Autor: DataTip · Opublikowano 14 listopada 2026

CRA określa obowiązki sprawozdawcze producentów, ale te obowiązki nie mówią dokładnie, kiedy dostawca oprogramowania powiadomi Twoją organizację ani co będzie zawierać jego komunikat. Powiadomienia dostawców w ramach CRA to odrębna kwestia warunków umownych z dostawcą: kupujący powinni ocenić, kto nawiąże kontakt, jak szybko i jakie informacje pomogą ich zespołom zareagować.

CRA nakłada na producentów obowiązek zgłaszania kwalifikujących się aktywnie wykorzystywanych podatności i poważnych incydentów, w tym 24-godzinnego wstępnego alertu i bezpośredniego powiadomienia dotkniętych użytkowników. Ten obowiązek nie ustanawia uniwersalnego terminu dostawca–klient. Kupujący powinni ocenić warunki dostawcy pod kątem jasnej ścieżki kontaktu, oczekiwanego czasu i przydatnych informacji.

Wymogi sprawozdawcze CRA weszły w życie 11 września 2026 r. Szerszy reżim zgodności produktów ma obowiązywać od 11 grudnia 2027 r. CRA jest opisywany jako unijne ustawodawstwo dotyczące cyberbezpieczeństwa produktów z elementami cyfrowymi. Te same informacje sprawozdawcze podkreślają 24-godzinne terminy sprawozdawcze producentów, ale ten zegar regulacyjny nie jest powszechnym terminem dla każdego powiadomienia dostawca–klient.

Czy CRA ma zastosowanie do produktu lub usługi, którą kupujesz?

CRA obejmuje produkty z elementami cyfrowymi, w tym produkty programowe i sprzętowe, ich zdalne rozwiązania przetwarzania danych oraz osobno sprzedawane komponenty programowe lub sprzętowe. Przykłady obejmują systemy operacyjne, aplikacje mobilne, sprzęt sieciowy, oprogramowanie układowe, podłączone urządzenia konsumenckie i sterowniki przemysłowe.

Niektóre kategorie produktów są wyłączone. Obejmują one wyroby medyczne i diagnostykę in vitro, pojazdy silnikowe z homologacją typu, certyfikowany sprzęt lotnictwa cywilnego i sprzęt morski. Wyłączenia obejmują również produkty opracowane lub zmodyfikowane wyłącznie na potrzeby bezpieczeństwa narodowego lub obronności, produkty zaprojektowane do przetwarzania informacji niejawnych oraz części zamienne wykonane według tych samych specyfikacji co części, które zastępują.

Samodzielne oprogramowanie jako usługa (SaaS) generalnie nie podlega CRA. Podany wyjątek ma zastosowanie, gdy zdalne rozwiązanie przetwarzania danych jest zaprojektowane i opracowane przez producenta, a produkt nie może wykonywać swoich funkcji bez tego rozwiązania. Nie zakładaj więc, że każda usługa SaaS lub dostawca chmury jest objęty.

Dla kupującego jest to pierwsza granica do ustalenia: zidentyfikuj produkt lub komponent powiązany z usługą i sprawdź, czy CRA może mieć zastosowanie. Prawo nie jest uniwersalną zasadą zgłaszania incydentów dla każdej relacji programowej.

Kto ma obowiązek zgłaszania w ramach CRA?

Obowiązek zgłaszania spoczywa na producentach. Producent to podmiot, który opracowuje lub wytwarza produkt, zleca jego zaprojektowanie lub wytworzenie i wprowadza go do obrotu pod własną nazwą lub znakiem towarowym. Podmiot, który istotnie modyfikuje produkt już znajdujący się w obrocie, również staje się producentem na potrzeby CRA.

Importerzy i dystrybutorzy nie składają sami zgłoszeń producenta. Gdy dowiedzą się o podatności, muszą bez zbędnej zwłoki poinformować producenta. Jeśli produkt stwarza istotne ryzyko cyberbezpieczeństwa, muszą natychmiast poinformować organy nadzoru rynku państw członkowskich, w których udostępnili ten produkt.

Opiekunowie oprogramowania open source mają odrębny, łagodniejszy reżim. Przekazany opis zgłoszeń przedstawia stanowisko Komisji Europejskiej, zgodnie z którym początek ich obowiązków zgłaszania przypada na 11 grudnia 2027 r.

Te rozróżnienia mają znaczenie, gdy kupujący ma do czynienia z importerem, dystrybutorem lub firmą sprzedającą produkt pod własną marką. Dostawca handlowy i prawny producent mogą nie być tym samym podmiotem. Kupujący powinni ustalić, kto będzie się z nimi komunikować; prawny obowiązek producenta i zobowiązanie dostawcy do powiadamiania klientów pozostają odrębne.

Które luki w zabezpieczeniach i incydenty uruchamiają obowiązek raportowania?

Opisane tutaj przesłanki raportowania w ramach CRA to aktywnie wykorzystywane luki w zabezpieczeniach oraz poważne incydenty wpływające na bezpieczeństwo produktu. Nie oznaczają one, że każda luka, wynik testu czy zdarzenie bezpieczeństwa automatycznie uruchamia obowiązek zgłoszenia.

Aktywnie wykorzystywana luka w zabezpieczeniach wymaga wiarygodnych dowodów na to, że złośliwy podmiot wykorzystał ją bez zgody właściciela systemu. Testy bezpieczeństwa prowadzone w dobrej wierze oraz skoordynowane ujawnianie bez złośliwych intencji nie uruchamiają tego obowiązku raportowania.

Poważny incydent to taki, który negatywnie wpływa lub może negatywnie wpłynąć na dostępność, autentyczność, integralność lub poufność danych lub funkcji produktu. Definicja obejmuje również niektóre incydenty związane ze złośliwym kodem. Dostarczone materiały dotyczące raportowania są skrócone w części omawiającej poważne incydenty, dlatego nie pozwalają na pełniejszą listę scenariuszy incydentów.

Te definicje przesłanek pomagają nabywcom zrozumieć, czego dotyczy obowiązek raportowania producenta. Same w sobie nie definiują jednak każdego zdarzenia, o którym dostawca musi bezpośrednio poinformować klienta na podstawie swoich warunków.

Co terminy raportowania w ramach CRA oznaczają dla nabywców?

W przypadku kwalifikującej się aktywnie wykorzystywanej luki w zabezpieczeniach lub poważnego incydentu dostarczone materiały opisują 24-godzinne wstępne ostrzeżenie oraz bezpośrednie powiadomienie dotkniętych użytkowników. Wymogi raportowania zaczęły obowiązywać 11 września 2026 r.; szerszy system zgodności produktów ma zacząć obowiązywać od 11 grudnia 2027 r.

Te daty i obowiązki opisują ramy regulacyjne CRA. Nie ustanawiają one uniwersalnego terminu powiadamiania klientów ani nie określają danych kontaktowych każdego nabywcy, treści powiadomienia czy praw umownych. Bezpośrednie powiadomienie dotkniętych użytkowników nie odpowiada na pytanie, czy dany dostawca skontaktuje się z Twoim zespołem w odpowiednim czasie lub przekaże informacje w formie, której Twoja organizacja może użyć.

Ta luka to punkt decyzyjny dla nabywcy. Zgłoszenie producenta do właściwych organów i powiadomienie dostawcy do jego klienta są ze sobą powiązane, ale nie są to obowiązki wymienne.

Co warto sprawdzić w powiadomieniach dostawców dotyczących CRA?

Przy wyborze lub odnowieniu umowy oceń, czy warunki i sposób działania dostawcy odpowiadają na trzy praktyczne pytania: kto skontaktuje się z Twoją organizacją, jak szybko i jakie informacje wesprą Twoją reakcję? Obowiązki sprawozdawcze CRA stanowią kontekst; nie określają ogólnego terminu dla powiadomień od dostawcy do klienta. Sprawdź, czy dostawca wyjaśnia:

• Kto wysyła powiadomienie i gdzie ono trafia. Zidentyfikuj ścieżkę kontaktu i sposób, w jaki powiadomienie może dotrzeć do osób odpowiedzialnych za jego ocenę.
• Kiedy dostawca zamierza Cię powiadomić. Szukaj oczekiwania skierowanego do klienta, które jest odrębne od obowiązku sprawozdawczego producenta wobec organów regulacyjnych. Dostarczone materiały nie ustanawiają uniwersalnego terminu powiadomień od dostawcy do nabywcy.
• Co powiadomienie Ci powie. Zastanów się, czy opisze zdarzenie oraz dotknięty produkt lub usługę i czy przekaże informacje o dostępnych środkach łagodzących lub naprawczych, jeśli są znane.
• Jak będą przekazywane informacje uzupełniające. Wstępne powiadomienie może nie odpowiadać na wszystkie pytania. Oceń, czy dostawca wyjaśnia, w jaki sposób będzie przekazywać dalsze informacje w miarę rozwoju swojej wiedzy. To pytania do oceny w warunkach umowy z dostawcą, a nie twierdzenie, że CRA wymaga konkretnej klauzuli umownej. Samo brzmienie umowy nie zapewnia zgodności regulacyjnej. Jej praktyczna wartość polega na wyjaśnieniu zależności komunikacyjnej: jeśli Twój zespół potrzebuje informacji od dostawcy, aby ocenić zdarzenie i zareagować, ścieżka kontaktu, oczekiwany czas i przydatne informacje nie powinny pozostawać niejawne.

FAQ: Czy CRA wymaga, aby każdy dostawca oprogramowania powiadamiał klientów w ciągu 24 godzin?

Dostarczone materiały sprawozdawcze nie ustanawiają ogólnego terminu powiadomień od dostawcy do klienta. 24-godzinne wstępne ostrzeżenie jest częścią obowiązku sprawozdawczego producenta w ramach CRA. Nabywcy powinni osobno ocenić, jakie terminy powiadamiania klientów przewidują ich warunki umowy z dostawcą.

FAQ: Czy CRA ma zastosowanie do samodzielnego SaaS?

Samodzielny SaaS zasadniczo nie podlega CRA, z zastrzeżeniem wskazanego wyjątku dla zaprojektowanego i opracowanego przez producenta rozwiązania do zdalnego przetwarzania danych, które jest niezbędne do funkcjonowania produktu. Nabywcy nie powinni zakładać, że każda usługa SaaS jest objęta zakresem.

FAQ: Czy importerzy i dystrybutorzy są odpowiedzialni za składanie raportów CRA?

Nie. Obowiązek raportowania spoczywa na producentach. Importerzy i dystrybutorzy mają odrębne obowiązki informowania producentów o podatnościach oraz powiadamiania właściwych organów nadzoru rynkowego państw członkowskich, gdy produkt stwarza istotne ryzyko cyberbezpieczeństwa.

Najważniejsze wnioski

• Obowiązki raportowania wynikające z CRA zaczęły obowiązywać 11 września 2026 r.; szerszy reżim zgodności produktów zaplanowano na 11 grudnia 2027 r.
• Producenci zgłaszają zdarzenia kwalifikujące się do raportowania. Importerzy i dystrybutorzy mają odrębne obowiązki powiadamiania producentów lub właściwych organów w określonych okolicznościach.
• Samodzielny SaaS zasadniczo nie podlega CRA, z zastrzeżeniem wskazanego wyjątku dotyczącego rozwiązania do zdalnego przetwarzania danych.
• Oceń warunki umów z dostawcami pod kątem tego, kto będzie kontaktować się z Twoją organizacją, jak szybko i jakie informacje wesprą Twoją reakcję.

Praktyczne wskazówki

• Podczas wyboru lub odnowienia umowy ustal ścieżkę kontaktu z dostawcą oraz sposób, w jaki powiadomienia dotrą do osób odpowiedzialnych za ich ocenę.
• Odróżnij obowiązek raportowania CRA ciążący na producencie od zobowiązania dostawcy do powiadamiania klientów.
• Sprawdź, jakie informacje dostawca zamierza przekazywać i w jaki sposób będzie udostępniać aktualizacje w miarę rozwoju swojej wiedzy.