BSI i DAkkS budują kompetencje certyfikacyjne do Cyber Resilience Act

Federalny Urząd Bezpieczeństwa Informacji (BSI) i Niemiecka Jednostka Akredytacyjna (DAkkS) zaktualizowały swoje porozumienie administracyjne. Obie instytucje podały 25 września 2026 roku, że umowa obejmuje teraz kolejne obszary, w których BSI wskazywany jest jako organ wydający uprawnienia.

O czym mówi porozumienie

Chodzi przede wszystkim o współpracę przy akredytacji jednostek oceniających zgodność (KBS), które kontrolują bezpieczeństwo cybernetyczne. Ustalono zwłaszcza, że BSI zapewnia ekspertów merytorycznych do postępowań akredytacyjnych DAkkS w obszarze bezpieczeństwa informacji.

Prezeska BSI Claudia Plattner uzasadniała to tak: trzeba ułatwić producentom i usługodawcom wprowadzanie na rynek produktów o wysokim poziomie bezpieczeństwa cybernetycznego, a ta współpraca ma postawić proces na pewnym fundamencie.

Co będzie obowiązywać od końca 2027 roku

Od końca 2027 roku produkty z elementami cyfrowymi muszą spełniać wymagania bezpieczeństwa cybernetycznego z Cyber Resilience Act (CRA). W przeciwnym razie nie będzie można ich wprowadzać na rynek europejski. Dla części grup produktów wymienionych w CRA producenci muszą wykazać zgodność w drodze oceny przez stronę trzecią, czyli przez KBS. Takie jednostki potrzebują w Niemczech ważnej akredytacji DAkkS, a w drugim kroku notyfikacji przez BSI.

Postępowanie BSI w sprawie notyfikacji dla CRA ruszyło według urzędu 11 czerwca 2026 roku, jeszcze przed publikacją ustawy wykonawczej do CRA, która wciąż jest w procesie legislacyjnym. DAkkS umożliwia już składanie wniosków przez KBS w zakresie CRA.

Druga podstawa: bezpieczeństwo AI

BSI równolegle pozycjonuje się jako instytucja badająca systemy AI. Na swojej stronie branżowej urząd opisuje trzy punkty styku AI i bezpieczeństwa IT: bezpieczeństwo samych systemów AI, korzyści z AI dla obrony oraz nowe ataki, które stają się możliwe dzięki metodom AI. BSI prowadzi w tym celu badania podstawowe i opracowuje wymagania, kryteria oraz metodologie testowania. Od katalogu kryteriów integracji zewnętrznie dostarczanych generatywnych modeli AI, przez przewodnik po asystentach programowania AI i „SBOM for AI”, po kryteria jakości danych treningowych (QUAIDAL) i listę kontrolną dotyczącą ataków ewazyjnych na LLM.

Dla producentów i jednostek badawczych powstaje z tego podwójna presja czasu: trzeba zbudować jednostki notyfikowane, a kryteria testowania produktów opartych na AI dojrzewają równolegle w kilku dokumentach.

To, kto może poświadczać zgodność, decyduje o tym, jak szybko produkty zgodne z CRA faktycznie trafią na rynek.