaktem dla władz i nadzoru rynku.
• Artykuł 14: Producenci muszą zgłaszać aktywnie wykorzystywane luki i poważne incydenty dotyczące bezpieczeństwa produktu. Terminy są rygorystyczne: wczesne ostrzeżenie w ciągu 24 godzin, pełne zgłoszenie w 72 godziny oraz raport końcowy w ciągu 14 dni po złagodzeniu lub zgłoszeniu. Platforma zgłoszeniowa jest zarządzana przez ENISA, a odbiorcę wyznacza państwo członkowskie przedstawiciela.
• Załączniki I i II: Producenci muszą spełniać podstawowe wymagania cyberbezpieczeństwa, w tym obsługę luk, rozwój bezpieczny przez projekt oraz jasne instrukcje użytkownika w języku łatwym do zrozumienia dla użytkowników i władz.
• Ocena zgodności: Wymagany proces zależy od klasy produktu. Produkty domyślne mogą przeprowadzać samoocenę; ważne klasy I muszą stosować normy zharmonizowane lub ocenę zewnętrzną; ważne klasy II i krytyczne wymagają oceny jednostki notyfikowanej lub schematu certyfikacji.
• Okres wsparcia: Producenci muszą zapewnić aktualizacje bezpieczeństwa i obsługę luk przez zadeklarowany okres wsparcia (minimum pięć lat).
• Wyłączenia: Mikro i małe przedsiębiorstwa oraz opiekunowie oprogramowania open-source są zwolnieni z kar za opóźnione zgłoszenia, ale muszą spełniać obowiązki techniczne i zgłoszeniowe.

Importerzy i dystrybutorzy stają się producentami, jeśli wprowadzają produkty pod własną nazwą lub znacznie je modyfikują. W przeciwnym razie oryginalny producent odpowiada za zgodność z CRA i zgłoszenia.

Jak wybrać przedstawiciela CRA lub dostawcę zgodności

Wybór odpowiedniego przedstawiciela z art. 18 lub dostawcy usług zgodności jest kluczowy dla producentów spoza UE. Rynek jest bardzo zróżnicowany pod względem cen, przejrzystości i zakresu usług. Oto, co warto rozważyć:

• Forma prawna i lokalizacja: Sprawdź podmiot prawny i siedzibę w UE dostawcy. Na przykład REP27 to Europe Services, SE z siedzibą w Pradze, wpisany do czeskiego rejestru handlowego. Zawsze weryfikuj przed zapłatą.
• Zakres pełnomocnictwa: Niektórzy dostawcy oferują tylko pełnomocnictwo z art. 18 (zgodnie z prawem), inni łączą je z dodatkowymi usługami, np. reprezentacją RODO lub NIS2. Potwierdź, czy mandat ogranicza się do art. 18(3) i nie obejmuje obowiązków zabronionych przez art. 18(2).
• Przejrzystość cen: Szukaj dostawców publikujących ceny na pierwszy rok i odnowienia. Uważaj na niskie ceny wstępne z wysokimi, ukrytymi odnowieniami. REP27 jasno podaje ceny odnowienia obok opłat za pierwszy rok.
• Weryfikacja i wsparcie: Upewnij się, że dostawca oferuje weryfikowalny certyfikat, publiczną metodę weryfikacji i obsadzone biuro obsługi zgłoszeń. Zapytaj o procedurę przekazywania żądań od władz lub CSIRT, obsługiwane języki i czasy reakcji.
• Usługi łączone: Jeśli potrzebujesz też reprezentacji RODO art. 27 lub GPSR art. 16, niektórzy dostawcy (np. REP27) oferują pakiety łączone w obniżonej cenie.

Macierz decyzji:

Zawsze żądaj pisemnego pełnomocnictwa i certyfikatu przed wprowadzeniem produktów na rynek UE.

Co naprawdę obejmuje cena: porównanie dostawców

Ceny i zakres usług znacznie się różnią. Mandaty z art. 18 to zwykle najniższy koszt zewnętrzny w zgodności CRA, ale wielu dostawców nie ujawnia pełnych szczegółów. Poniżej porównanie, co jest wliczone, wyłączone lub może generować dodatkowe opłaty (stan na październik 2026):

Dla większości producentów mandat z art. 18 to dokument jednokartkowy plus obowiązek przekazywania żądań. Ocena zgodności, testy techniczne i generowanie SBOM to osobne koszty i nie są wliczone w podstawowe opłaty przedstawiciela.

Ukryte koszty i wyłączenia

Mandat z art. 18 jest koniecznością prawną, ale stanowi tylko niewielką część całkowitych kosztów zgodności z CRA. Najdroższe elementy — ocena zgodności, opłaty jednostek notyfikowanych, dokumentacja techniczna i okres wsparcia — nie są uwzględnione w większości pakietów przedstawicieli. Oto na co zwrócić uwagę:

• Opłaty za ocenę zgodności: Dla ważnych produktów klasy II lub krytycznych koszty jednostki notyfikowanej lub schematu certyfikacji mogą sięgać kilku tysięcy euro i trwać miesiące. Zaplanuj je osobno.
• Dokumentacja techniczna: Dostawcy tacy jak Reglyze i EmberKat oferują generowanie plików technicznych, wprowadzanie SBOM i analizę luk, ale nie są to usługi w standardowych mandatów przedstawicieli.
• Opłaty za odnowienie i na żądanie: Niektórzy dostawcy mogą pobierać wyższe opłaty za odnowienie lub za każde zgłoszenie/raport. Zawsze żądaj pisemnego potwierdzenia cen odnowienia i dodatkowych opłat przed podpisaniem umowy.
• Okresy wypowiedzenia i limity odpowiedzialności: Ciche odnowienia i niejasne zasady anulowania mogą prowadzić do nieoczekiwanych kosztów. Odpowiedzialność za niezgodność jest często wyłączona lub ograniczona przez przedstawiciela.
• Koszty okresu wsparcia: Prawo wymaga co najmniej pięciu lat aktualizacji bezpieczeństwa i obsługi luk, co musi być zaplanowane i budżetowane jak linia produktów.

REP27 jest transparentny co do wyłączeń: doradztwo prawne, ocena techniczna i generowanie SBOM są poza mandatem. Zawsze wyjaśniaj wyłączenia i ukryte koszty z każdym dostawcą.

Jak przebiega wyznaczenie przedstawiciela: krok po kroku

Wyznaczenie przedstawiciela z art. 18 i osiągnięcie zgodności z CRA wymaga kilku konkretnych kroków. Oto praktyczny proces dla producentów spoza UE:

1. Określ, czy Twoje produkty podlegają CRA: Zidentyfikuj wszystkie produkty z elementami cyfrowymi (sprzęt, oprogramowanie, komponenty lub rozwiązania zdalnego przetwarzania danych) wprowadzane na rynek UE.
2. Skategoryzuj swoje produkty: Użyj definicji CRA, aby określić, czy produkty są domyślne, ważne klasy I/II lub krytyczne. To wpływa na ścieżkę oceny zgodności.
3. Wybierz przedstawiciela: Wybierz przedstawiciela z art. 18 z weryfikowalnym podmiotem prawnym w UE. Potwierdź zakres, ceny i warunki odnowienia na piśmie.
4. Podpisz mandat: Zawrzyj pisemne pełnomocnictwo (art. 18(3)) z wybranym dostawcą. Uzyskaj certyfikat i publiczną metodę weryfikacji.
5. Przygotuj dokumentację: Zgromadź dokumentację techniczną (Załącznik VII), SBOM, deklarację zgodności UE i instrukcje użytkownika w wymaganych językach.
6. Utwórz kanał zgłoszeń 24h: Zapewnij obsadzone biuro do przyjmowania zgłoszeń o lukach i incydentach. Przygotuj szablony wczesnych ostrzeżeń i powiadomień.
7. Zarejestruj się w ENISA: Zarejestruj osoby zgłaszające na platformie ENISA. Przydziel co najmniej dwie osoby z dostępem w różnych strefach czasowych.
8. Zaplanuj budżet na ciągłą zgodność: Uwzględnij koszty okresu wsparcia (min. 5 lat aktualizacji), oceny zgodności (jeśli wymagana) i utrzymania dokumentacji.
9. Regularnie przeglądaj i aktualizuj: Zaplanuj okresowe przeglądy zgodności, dokumentacji i procesów zgłoszeniowych.

Stosowanie się do tej listy kontrolnej zapewnia przygotowanie na wymagania prawne i praktyczne CRA.

Ryzyka i kary za niezgodność

CRA wprowadza wysokie kary za niezgodność. Naruszenia podstawowych wymagań cyberbezpieczeństwa lub obowiązków producenta mogą skutkować grzywnami do 15 mln euro lub 2,5% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Kary dotyczą zarówno producentów z UE, jak i spoza UE wprowadzających produkty na rynek UE.

• Brak zgłoszeń: Niedotrzymanie 24-godzinnego terminu zgłoszenia luk naraża na działania egzekucyjne. Mikro i małe przedsiębiorstwa oraz opiekunowie open-source są zwolnieni z kar za opóźnienia, ale nie z obowiązku zgłoszenia.
• Ryzyko w zamówieniach i dostępie do rynku: Brak przedstawiciela z art. 18 może opóźnić procesy zakupowe i wykluczyć z przetargów lub sprzedaży korporacyjnej.
• Działania nadzoru rynku: Władze mogą podjąć działania wobec niezgodnych producentów, w tym wycofanie lub odwołanie produktu.
• Ryzyko dla dystrybutorów/importerów: Brak przedstawiciela może spowodować, że importerzy lub dystrybutorzy z UE zostaną uznani za kanał zgłoszeniowy, co może skutkować utratą kontroli nad komunikacją zgodności.
• Ciche zaniedbania: Nieodnowienie mandatów lub brak aktualizacji dokumentacji może prowadzić do niezauważonych uchybień i narażenia na sankcje bez ostrzeżenia.

Skuteczna zgodność to nie tylko unikanie kar, ale także zapewnienie nieprzerwanego dostępu do rynku i utrzymanie zaufania klientów oraz partnerów.

Czego dostawcy zwykle nie mówią

Wielu dostawców koncentruje się na prawnej konieczności mandatu z art. 18, ale nie ujawnia pełnego obrazu. Oto co często jest pomijane:

• Zakres mandatu: Mandat z art. 18 ogranicza się do przekazywania żądań i pełnienia roli punktu kontaktowego. Nie obejmuje doradztwa prawnego, oceny technicznej ani generowania SBOM, chyba że wyraźnie zaznaczono.
• Ocena zgodności: Dla ważnych produktów klasy II i krytycznych koszty jednostki notyfikowanej lub schematu certyfikacji są znacznie wyższe niż opłata przedstawiciela i mogą trwać miesiące. Nigdy nie są wliczone w podstawowe mandaty.
• Okres wsparcia: Wymóg co najmniej pięciu lat aktualizacji bezpieczeństwa i obsługi luk to duży koszt operacyjny, nieobjęty żadną usługą przedstawiciela.
• Warunki odnowienia i wypowiedzenia: Niektórzy dostawcy stosują niskie ceny na pierwszy rok z dużo wyższymi odnowieniami lub wymagają długich okresów wypowiedzenia. Zawsze uzyskaj warunki odnowienia na piśmie.
• Odpowiedzialność: Przedstawiciele zwykle wyłączają odpowiedzialność za niezgodności. Producent pozostaje odpowiedzialny za wszystkie obowiązki wynikające z CRA.

Przejrzystość co do wyłączeń jest równie ważna jak to, co jest wliczone. Zawsze żądaj pełnej listy wyłączeń i wyjaśnij rolę dostawcy przed podpisaniem umowy.

Realistyczne scenariusze: która ścieżka obowiązuje?

• Amerykańska firma SaaS: Dostawca SaaS z USA sprzedaje oprogramowanie bezpośrednio klientom w UE. Firma musi wyznaczyć przedstawiciela z art. 18, przygotować dokumentację techniczną i SBOM oraz uruchomić kanał zgłoszeń 24h. Jeśli produkt jest domyślny, wystarczy samoocena; jeśli ważny lub krytyczny, potrzebna jest jednostka notyfikowana. Najprostsza ścieżka to wyznaczenie przedstawiciela (np. REP27), przygotowanie dokumentacji i rejestracja w ENISA.
• Chiński sprzedawca na Amazon: Producent z Chin sprzedaje urządzenia IoT pod własną nazwą na Amazon klientom z UE. Sprzedawca musi wyznaczyć przedstawiciela z art. 18 i spełnić wszystkie wymagania CRA. Jeśli produkt wprowadza na rynek importer z UE, importer może przejąć obowiązki. W przeciwnym razie oryginalny producent odpowiada za zgłoszenia i dokumentację.
• Sklep internetowy z UK: Detalista z UK wysyła urządzenia połączone do klientów w UE. Musi wyznaczyć przedstawiciela z art. 18, przygotować dokumentację techniczną i zapewnić 24-godzinny proces zgłaszania luk. Jeśli sprzedaje przez dystrybutora z UE, który wprowadza produkt pod własną nazwą, dystrybutor przejmuje obowiązki; w przeciwnym razie detalista z UK pozostaje odpowiedzialny.

We wszystkich scenariuszach kluczowe jest zmapowanie kanałów sprzedaży, ustalenie, kto wprowadza produkt na rynek, i wyznaczenie przedstawiciela, jeśli jest to wymagane. Zapobiega to opóźnieniom w zamówieniach, zapewnia zgodność i unika kar.

Lista kontrolna: jak dziś spełnić wymogi

1. Zmapuj kanały sprzedaży w UE i zidentyfikuj wszystkie produkty z elementami cyfrowymi.
2. Skategoryzuj każdy produkt (domyślny, ważny I/II, krytyczny) według definicji CRA.
3. Określ, czy potrzebujesz przedstawiciela z art. 18 (wymagany dla producentów spoza UE).
4. Poproś o pisemne pełnomocnictwo i certyfikat od wybranego dostawcy (np. REP27, kadano, Euverify).
5. Przygotuj dokumentację techniczną: plik Załącznik VII, SBOM, deklarację zgodności UE, instrukcje użytkownika w językach UE.
6. Utwórz obsadzone 24-godzinne biuro zgłoszeń luk. Przygotuj szablony wczesnych ostrzeżeń i powiadomień.
7. Zarejestruj co najmniej dwóch zgłaszających na platformie ENISA (najlepiej w różnych strefach czasowych).
8. Zaplanuj budżet na jednostkę notyfikowaną lub schemat certyfikacji, jeśli produkt jest ważny klasy II lub krytyczny.
9. Zadeklaruj i zapewnij zasoby na okres wsparcia co najmniej pięć lat dla aktualizacji bezpieczeństwa i obsługi luk.
10. Planuj regularne przeglądy zgodności i aktualizacje dokumentacji.

Stosowanie się do tych kroków zapewni gotowość na terminy egzekwowania CRA w 2026-2027 i uniknięcie kosztownych luk w zgodności.