Czym jest rozporządzenie (UE) 2024/2847

Stan prac, wrzesień 2026

Obowiązuje. Faza wdrażania.

Obowiązki wchodzą w życie etapami. Pełne stosowanie rozpoczyna się w grudniu 2027 r. Zestawienie poniżej idzie od terminu najdalszego do tego, co już nastąpiło. Źródło faktów: stan prac na cyberresilienceact.eu. Tekst rozporządzenia: PDF.

11 grudnia 2027 r. Pełne stosowanie

Stosuje się większość obowiązków. Produkt wprowadzany do obrotu ma spełniać zasadnicze wymagania i być opatrzony oznakowaniem CE. Termin nadchodzący.

30 października 2027 r. Pozostałe normy horyzontalne

Pozostałe horyzontalne normy zharmonizowane mają zostać dostarczone około rok przed pełnym stosowaniem, tak aby producent mógł się na nich oprzeć. Termin oczekiwany.

31 grudnia 2026 r. Normy wertykalne

Mają zostać dostarczone normy zharmonizowane dla konkretnych produktów. Projekt zmiany z lipca 2026 r. przesunął ten termin o dwa miesiące, z 30 października 2026 r. Dostarczenie normy nie jest tym samym co jej dostępność do domniemania zgodności. Domniemanie zgodności na podstawie art. 27 powstaje dopiero po przywołaniu normy w Dzienniku Urzędowym. Termin oczekiwany.

31 października 2026 r. Pierwsze normy podstawowe

Mają zostać dostarczone dwie normy horyzontalne: bezpieczne tworzenie oprogramowania oraz postępowanie w przypadku podatności. Projekt zmiany mandatu M/606 z lipca 2026 r. przesunął ten termin o dwa miesiące, z 30 sierpnia 2026 r. Termin oczekiwany.

11 września 2026 r. Zgłaszanie

Producent zgłasza aktywnie wykorzystywaną podatność oraz poważny incydent do ENISA i do krajowego CSIRT. Tego dnia uruchomiono pojedynczą platformę zgłoszeniową ENISA, o której mowa w art. 16: portal.cra-srp.enisa.europa.eu. Obowiązek obowiązuje. Zgłoszenia dobrowolne i interfejs programistyczny są, według tego przeglądu, dopiero przed nami.

13 sierpnia 2026 r. Projekty norm ETSI

ETSI rozpoczęło formalną procedurę zatwierdzania 17 wertykalnych projektów końcowych serii EN 304, dotyczących produktów z załącznika III. Termin zgłaszania uwag upływa, w zależności od projektu, między połową września a połową listopada 2026 r. Projekty są publicznie dostępne. Postępowanie jest w toku.

11 czerwca 2026 r. Rozdział IV

Zaczęły się stosować przepisy o notyfikacji jednostek oceniających zgodność. Dzięki temu jednostka notyfikowana może zostać wyznaczona przed pełnym stosowaniem rozporządzenia. Etap zakończony co do rozpoczęcia stosowania. Wyznaczanie jednostek przez państwa członkowskie trwa.

Lata 2025 i 2026. Wytyczne i normy

W lipcu 2026 r. Komisja zatwierdziła treść wytycznych dotyczących stosowania art. 26. Formalne przyjęcie ma nastąpić, gdy gotowe będą wersje językowe. Równolegle europejskie organizacje normalizacyjne opracowują normy zharmonizowane. Wytyczne Komisji w sprawie zakresu i stosowania rozporządzenia opublikowano 27 lipca 2026 r. Normy horyzontalne CEN i CENELEC są nadal opracowywane. Żadna nie została jeszcze przywołana w Dzienniku Urzędowym.

Kwiecień 2025 r. Mandat M/606

CEN, CENELEC i ETSI przyjęły wniosek Komisji M/606 w sprawie około 41 norm zharmonizowanych: 15 horyzontalnych oraz pozostałe wertykalne, dla konkretnych produktów.

10 grudnia 2024 r. Wejście w życie

Rozporządzenie stało się prawem obowiązującym w Unii. Rozpoczęło się odliczanie do stosowania obowiązków.

10 października 2024 r. Przyjęcie

Rozporządzenie zostało przyjęte przez Parlament Europejski i Radę.

Kogo dotyczy

Produkt z elementami cyfrowymi.

Rozporządzenie obejmuje sprzęt, oprogramowanie i ich połączenie, od projektowania, przez wprowadzenie do obrotu, po okres wsparcia. NIS2, w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, dotyczy organizacji i usług. Ten sam podmiot może podlegać obu reżimom: jako producent produktu i jako podmiot świadczący usługę.

• Producent Projektuje i wytwarza produkt z elementami cyfrowymi wprowadzany na rynek Unii pod własną marką. Do niego należy najszerszy zestaw obowiązków: bezpieczeństwo produktu, dokumentacja, podatności i aktualizacje.
• Importer Wprowadza na rynek Unii produkt wytworzony poza Unią. Sprawdza, czy producent dopełnił obowiązków.
• Dystrybutor Udostępnia produkt bez zmiany technicznej. Przed dalszym udostępnieniem sprawdza oznakowanie CE, deklarację zgodności i dokumentację.

Załącznik I wymaga oceny ryzyka cyberbezpieczeństwa produktu. Nie wymaga dokumentu pod jedną, z góry nazwaną formą. Zapisana analiza jest punktem wyjścia do wykazu komponentów oprogramowania i do dokumentacji technicznej.

Osobny materiał, dla opiekunów otwartego oprogramowania i dla producentów, prowadzi ORC Learning Hub. Dwa moduły wstępne są już dostępne. Pierwszy dotyczy stosowania rozporządzenia do projektów otwartego oprogramowania, w tym roli opiekuna wobec producenta, postępowania z podatnościami i spisu składników. Drugi dotyczy obowiązków producenta, odpowiedzialności w organizacji i łańcucha dostaw. Moduły 3, 4 i 5, w tym pogłębienie spisu składników, należytej staranności i postępowania z podatnościami, są zapowiedziane i jeszcze nieopublikowane.

Szkolenie stacjonarne: strona główna. Ocena produktu: audyt. Formularze: narzędzia.