10 grudnia 2024 roku weszła w życie kolejna unijna regulacja z zakresu cyberbezpieczeństwa – Akt o cyberodporności (znany także jako CRA – Cyber Resilience Act)[1]. Jest to rozporządzenie, które ma być uzupełnieniem dotychczasowych regulacji cyberbezpieczeństwa, w tym dyrektywy NIS 2, a także stanowić kolejny krok w celu horyzontalnego zwiększania poziomu cyberbezpieczeństwa Unii Europejskiej. W tym artykule zostaną przedstawione podstawowe kwestie związane z CRA – czym jest i jakie są jego założenia, jaki jest jego zakres oraz kiedy i na kogo zostaną nałożone nowe obowiązki. Artykuł jest wprowadzeniem do przygotowywanej serii publikacji o CRA, w ramach której przybliżymy najważniejsze zagadnienia tej regulacji.
Czym jest CRA i jaki jest jego status wobec innych regulacji cyberbezpieczeństwa?
CRA jest pierwszą unijną regulacją, która w kompleksowy sposób określa wymogi cyberbezpieczeństwa dla sprzętu oraz systemu – tzw. produktów z elementami cyfrowymi. Jego celem jest zapewnienie, iż produkty z elementami cyfrowymi wprowadzane na rynek jednolity UE będą projektowane, wytwarzane i utrzymywane z uwzględnieniem bezpieczeństwa informatycznego przez cały cykl życia produktu.
W Unii Europejskiej funkcjonują już przepisy regulujące cyberbezpieczeństwo określonych kategorii produktów z elementami cyfrowymi np. wyrobów medycznych[2], wyrobów medycznych do diagnostyki in-vitro[3], poszczególnych układów, komponentów pojazdów silnikowych[4] czy produktów wykorzystywanych w lotnictwie cywilnym[5]. Brakowało jednak regulacji, które miałyby charakter bardziej horyzontalny. CRA ma zapełniać tę lukę. Jest to regulacja, która obejmuje wszystkie sektory i rodzaje produktów z elementami cyfrowymi.
CRA ma stanowić też regulację bazową, ustanawiającą pewny podstawowy poziom bezpieczeństwa – unijny prawodawca dopuszcza możliwość przyjmowania na poziomie UE regulacji sektorowych lub obejmujących określone rodzaje produktów cyfrowych, które będą odmiennie określały wymagania – z uwzględnieniem rodzajów ryzyka specyficznego dla danego sektora czy rodzaju produktów. W takim przypadku CRA może podlegać ograniczeniu lub wyłączeniu w stosunku do produktów objętych takimi regulacjami.
Warto wskazać, iż w przeciwieństwie do dyrektywy NIS 2[6], która wymaga implementacji do krajowych porządków prawnych, CRA jest rozporządzeniem unijnym. Oznacza to, iż regulacja ta obowiązuje bezpośrednio i wchodzi w życie w tym samym momencie bez potrzeby jej implementacji we wszystkich państwach członkowskich UE. Nie wyłącza to jednak konieczności przyjęcia przez państwa członkowskie określonych przepisów krajowych, w szczególności dotyczących wyznaczenia organów nadzoru rynku oraz zasad nakładania kar.
CRA jest kolejnym elementem szerszego unijnego systemu cyberbezpieczeństwa. W pewnym uproszczeniu można powiedzieć, że:
- dyrektywa NIS 2 buduje cyberbezpieczeństwo podmiotów w najważniejszych sektorach gospodarki poprzez wymaganie od nich wdrożenia środków z zakresu cyberbezpieczeństwa oraz zapewnienie zgłaszania przez te podmioty incydentów,
- DORA[7] pełni podobną rolę do NIS 2, ale jest skierowana na podmioty z sektora finansowego i uwzględnia jego specyfikę i krytyczność,
- Akt o cyberbezpieczeństwie[8] określa przede wszystkim ramy prawne do tworzenia programów certyfikacji cyberbezpieczeństwa,
- CRA uzupełnia te regulacje, przyjmując podejście „produktowe” – wprowadzane przez CRA wymagania dotyczą określonych produktów, a nie organizacji.
Warto wskazać, iż CRA ma również znaczenie dla podmiotów objętych innymi przepisami, w szczególności NIS 2 i DORA. Produkty zgodne z CRA powinny bowiem ułatwiać organizacjom realizację obowiązków związanych z bezpieczeństwem łańcucha dostaw w zakresie nabywania i wykorzystywania sprzętu oraz oprogramowania. Zgodność z CRA ma stanowić potwierdzenie ogólnej jakości produktu oraz tego, iż zapewnia on określony poziom cyberbezpieczeństwa, co z założenia ma ułatwić uczestnikom rynku weryfikację bezpieczeństwa nabywanych rozwiązań ICT.
Kluczowe założenia CRA
Podstawowym celem CRA jest zapewnienie, aby produkty z elementami cyfrowymi były projektowane, produkowane, rozwijane, a następnie wprowadzane do obrotu i utrzymywane z uwzględnieniem dobrych praktyk cyberbezpieczeństwa. A zatem chodzi przede wszystkim o ograniczenie sytuacji, w których na rynek Unii Europejskiej trafiają produkty zawierające znane podatności, pozbawione odpowiedniego wsparcia producenta lub skonfigurowane w sposób ułatwiający złamanie jego zabezpieczeń i na przykład przejęcie kontroli przez osobę nieuprawnioną.
CRA opiera się na założeniu, iż cyberbezpieczeństwo produktu powinno być uwzględniane od początku jego cyklu życia. W praktyce oznacza to wdrożenie podejścia określanego jako security by design oraz security by default. Produkt powinien być zatem projektowany z uwzględnieniem dotyczących go ryzyk cyberbezpieczeństwa, a jego domyślna konfiguracja powinna zapewniać odpowiedni poziom ochrony bez konieczności podejmowania dodatkowych działań przez użytkownika.
Przykładem bezpiecznej konfiguracji jest wymuszenie przy pierwszym użyciu zmiany hasła z domyślnego na hasło spełniające podstawowe wymagania cyberbezpieczeństwa. Ma to ograniczyć wciąż częste sytuacje, w których urządzenia podłączone do internetu posiadają domyślne dane uwierzytelniania (login: admin; hasło: admin), co powoduje, iż przejęcie kontroli nad takim urządzeniem nie wymaga w ogóle przełamywania jego zabezpieczeń.
W bardzo ogólnym ujęciu CRA obejmuje dwa główne obszary wymagań:
- dotyczące adekwatności samego produktu, czyli tego czy został zaprojektowany i wykonany w sposób zapewniający odpowiedni poziom bezpieczeństwa;
- dotyczące procesów producenta, w szczególności zarządzania podatnościami, dostarczania aktualizacji bezpieczeństwa, przygotowania dokumentacji technicznej oraz przeprowadzenia oceny zgodności.
Jakie produkty obejmuje CRA?
CRA obejmuje tzw. produkty z elementami cyfrowymi. Pojęcie to jest szerokie i zawiera zarówno sprzęt (hardware), jak i oprogramowanie (software), a także powiązane z nimi rozwiązania zdalnego przetwarzania danych.
W praktyce omawiana regulacja będzie więc dotyczyć m.in. szerokiej gamy urządzeń IoT, routerów, kamer, produktów inteligentnego domu, systemów operacyjnych, aplikacji, komponentów oprogramowania, rozwiązań bezpieczeństwa IT oraz wybranych produktów wykorzystywanych w środowiskach przemysłowych.
Kluczowe jest to, iż produkt będzie objęty CRA, o ile jego przeznaczenie lub racjonalnie przewidywalne użycie obejmuje bezpośrednie lub pośrednie połączenie z urządzeniem albo siecią. Nie musi to być zatem produkt „informatyczny” w potocznym rozumieniu tego słowa. Wystarczające może być to, iż zawiera element cyfrowy i funkcjonuje w połączonym środowisku cyfrowym.
CRA dzieli produkty z elementami cyfrowymi na trzy główne grupy:
- produkty „zwykłe”,
- ważne produkty z elementami cyfrowymi oraz
- krytyczne produkty z elementami cyfrowymi.
Podział ten ma znaczenie przede wszystkim dla sposobu przeprowadzenia oceny zgodności, czyli procesu wykazywania, iż dany produkt jest zgodny z wymaganiami CRA. Co do zasady im większa krytyczność i znaczenie produktu z perspektywy cyberbezpieczeństwa, tym bardziej sformalizowane będą wymagania dotyczące zapewnienia i wykazania jego zgodności z CRA.
Nie wszystkie produkty będą jednak objęte CRA. Wyłączone są m.in. wspomniane wcześniej produkty podlegające szczególnym regulacjom sektorowym, np. niektóre wyroby medyczne, produkty lotnicze czy produkty związane z pojazdami silnikowymi.
Osobną kategorią, dla której CRA przewiduje odrębne zasady, jest wolne i otwarte oprogramowanie. Co do zasady niekomercyjne rozwijanie i udostępnianie systemu open source nie powinno prowadzić do objęcia jego twórców pełnym zakresem obowiązków przewidzianych dla producentów produktów z elementami cyfrowymi. Inaczej może być jednak wtedy, gdy takie oprogramowanie jest wykorzystywane w produkcie komercyjnym albo dostarczane w ramach działalności komercyjnej.
Kiedy dany produkt będzie podlegał CRA?
W uproszczeniu produkt będzie podlegał CRA, jeżeli:
- jest produktem z elementami cyfrowymi, czyli oprogramowaniem lub sprzętem określonych kategorii,
- jest udostępniany na rynku Unii Europejskiej w ramach działalności komercyjnej,
- może łączyć się bezpośrednio lub pośrednio z urządzeniem albo siecią oraz
- nie znajduje zastosowania żadne z wyłączeń przewidzianych w rozporządzeniu (np. produkt jest objęty regulacjami sektorowymi).
Istotne znaczenie będzie miała również data wprowadzenia produktu do obrotu. Zasadnicze wymagania CRA będą stosowane w pełnym zakresie od 11 grudnia 2027 r. Produkty wprowadzone do obrotu przed tą datą będą co do zasady podlegać nowym wymaganiom dopiero wtedy, gdy zostaną poddane istotnej modyfikacji. Jednak nie każda aktualizacja będzie się do niej zaliczać; aktualizacje bezpieczeństwa służące ograniczeniu ryzyka co do zasady nie powinny być traktowane jako istotna modyfikacja produktu.
Na kogo CRA nakłada obowiązki?
Głównym adresatem obowiązków przewidzianych w CRA będzie producent produktu z elementami cyfrowymi. Producentem jest nie tylko podmiot, który sam opracowuje lub wytwarza produkt, ale także podmiot, który zleca jego zaprojektowanie, opracowanie lub wytworzenie i wprowadza go do obrotu pod własną nazwą albo znakiem towarowym (model white label).
Obowiązki będą dotyczyć również importerów i dystrybutorów produktów z elementami cyfrowymi. Ich rola będzie jednak inna niż rola producenta – będą oni musieli przede wszystkim weryfikować, czy produkt spełnia podstawowe wymagania formalne, w tym czy został oznaczony znakiem CE, czy jest dostarczany z wymaganą dokumentacja oraz czy producent wykonał inne obowiązki związane z produktem.
Warto wskazać, iż importer lub dystrybutor może w określonych sytuacjach zostać uznany za producenta, w szczególności, gdy wprowadza produkt do obrotu pod własną nazwą lub znakiem towarowym albo dokonuje jego istotnej modyfikacji.
Jakie obowiązki przewiduje CRA?
CRA przewiduje szeroki katalog obowiązków. Ich szczegółowe omówienie będzie przedmiotem kolejnych artykułów. Na tym etapie warto jedynie sygnalizacyjnie wskazać najważniejsze grupy obowiązków.
Producenci będą musieli przede wszystkim:
- przeprowadzić ocenę ryzyka cyberbezpieczeństwa związanego z produktem i uwzględnić jej wyniki w procesie projektowania i utrzymywania produktu,
- zapewnić zgodność produktu z zasadniczymi wymaganiami cyberbezpieczeństwa,
- wdrożyć proces zarządzania podatnościami,
- przygotować dokumentację techniczną,
- przeprowadzić odpowiednią procedurę oceny zgodności,
- sporządzić deklarację zgodności UE oraz oznaczyć produkt znakiem CE.
Istotnym elementem CRA będą również obowiązki dotyczące zgłaszania aktywnie wykorzystywanych podatności oraz poważnych incydentów mających wpływ na bezpieczeństwo produktu. Ten obszar będzie szczególnie istotny z praktycznego punktu widzenia, ponieważ obowiązki raportowe zaczną obowiązywać wcześniej niż większość pozostałych wymagań CRA.
Kary i środki nadzorcze
CRA przewiduje także instrumenty nadzorcze oraz administracyjne kary pieniężne. Organy nadzoru rynku będą mogły m.in. żądać informacji i dokumentacji, badać zgodność produktów z wymaganiami rozporządzenia oraz nakazywać podjęcie działań naprawczych.
W tym miejscu warto jedynie zasygnalizować, iż sankcje przewidziane w CRA są wysokie, a ich ryzyko powinno być brane pod uwagę już na etapie planowania dostosowania produktów i procesów do nowych wymagań. W przypadku najpoważniejszych naruszeń kary mogą sięgać choćby do 15 mln euro albo 2,5% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa.
Harmonogram wdrożenia CRA
CRA weszło w życie 10 grudnia 2024 r., jednak większość obowiązków zacznie być stosowana dopiero po okresie przejściowym.
Najważniejsze daty są następujące:
- 11 czerwca 2026 r. – zaczęły obowiązywać przepisy dotyczące notyfikacji jednostek oceniających zgodność;
- 11 września 2026 r. – zaczną obowiązywać przepisy nakładające obowiązki zgłaszania aktywnie wykorzystywanych podatności oraz poważnych incydentów mających wpływ na bezpieczeństwo produktów;
- 11 grudnia 2027 r. – rozpoczęcie pełnego stosowania CRA.
Mimo iż termin pełnego stosowania rozporządzenia może wydawać się odległy, w praktyce przygotowanie do CRA może wymagać istotnych zmian w procesach projektowania produktów, zarządzania podatnościami, aktualizacji bezpieczeństwa, dokumentowania ryzyka oraz przeprowadzania oceny zgodności. Z tego względu organizacje, których produkty mogą być objęte CRA, powinny już teraz rozpocząć analizę wpływu tej regulacji na swoją działalność.
Warto mieć na uwadze także zbliżający się termin 11 września 2026 r., kiedy to zaktualizują się obowiązki dotyczące zgłaszania aktywnie wykorzystywanych podatności oraz poważnych incydentów mających wpływ na bezpieczeństwo produktów z elementami cyfrowymi. W chwil publikacji artykułu nie podano jeszcze szczegółów dotyczących technicznych aspektów zgłaszania podatności i incydentów, w szczególności nie został jeszcze udostępniony dedykowany portal do zgłoszeń.
Finansowanie dostosowania do CRA
Dostosowanie do wymagań CRA może wiązać się z istotnymi kosztami, zwłaszcza dla małych i średnich przedsiębiorstw. Dotyczy to m.in. analizy luk, testów bezpieczeństwa, przygotowania dokumentacji technicznej, wdrożenia procesów zarządzania podatnościami czy przeprowadzenia oceny zgodności.
Warto więc śledzić unijne instrumenty wsparcia dla przedsiębiorców w tym zakresie. Jednym z przykładów jest projekt SECURE – Strengthening EU SMEs Cyber Resilience, finansowany w ramach programu „Digital Europe”. Projekt ten ma wspierać mikro-, małe i średnie przedsiębiorstwa w zwiększaniu cyberodporności oraz przygotowaniu do wymagań CRA. Również ten wątek planujemy szerzej omówiony w kolejnych artykułach z tej serii.
Co dalej?
Artykuł ten ma charakter wprowadzający. Jego celem było jedynie przedstawienie podstawowych informacji o CRA. W kolejnych artykułach planujemy bardziej szczegółowo omówić:
- obowiązki w zakresie zarządzania podatnościami i incydentami, w tym zgłaszania aktywnie wykorzystywanych podatności oraz poważnych incydentów mających wpływ na bezpieczeństwo produktów;
- pozostałe obowiązki producentów, importerów i dystrybutorów produktów z elementami cyfrowymi;
- procedury oceny zgodności, oznakowanie CE, deklarację zgodności UE oraz dokumentację techniczną;
- relacje CRA z innymi regulacjami, w szczególności NIS 2, DORA, AI Act, RODO oraz przepisami dotyczącymi odpowiedzialności za produkty wadliwe.
[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi oraz w sprawie zmiany rozporządzeń (UE) nr 168/2013 i (UE) 2019/1020 i dyrektywy (UE) 2020/1828 (akt o cyberodporności) (Dz. U. UE. L. z 2024 r. poz. 2847 z późn. zm.).
[2] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/745 z dnia 5 kwietnia 2017 r. w sprawie wyrobów medycznych, zmiany dyrektywy 2001/83/WE, rozporządzenia (WE) nr 178/2002 i rozporządzenia (WE) nr 1223/2009 oraz uchylenia dyrektyw Rady 90/385/EWG i 93/42/EWG (Dz. U. UE. L. z 2017 r. Nr 117, str. 1 z późn. zm.).
[3] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/746 z dnia 5 kwietnia 2017 r. w sprawie wyrobów medycznych do diagnostyki in vitro oraz uchylenia dyrektywy 98/79/WE i decyzji Komisji 2010/227/UE (Dz. U. UE. L. z 2017 r. Nr 117, str. 176 z późn. zm.).
[4] Chodzi o produkty objęte rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2019/2144 z dnia 27 listopada 2019 r. w sprawie wymagań dotyczących homologacji typu pojazdów silnikowych i ich przyczep oraz układów, komponentów i oddzielnych zespołów technicznych przeznaczonych do tych pojazdów, w odniesieniu do ich ogólnego bezpieczeństwa oraz ochrony osób znajdujących się w pojeździe i niechronionych uczestników ruchu drogowego, zmieniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/858 oraz uchylające rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 78/2009, (WE) nr 79/2009 i (WE) nr 661/2009 oraz rozporządzenia Komisji (WE) nr 631/2009, (UE) nr 406/2010, (UE) nr 672/2010, (UE) nr 1003/2010, (UE) nr 1005/2010, (UE) nr 1008/2010, (UE) nr 1009/2010, (UE) nr 19/2011, (UE) nr 109/2011, (UE) nr 458/2011, (UE) nr 65/2012, (UE) nr 130/2012, (UE) nr 347/2012, (UE) nr 351/2012, (UE) nr 1230/2012 i (UE) 2015/166 (Dz. U. UE. L. z 2019 r. Nr 325, str. 1 z późn. zm.).
[5] Produkty certyfikowane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1139 z dnia 4 lipca 2018 r. w sprawie wspólnych zasad w dziedzinie lotnictwa cywilnego i utworzenia Agencji Unii Europejskiej ds. Bezpieczeństwa Lotniczego oraz zmieniające rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 2111/2005, (WE) nr 1008/2008, (UE) nr 996/2010, (UE) nr 376/2014 i dyrektywy Parlamentu Europejskiego i Rady 2014/30/UE i 2014/53/UE, a także uchylające rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 552/2004 i (WE) nr 216/2008 i rozporządzenie Rady (EWG) nr 3922/91 (Dz. U. UE. L. z 2018 r. Nr 212, str. 1 z późn. zm.).
[6] Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (Dz. U. UE. L. z 2022 r. Nr 333, str. 80 z późn. zm.).
[7] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz. U. UE. L. z 2022 r. Nr 333, str. 1 z późn. zm.).
[8] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/881 z dnia 17 kwietnia 2019 r. w sprawie ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) oraz certyfikacji cyberbezpieczeństwa w zakresie technologii informacyjno-komunikacyjnych oraz uchylenia rozporządzenia (UE) nr 526/2013 (akt o cyberbezpieczeństwie) (Dz. U. UE. L. z 2019 r. Nr 151, str. 15 z późn. zm.).
