Porównanie dostawców raportowania luk Cyber Resilience Act (CRA)

• Raportowanie luk CRA jest obowiązkowe od 11 września 2026
• Tylko niektórzy dostawcy publikują ceny i szczegóły w ofercie
• Reprezentacja obejmuje przesyłanie zgłoszeń, nie ocenę techniczną
• Porównaj wyłączenia, odnowienia i procesy weryfikacji
• Kary za brak raportowania mogą sięgać 15 mln € lub 2,5% obrotu
• Mandat przedstawiciela nie obejmuje oceny, SBOM ani wsparcia technicznego

Zaktualizowane 21 October 2026 · 12 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 21 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Wymagania prawne: obowiązki, artykuły i terminy

Cyber Resilience Act (CRA), Rozporządzenie (UE) 2024/2847, wprowadza rygorystyczne obowiązki dla podmiotów wprowadzających na rynek UE produkty z elementami cyfrowymi, zarówno sprzętowe, jak i programowe, niezależnie od miejsca siedziby. Główne obowiązki to:

• Wyznaczenie przedstawiciela upoważnionego (Art. 18): Jeśli producent nie ma siedziby w UE, musi pisemnie wyznaczyć przedstawiciela w Unii. Przedstawiciel odpowiada za przekazywanie zgłoszeń luk i poważnych incydentów do właściwych organów (CSIRT, ENISA).
• Raportowanie luk (Art. 14): Od 11 września 2026 każdy producent musi zgłosić w ciągu 24 godzin od uzyskania informacji o aktywnie wykorzystywanej luce lub poważnym incydencie wpływającym na bezpieczeństwo produktu. Zgłoszenie odbywa się przez platformę ENISA i kierowane jest do koordynującego CSIRT.
• Pełne powiadomienie i raport końcowy: W ciągu 72 godzin od zgłoszenia należy dostarczyć szczegółowe powiadomienie z pierwszymi środkami zaradczymi. W ciągu 14-30 dni wysyła się raport końcowy z opisem luki i zastosowanym rozwiązaniem.
• Dotyczy wszystkich produktów cyfrowych: Obowiązek obejmuje zarówno nowe, jak i już dostępne na rynku produkty, w całym cyklu życia, włączając aktualizacje i wsparcie.
• Sankcje: Nieprzestrzeganie może skutkować karami do 15 mln € lub 2,5% globalnego obrotu, w zależności od tego, która kwota jest wyższa.

Ważne jest rozróżnienie raportowania CRA (luki w produktach) od innych obowiązków, jak GDPR (naruszenia danych osobowych) czy NIS2 (incydenty usług). Każdy system ma inne odbiorcy, terminy i platformy.

Jak wybrać dostawcę: praktyczne kryteria i ryzyka

Wybór dostawcy usług raportowania luk CRA powinien opierać się na praktycznych i przejrzystych kryteriach. Oto kluczowe punkty do oceny:

• Opublikowana i przejrzysta cena: Wybieraj dostawców, którzy jasno podają cenę i koszt odnowienia. Unikaj ofert z cenami "wprowadzającymi" lub ukrytymi odnowieniami.
• Zakres usługi: Sprawdź, czy usługa obejmuje tylko mandat przedstawiciela i przesyłanie zgłoszeń, czy także wsparcie techniczne, dokumentację, SBOM lub zaawansowane workflow. Większość dostawców ogranicza się do reprezentacji prawnej.
• Weryfikowalny certyfikat: Certyfikat z kodem QR i publiczną stroną weryfikacji zmniejsza ryzyko sporów podczas audytów lub incydentów.
• Obsługa 24/7: Raportowanie musi być możliwe o każdej porze, także nocą, w weekendy i święta. Zapytaj wyraźnie, czy biuro działa cały rok.
• Język i czas reakcji: Upewnij się, że dostawca obsłuży zgłoszenia po angielsku i, jeśli potrzeba, w innych językach UE. Czas przesłania powyżej 24 godzin może zagrozić zgodności.
• Wyłączenia i ograniczenia: Żaden przedstawiciel nie obejmuje oceny technicznej, testów bezpieczeństwa, generowania SBOM czy wsparcia inżynieryjnego – to pozostaje po stronie producenta lub specjalistycznych dostawców.

Zawsze oceniaj jasność wyłączeń: dostawca, który ich nie precyzuje, może nie mieć jasno określonego zakresu usługi.

Co naprawdę obejmuje cena: tabela porównawcza i analiza

Większość dostawców oferuje mandat przedstawiciela i przesyłanie zgłoszeń, ale niewielu zapewnia dodatkowe usługi techniczne. Oto tabela porównawcza:

Podstawowa różnica między dostawcami "klasycznymi" (REP27, kadano, Euverify) a tymi oferującymi szerszy zakres usług (Attestra AI, Seentrix, Illicium) polega na tym, że pierwsi realizują minimalne wymogi prawne, a drudzy proponują workflow bezpieczeństwa, automatyczne SBOM lub pentesting. Jednak dla zgodności z Art. 18 i 14 CRA wystarczy mandat przedstawiciela i gwarancja szybkiego przesyłania zgłoszeń.

Uwaga: opublikowana cena obejmuje tylko wyraźnie deklarowane usługi. Usługi techniczne są zwykle wyceniane osobno i mogą być znacznie droższe.

Ukryte koszty, wyłączenia i czego dostawcy nie mówią

Wielu dostawców nie podaje ceny odnowienia lub nalicza dodatkowe opłaty za zgłoszenia poza godzinami pracy, wydanie dodatkowych certyfikatów czy wsparcie w językach innych niż angielski. Oto, co warto wiedzieć:

• Odnowienia: Zawsze pytaj o cenę odnowienia przed podpisaniem umowy. REP27 podaje ją jasno (€440), inni podają na żądanie.
• Wyłączenia: Żaden dostawca nie obejmuje oceny zgodności, testów bezpieczeństwa, generowania SBOM czy wsparcia inżynieryjnego. Te usługi są oddzielne i często dużo droższe niż mandat przedstawiciela.
• Ograniczenia odpowiedzialności: Dostawcy nie biorą odpowiedzialności za błędy techniczne, brak zgłoszenia ze strony klienta ani za zarządzanie samymi lukami.
• Okres wypowiedzenia: Niektórzy dostawcy mogą wymagać okresu wypowiedzenia przy zakończeniu usługi lub zmianie przedstawiciela. Sprawdź warunki umowy.
• Opłaty za żądanie: Jeśli brak publicznych informacji, zapytaj o koszty za dodatkowe zgłoszenia, wydanie nowych certyfikatów lub wsparcie w trybie awaryjnym.

Tablica decyzyjna:

Podsumowując, jasność co do wyłączeń i ukrytych kosztów jest kluczowa, by uniknąć niespodzianek i zapewnić pełną zgodność.

Jak przebiega nominacja: krok po kroku i praktyczna lista kontrolna

Nominacja przedstawiciela CRA przebiega według kilku kluczowych etapów. Oto szczegółowy przewodnik:

1. Sprawdź obowiązek: Czy jesteś producentem produktów cyfrowych (sprzęt/oprogramowanie) sprzedawanych w UE i nie masz tam siedziby? Jeśli tak, obowiązek Cię dotyczy.
2. Wybierz dostawcę: Porównaj ceny, zakres, wyłączenia i procesy weryfikacji. Wybierz dostawcę z obsługą 24/7 i publicznie weryfikowalnym certyfikatem.
3. Podpisz mandat: Mandat musi być pisemny, podpisany przez osobę prawną dostawcy (np. Europe Services, SE dla REP27) i ograniczony do obowiązków Art. 18. Unikaj mandatów obejmujących też Art. 13.
4. Odbierz certyfikat: Dostawca wydaje certyfikat nominacji, najlepiej z kodem QR i stroną weryfikacji online.
5. Przygotuj runbook wewnętrzny: Wprowadź dane przedstawiciela, procedurę eskalacji i kontakty do raportowania do dokumentacji wewnętrznej.
6. Skonfiguruj kanał raportowania: Przygotuj wewnętrzny kanał do zbierania zgłoszeń luk i incydentów, z co najmniej dwiema osobami wyznaczonymi jako submitterzy na platformie ENISA.
7. Przeszkol zespół: Zapewnij, że personel wie, co i kiedy zgłaszać oraz że procedury są testowane w symulacjach.

Lista kontrolna:

1. Zidentyfikowałeś klasy produktów i ich przeznaczenie w UE?
2. Zmapowałeś wszystkie kanały sprzedaży i dystrybucji?
3. Wybrałeś dostawcę z obsługą 24/7 i przejrzystą ceną odnowienia?
4. Spisałeś procedury eskalacji i raportowania?
5. Wyznaczyłeś co najmniej dwóch submitterów na platformie ENISA?
6. Przetestowałeś proces zgłaszania w symulacji?

Postępując według tych kroków minimalizujesz ryzyko niezgodności i kar.

Ryzyka, kary i realne scenariusze: co może się zdarzyć

Brak zgłoszenia luki w ciągu 24 godzin może skutkować karami do 15 mln € lub 2,5% globalnego obrotu, a także stratami reputacyjnymi i blokadą sprzedaży w UE. Oto trzy realistyczne scenariusze obrazujące obowiązki:

• SaaS z USA: Amerykańska firma SaaS świadcząca usługi klientom UE musi wyznaczyć przedstawiciela CRA, uruchomić kanał raportowania 24/7 i zgłaszać każdą wykorzystywaną lukę. Przedstawiciel przesyła zgłoszenia przez ENISA i odpowiada na żądania organów.
• Sprzedawca Amazon z Chin: Jeśli sprzedawca jest też producentem produktu cyfrowego, musi wyznaczyć przedstawiciela CRA i dotrzymać terminów raportowania. Jeśli jest tylko sprzedawcą, obowiązek spoczywa na producencie. Kanał raportowania musi być gotowy od 11 września 2026.
• Sklep online z UK: Brytyjski sklep sprzedający urządzenia z firmware klientom UE musi wyznaczyć przedstawiciela CRA. Jeśli oferuje tylko usługi niedigitalne, nie podlega obowiązkowi. W przypadku incydentu raportowanie musi nastąpić w 24 godziny, nawet jeśli siedziba jest poza UE.

We wszystkich przypadkach brak przygotowania (brak runbooka, nieprzetestowany kanał raportowania, nieweryfikowalny przedstawiciel) może opóźnić reakcję i pogorszyć skutki prawne i finansowe.