Akt o cyberodporności: od 11 września producenci muszą zgłaszać podatności w 24 godziny

Unijny akt o cyberodporności, znany jako CRA (rozporządzenie (UE) 2024/2847), przez długi czas wydawał się odległą sprawą dla działów prawnych dużych producentów elektroniki. Od 11 września 2026 r. zaczął jednak działać jego pierwszy praktyczny element: obowiązek zgłaszania podatności i poważnych incydentów. Urząd Ochrony Danych Osobowych wydał w tej sprawie komunikat, w którym wyjaśnia, kogo nowe przepisy obejmują i jak łączą się z RODO.

Jeśli Twoja firma tworzy aplikacje, oprogramowanie albo urządzenia podłączone do sieci, ten tekst jest dla Ciebie. Jeśli tylko z nich korzystasz, też warto doczytać do końca, bo CRA zmienia to, jakie informacje będą do Ciebie docierać.

Kogo dotyczą nowe obowiązki

Przepisy dotyczą producentów tzw. produktów z elementami cyfrowymi. Według UODO chodzi m.in. o:

• aplikacje mobilne,
• urządzenia internetu rzeczy, na przykład kamery cyfrowe,
• systemy informatyczne instalowane na lokalnej infrastrukturze firmy lub instytucji.

Ministerstwo Cyfryzacji w swoim omówieniu wymienia także oprogramowanie i inne produkty zawierające elementy cyfrowe. W praktyce oznacza to, że obowiązek może dotyczyć nie tylko wielkich koncernów, ale również mniejszych firm, które wypuszczają na rynek własną aplikację lub program instalowany u klientów.

Ważne rozróżnienie: od 11 września 2026 r. stosuje się art. 14 CRA, czyli właśnie część o zgłaszaniu. Pozostałe przepisy rozporządzenia, w tym wymagania dotyczące projektowania i wprowadzania produktów na rynek, zaczną obowiązywać dopiero od 11 grudnia 2027 r.

Co trzeba zgłaszać i w jakim czasie

Obowiązek obejmuje dwie sytuacje: aktywnie wykorzystywane podatności w produkcie oraz poważne incydenty, które wpływają na jego bezpieczeństwo. UODO podkreśla, że chodzi o wszystkie podatności, co do których istnieją wiarygodne przesłanki, że ktoś już je wykorzystuje. Nie trzeba więc czekać na pewność.

Terminy są krótkie:

1. 24 godziny na wczesne ostrzeżenie od momentu, gdy producent dowiedział się o problemie.
2. 72 godziny na właściwe zgłoszenie ze szczegółami.
3. 14 dni na raport końcowy w przypadku podatności, liczone od udostępnienia poprawki lub środka ograniczającego ryzyko.
4. Miesiąc na raport końcowy w przypadku poważnego incydentu.

Ministerstwo Cyfryzacji zwraca też uwagę, że producenci muszą informować użytkowników o wykrytych podatnościach lub incydentach oraz o dostępnych sposobach ograniczenia ryzyka.

Gdzie składa się zgłoszenia

Zgłoszenia trafiają przez unijną platformę Single Reporting Platform (SRP), którą prowadzi ENISA, czyli Agencja Unii Europejskiej ds. Cyberbezpieczeństwa. Formalnie zgłoszenie kieruje się do zespołu CSIRT pełniącego rolę koordynatora w państwie, w którym producent ma główną siedzibę w UE, a informacja równolegle trafia do ENISA. W Polsce zgłoszenia koordynuje CSIRT NASK.

Jak CRA łączy się z RODO

To najważniejsza część komunikatu UODO z punktu widzenia firm, które przetwarzają dane klientów. Urząd wyjaśnia, że obowiązki z CRA i z RODO działają równolegle. Rozporządzenie o cyberodporności wprost zastrzega, że nie narusza przepisów o ochronie danych osobowych.

Co to znaczy w praktyce:

• Jeśli jesteś użytkownikiem produktu, na przykład firmą korzystającą z systemu sprzedażowego czy aplikacji do obsługi klientów, informacja od producenta o podatności lub incydencie będzie dla Ciebie sygnałem do sprawdzenia, czy nie doszło do naruszenia ochrony danych. Jeśli tak, oceniasz, czy trzeba je zgłosić Prezesowi UODO i powiadomić osoby, których dane dotyczą (art. 33 i 34 RODO).
• Jeśli jesteś producentem, który jednocześnie przetwarza dane w imieniu klientów, musisz realizować obowiązki z obu aktów: zgłoszenie z CRA i obowiązki podmiotu przetwarzającego z RODO.

Jak się przygotować

Krótkie terminy oznaczają, że nie da się działać bez gotowej procedury. Jeśli tworzysz oprogramowanie, aplikacje lub urządzenia, zacznij od tych kroków:

1. Zrób listę swoich produktów z elementami cyfrowymi, które są dostępne na rynku, i ustal, kto odpowiada za ich bezpieczeństwo.
2. Wyznacz kanał przyjmowania zgłoszeń o błędach bezpieczeństwa, na przykład dedykowany adres e-mail, i upewnij się, że ktoś go regularnie czyta.
3. Opisz ścieżkę decyzji: kto ocenia, czy podatność jest aktywnie wykorzystywana, i kto wysyła wczesne ostrzeżenie w ciągu 24 godzin.
4. Załóż dostęp do platformy SRP i sprawdź, jak wygląda formularz, zanim będzie potrzebny w stresie.
5. Przygotuj wzór komunikatu dla użytkowników o podatności i sposobach ograniczenia ryzyka.
6. Połącz procedurę CRA z procedurą naruszeń RODO, żeby jeden incydent nie był obsługiwany dwa razy przez różne osoby i według sprzecznych zasad.

Jeśli natomiast tylko korzystasz z cudzych systemów, zadbaj o to, by komunikaty od dostawców docierały do właściwej osoby w firmie. Ustal, kto ocenia, czy dana podatność mogła dotknąć danych Twoich klientów, i miej pod ręką listę dostawców, z których rozwiązań korzystasz.

Na co zwrócić uwagę w najbliższych miesiącach

Obowiązek zgłaszania to dopiero pierwszy etap. Do grudnia 2027 r. producenci mają czas na dostosowanie samych produktów do wymagań CRA. Warto wykorzystać ten okres na uporządkowanie procesu aktualizacji i obsługi błędów, bo te elementy i tak będą potrzebne.

Dla właścicieli stron i sklepów to także dobry moment, by przejrzeć listę zewnętrznych narzędzi, wtyczek i skryptów działających na stronie. Im lepiej wiesz, co u Ciebie działa, tym szybciej zareagujesz, gdy któryś dostawca ogłosi problem.

Źródło: UODO

CRAcyberbezpieczeństwopodatnościRODOUODO