Copla uruchamia ramy zgodności z aktem o cyberodporności

Copla podała, że jej ramy dzielą wymogi CRA w sprawie bezpiecznego projektowania i zarządzania podatnościami na osobne zadania i dodaje uporządkowany plan gotowości. Firma dostarcza też szablony dokumentacji technicznej i unijnej deklaracji zgodności. Nowe ramy uzupełniają dotychczasowe wsparcie Copli dla DORA, NIS2, ISO 27001, SOC 2 i PCI DSS.

Inni dostawcy też mają narzędzia do zgodności z CRA. ArmorCode zapowiedział w czerwcu 2026 r. funkcje CRA w swojej platformie Agentic AI, w tym obsługę SBOM i VEX oraz procesy ujawniania informacji. exida wydała exSILentia CRA 3 listopada 2026 r., narzędzie do oceny ryzyka produktów i dokumentacji technicznej.

Sprzedaż bez oznakowania CE będzie nielegalna

Od 11 grudnia 2027 r. produktu bez ważnej deklaracji zgodności i oznakowania CE nie będzie można legalnie sprzedawać w UE. Krajowe organy nadzoru rynku dostaną prawo żądania wycofania produktu z obrotu lub z rynku. Oznakowanie CE, znane już z zabawek, czajników i ładowarek, obejmie teraz także oprogramowanie. Producent musi podpisać unijną deklarację zgodności, zanim umieści znak na produkcie. Rozporządzenie weszło w życie 10 grudnia 2024 r., a jego rozdział o jednostkach notyfikowanych stosuje się od 11 czerwca 2026 r.

Przepisy o zgłaszaniu już obowiązują

Komisja Europejska podaje, że art. 14 stosuje się od 11 września 2026 r. Producent, który dowie się o aktywnie wykorzystywanej podatności, musi złożyć wczesne ostrzeżenie w ciągu 24 godzin i szczegółowe zgłoszenie w ciągu 72 godzin. Raport końcowy jest wymagany w ciągu 14 dni od załagodzenia wykorzystanej podatności albo w ciągu miesiąca od zgłoszenia 72-godzinnego w przypadku poważnych incydentów. Zgłoszenia trafiają przez jednolitą platformę zgłoszeniową ENISA. Platforma kieruje zgłoszenie do agencji i do koordynatora CSIRT właściwego ze względu na miejsce głównego zakładu producenta w UE. Ruszyła bez API, więc każdy raport składa się ręcznie przez portal internetowy.

Art. 69 ust. 3 rozciąga obowiązki zgłaszania z art. 14 na produkty objęte zakresem, które już są na rynku UE. choć większość pozostałych wymogów CRA nie dotyczy produktów wprowadzonych przed 2027 rokiem. Obowiązki zgłaszania trwają też po zakończeniu wsparcia produktu, co utrzymuje w zakresie systemy starszej generacji i komponenty firm trzecich. Naruszenie podstawowych wymogów bezpieczeństwa może kosztować do 15 mln euro lub 2,5% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa.

ENISA widzi lukę w przygotowaniach

ENISA opublikowała w czerwcu 2026 r. pierwsze badanie CRA skierowane do MŚP, obejmujące 194 organizacje z 31 krajów. Wynika z niego, że 66% ankietowanych znało rozporządzenie, ale tylko mniej więcej co trzeci korzystał z wykazu składników oprogramowania (SBOM). Reagowanie na incydenty i zarządzanie cyklem życia produktu wypadły najsłabiej niezależnie od wielkości firmy. ENISA zastrzegła, że udział był dobrowolny i prawdopodobnie przeważyły w nim MŚP, które już śledzą temat. Rzeczywista gotowość może być więc niższa.

Aurimas Bakas, prezes i współzałożyciel Copli, powiedział: „Wyniki ENISA pokazują, że świadomość jest, ale praktycznych podstaw często jeszcze nie ma. SBOM, proces obsługi podatności i plan reagowania na incydenty wymagają czasu, żeby je porządnie wdrożyć, a przepisy o zgłaszaniu obowiązują już dziś. Firmy, które zaczną teraz, wciąż mają realistyczne okno czasowe, żeby zdążyć przed grudniem 2027 r., i w tym chcemy im pomóc”.

Dokumentacja i wytyczne

Producenci muszą też przygotować wykaz składników oprogramowania (SBOM), czyli uporządkowany spis komponentów w produkcie. Publikacja nie jest obowiązkowa, ale organy nadzoru rynku mogą zażądać wglądu. Niemiecki BSI TR-03183 daje szablon formatowania; jest wyraźnie niewiążący i nie tworzy prawnego domniemania zgodności. Komisja Europejska opublikowała wytyczne wdrożeniowe obejmujące zakres produktów, istotne modyfikacje, okresy wsparcia i obowiązki zgłaszania.