Cyber Resilience Act: co zmieniło się w 2026 roku i czego mogą oczekiwać użytkownicy
Nie masz pewności, co dokładnie się zepsuło?
Opisz objawy serwisantowi — podpowiemy, od czego zacząć diagnostykę i czy warto oddać sprzęt do naprawy.
Cyber Resilience Act (CRA), czyli europejski Akt o cyberodporności, bywa przedstawiany tak, jakby z dnia na dzień wprowadził nowe zasady dla każdego laptopa i każdej aplikacji. W rzeczywistości harmonogram jest etapowy. Rozporządzenie weszło w życie wcześniej, niektóre przepisy organizacyjne zaczęto stosować w 2026 roku, obowiązek zgłaszania wybranych podatności rozpoczął się 11 września 2026 roku, a większość wymagań dotyczących produktów będzie stosowana od 11 grudnia 2027 roku.
Dla właściciela komputera nie oznacza to konieczności zmiany ustawień Windows, instalowania specjalnej aplikacji ani poddawania urządzenia kontroli. CRA przede wszystkim określa zasady dla producentów i innych podmiotów gospodarczych wprowadzających produkty z elementami cyfrowymi na rynek UE. Użytkownik powinien rozumieć, co zmienia się w obszarze bezpieczeństwa i wsparcia, ale nie traktować kalendarza jako informacji o natychmiastowej awarii swojego sprzętu.
Najważniejsze daty
Główne terminy określa rozporządzenie UE 2024/2847. Zgodnie z informacjami Komisji Europejskiej i oficjalnym omówieniem EUR-Lex:
- 11 czerwca 2026 r.zaczęły obowiązywać przepisy dotyczące notyfikacji jednostek oceniających zgodność.
- 11 września 2026 r.zaczęły obowiązywać wymogi zgłaszania aktywnie wykorzystywanych podatności oraz poważnych incydentów wpływających na bezpieczeństwo produktów z elementami cyfrowymi.
- 11 grudnia 2027 r.to ogólna data rozpoczęcia stosowania większości wymagań rozporządzenia wobec produktów.
Dlatego stwierdzenia „CRA już obowiązuje” i „główne wymogi dopiero wejdą w życie” mogą być jednocześnie prawdziwe: odnoszą się do różnych przepisów tego samego aktu. Pełny harmonogram i wyjątki opisuje oficjalne omówienie EUR-Lex, a szczegóły wcześniejszych obowiązków sprawozdawczych przedstawia strona Komisji Europejskiej poświęcona zgłoszeniom w ramach CRA.
Jakich produktów dotyczy rozporządzenie
CRA obejmuje produkty z elementami cyfrowymi udostępniane na rynku UE: sprzęt i oprogramowanie, których działanie obejmuje bezpośrednie lub pośrednie logiczne albo fizyczne połączenie z innym urządzeniem lub siecią. Przykładami mogą być sprzęt komputerowy, systemy operacyjne, programy i urządzenia podłączone do sieci. Konkretna kwalifikacja zależy jednak od definicji w rozporządzeniu, przeznaczenia produktu, sposobu wprowadzenia go na rynek oraz zastosowania wyjątków. Sam fakt dostępu do internetu nie wystarcza do oceny prawnej.
Rozporządzenie nie oznacza też, że każda usługa internetowa automatycznie staje się odrębnym produktem objętym identycznymi wymogami. W przypadku zdalnego przetwarzania danych znaczenie ma między innymi to, czy jest ono niezbędne do działania produktu z elementami cyfrowymi. W niektórych sektorach mogą obowiązywać szczególne przepisy UE, a sam akt przewiduje wyłączenia i odrębne zasady dla określonych kategorii. Producent powinien więc analizować pełny zakres rozporządzenia, zamiast wyciągać wnioski wyłącznie z nazwy handlowej urządzenia.
Dla polskiego i ukraińskiego użytkownika ważna jest granica geograficzna: CRA jest rozporządzeniem Unii Europejskiej. Reguluje produkty wprowadzane na rynek UE, ale nie nakłada automatycznie nowych obowiązków na każdego posiadacza laptopa na Ukrainie. Jeśli ta sama marka sprzedaje model w UE i w Ukrainie, może stosować wspólną politykę aktualizacji, ale jest to decyzja techniczna lub biznesowa firmy, a nie dowód identycznego reżimu prawnego na obu rynkach.
Obowiązki producentów
Główna idea CRA polega na uwzględnianiu cyberbezpieczeństwa przez cały cykl życia produktu, a nie dopiero po wykryciu problemu. Producenci mają oceniać ryzyko, spełniać wymagania bezpieczeństwa, dokumentować zgodność i organizować proces obsługi zgłoszeń dotyczących podatności. W przypadku produktów objętych aktem znaczenie mają bezpieczne ustawienia domyślne, mechanizm dostarczania aktualizacji oraz określony okres wsparcia dostosowany do przewidywanego użytkowania i charakteru produktu.
Nie jest to jednak obietnica, że każde urządzenie będzie otrzymywać aktualizacje bez końca albo że podatności nie będą się pojawiać. Rozporządzenie określa wymagania wobec producentów i ich procesów, ale końcowy okres wsparcia zależy od produktu oraz mających zastosowanie przepisów. Przed zakupem nadal warto sprawdzić opublikowaną politykę aktualizacji, zgodność, możliwości naprawy i dostępność części.
Producent powinien mieć sposób przyjmowania zgłoszeń o wadach cyberbezpieczeństwa, usuwania ich i informowania o problemie zgodnie z wymaganiami. Nie jest to to samo co zwykła gwarancja na fizyczną usterkę: CRA dotyczy cyberbezpieczeństwa produktu, a nie na przykład uszkodzonego gniazda czy pękniętej matrycy. Jeśli komputer działa niestabilnie, trzeba odróżnić kwestię bezpieczeństwa oprogramowania od awarii sprzętowej; może pomóc diagnostyka komputera.
Co zmieniło się 11 września 2026 roku
Od tej daty producenci mają zgłaszać aktywnie wykorzystywane podatności oraz poważne incydenty wpływające na bezpieczeństwo ich produktów z elementami cyfrowymi. W przypadku aktywnie wykorzystywanej podatności przewidziano wczesne ostrzeżenie w ciągu 24 godzin od uzyskania wiedzy przez producenta, zgłoszenie w ciągu 72 godzin oraz raport końcowy najpóźniej 14 dni po udostępnieniu działania naprawczego. W przypadku poważnego incydentu raport końcowy należy złożyć w ciągu miesiąca od zgłoszenia 72-godzinnego. Dokładne warunki i procedury trzeba sprawdzać w tekście rozporządzenia oraz aktualnych wytycznych Komisji Europejskiej.
Zgłoszenia trafiają przez wspólną platformę CRA ustanowioną przez ENISA do właściwego zespołu reagowania na incydenty komputerowe (CSIRT); zgodnie z procedurą informacje mogą być przekazywane również ENISA i innym właściwym zespołom. To obowiązek producenta lub innego wskazanego podmiotu, a nie formularz, który ma wypełniać nabywca po pojawieniu się komunikatu o błędzie na laptopie.
Nie każdy błąd programu jest aktywnie wykorzystywaną podatnością ani poważnym incydentem. Znaczenie ma charakter zagrożenia, fakt jego wykorzystania oraz wpływ na bezpieczeństwo produktu. Terminów zgłoszeniowych nie należy więc odczytywać jako obowiązku informowania regulatora o każdym zawieszeniu systemu, błędzie czy utracie Wi-Fi.
Co to oznacza dla kupującego laptop lub komputer
W najbliższym czasie użytkownik nie musi kupować nowego urządzenia ani zmieniać konfiguracji tylko z powodu daty 11 września 2026 roku. Nadal instaluj oficjalne aktualizacje systemu i programów, używaj unikalnych haseł oraz uwierzytelniania wieloskładnikowego dla ważnych kont. Aktualizacje pobieraj przez Windows Update, oficjalny sklep albo stronę producenta.
Przy wyborze nowego urządzenia warto sprawdzić, jak długo producent planuje udostępniać aktualizacje bezpieczeństwa, czy sterowniki pozostaną dostępne po zakończeniu głównego wsparcia i gdzie zgłaszać podatności. Jeśli wsparcie starszego modelu już się skończyło, CRA nie przedłuża go automatycznie wstecz i nie gwarantuje nowej wersji systemu. Jednocześnie sam wiek laptopa nie dowodzi, że został on zaatakowany: oceń scenariusz użytkowania, ryzyko i dostępność aktualizacji.
Brak aktualizacji ma większe znaczenie na urządzeniu używanym do bankowości, pracy z danymi klientów lub dostępu administracyjnego niż na odizolowanym komputerze domowym bez ważnych kont. Można ograniczyć zakres jego użycia, przenieść wrażliwe zadania na wspierane urządzenie albo skonsultować się ze specjalistą ds. cyberbezpieczeństwa. Nie instaluj nieoficjalnego oprogramowania układowego wyłącznie dlatego, że obiecuje przedłużenie wsparcia.
Jeśli interesuje Cię również ochrona przed zagrożeniami internetowymi, przeczytaj materiał o wiadomościach phishingowych z niewidocznymi znakami. Wyjaśnia on, dlaczego warto sprawdzać nie tylko wygląd linku, ale także jego źródło.
Co sprawdzić bez paniki
- Ustal, czy produkt i jego konkretna wersja są przeznaczone na rynek UE oraz podlegają CRA.
- Sprawdź politykę producenta dotyczącą aktualizacji bezpieczeństwa i okresu wsparcia twojego modelu.
- Instaluj oficjalne aktualizacje; nie wyłączaj zabezpieczeń z powodu pogłosek o nowym prawie.
- Producent lub importer powinien zweryfikować terminy i procedurę zgłoszeń w pełnym tekście aktu oraz na oficjalnej platformie.
- Przy podejrzeniu niebezpiecznej aktywności zabezpiecz urządzenie i konta, a podatność zgłoś producentowi jego oficjalnym kanałem.
Najważniejszą praktyczną zmianą jest stopniowe zwiększanie odpowiedzialności producentów za bezpieczeństwo produktów cyfrowych i obsługę podatności. Dla kupującego może to sprawić, że polityka aktualizacji stanie się ważniejszym kryterium wyboru, ale nie zastępuje codziennych zasad bezpieczeństwa. Informacja o CRA nie jest powodem, by natychmiast wyrzucić sprawny sprzęt lub instalować nieznaną „aplikację ochronną”.
