Szkolenie stacjonarne · rozporządzenie (UE) 2024/2847

CRA w praktyce: co blokuje firmy i od czego zacząć

Zapytaliśmy uczestników dotychczasowych edycji szkolenia, jak wygląda przygotowanie do Cyber Resilience Act w ich firmach , przed szkoleniem i po nim. Odpowiedziało 29 osób, głównie z firm produkujących sprzęt, oprogramowanie, automatykę przemysłową i rozwiązania dla motoryzacji. Poniżej to, co z tego wynika, i co rekomendujemy zrobić w pierwszej kolejności.

Co pokazała ankieta

1. Problemem nie jest wiedza, że CRA istnieje. Problemem jest brak właściciela.

Średnia samoocena gotowości: 5,1 na 10. Za rok, jeśli nic się nie zmieni , nadal 5,1. Ale gdy zapytaliśmy, co by było, gdyby ktoś przejął temat w tym kwartale , 6,7.

Ta różnica to najważniejsza liczba w całej ankiecie. Uczestnicy sami wskazują, czego brakuje: nie kolejnej prezentacji o karach, tylko osoby, która weźmie temat i doprowadzi go do końca. Co trzeci respondent (34%) nie ma nikogo odpowiedzialnego za zgodność albo nie wie, kto to jest.

2. Cztery praktyki, których nie miał nikt

Przy komponentach stron trzecich 0% odpowiedziało „tak”, a 21% , „częściowo”. Pełnego spisu nie miał nikt.

To nie są egzotyczne wymagania. To fundament, na którym CRA buduje resztę: ocenę ryzyka (art. 13 ust. 2), należytą staranność wobec komponentów (art. 13 ust. 5), adres do zgłoszeń (art. 13 ust. 10) i zgłaszanie (art. 14).

3. Połowa drogi jest zrobiona , tylko nikt jej nie spina

Około 45% firm wie, kto podpisałby deklarację zgodności, zajmuje się podatnościami w okresie wsparcia i wie, kogo wezwać przy incydencie. Jedna trzecia ma dokumentację produktu, kolejna trzecia , częściowo. Elementy istnieją, ale osobno: w dziale jakości, w R&D, w IT, w głowie jednej osoby.

4. Budżet jest „w planach”

Tylko 21% ma budżet lub plan na najbliższe 12 miesięcy. 34% ma temat „w planach, bez budżetu”, a co czwarty respondent nie wie. Najczęstsze przeszkody: brak ludzi (24%) i niepewność, czy CRA w ogóle firmę dotyczy (24%).

Rekomendacje

Kolejność nie jest przypadkowa: pierwsze trzy punkty dotyczą obowiązków, które już obowiązują albo bez których kolejnych nie da się zrobić.

Co zostaje po szkoleniu

Po szkoleniu zamkniętym dla 20 osób dokumentację i oznakowanie CE wskazało 70% osób, wobec 40% przed szkoleniem. To, kogo rozporządzenie obciąża najmocniej, wskazało 70%, wobec 45%. Podatność od poważnego incydentu odróżniło 60%, wobec 45%.

R1. Wyznacz właściciela tematu i podejmij decyzję o klasyfikacji

Co zrobić: jedna osoba z mandatem kierownictwa, odpowiedzialna za CRA w przekroju produktów. Pierwsze zadanie: lista produktów z elementami cyfrowymi i decyzja, czy każdy jest w kategorii domyślnej, ważnej (klasa I lub II, załącznik III) czy krytycznej (załącznik IV).

Kategoria domyślna dopuszcza samoocenę (moduł A). Ważne klasa I (załącznik III, 19 pozycji) , normy zharmonizowane albo strona trzecia. Klasa II to 4 pozycje i obowiązkowo strona trzecia. Krytyczne (załącznik IV, 3 pozycje) , europejska certyfikacja cyberbezpieczeństwa, gdy została przyjęta. Systemy operacyjne są w klasie I, nie w klasie II.

Dlaczego: różnica 5,1 → 6,7 w ankiecie. Bez klasyfikacji nie wiadomo, czy wystarczy samoocena, czy potrzebna jest jednostka notyfikowana , a to zmienia budżet i harmonogram.

Pierwszy krok w 30 dni: imienne wskazanie właściciela i arkusz produktów z kolumną „klasa CRA + uzasadnienie”.

R2. Uruchom kanał zgłaszania podatności i procedurę 24/72

Co zrobić: publiczny adres do zgłoszeń, polityka skoordynowanego ujawniania podatności i wewnętrzna procedura: kto ocenia zgłoszenie, kto decyduje, czy podatność jest aktywnie wykorzystywana, kto wysyła wczesne ostrzeżenie w 24 godziny i zgłoszenie w 72 godziny.

Dlaczego: 0% firm w ankiecie miało kanał zgłoszeń. Publiczny adres i polityka obsługi podatności (art. 13 ust. 10 oraz załącznik I część II) stosuje się od 11 grudnia 2027. Od 11 września 2026 obowiązuje już art. 14: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, a raport końcowy , w 14 dni po udostępnieniu środka naprawczego przy aktywnie wykorzystywanej podatności albo w ciągu miesiąca przy poważnym incydencie. Terminy liczą się od momentu, w którym producent się dowiedział. Dotyczy to także produktów sprzed 11 grudnia 2027 (art. 69 ust. 3).

Pierwszy krok w 30 dni: adres do zgłoszeń opublikowany na stronie produktu, jednostronicowa procedura z nazwiskami i zastępstwami, jedno ćwiczenie „na sucho”.

R3. Spisz komponenty (SBOM) dla jednego produktu

Co zrobić: zacznij od produktu o największej liczbie sprzedanych sztuk albo najdłuższym okresie wsparcia. Spis komponentów stron trzecich, w tym open source, z wersjami i źródłem.

Dlaczego: 0% respondentów potrafi w pełni wymienić komponenty swojego produktu. Bez tego nie da się ocenić, czy nowo ujawniona podatność Cię dotyczy , czyli nie da się dotrzymać terminów z R2. Organ nadzoru może zażądać SBOM (załącznik VII).

Pierwszy krok w 30 dni: SBOM dla jednego produktu wygenerowany narzędziem i przejrzany przez osobę z R&D.

R4. Wprowadź jedną bramkę bezpieczeństwa przed wydaniem

Co zrobić: przed każdym wydaniem produktu lub oprogramowania układowego , krótka lista kontrolna: czy zaktualizowano ocenę ryzyka, czy nowe interfejsy są domyślnie wyłączone, czy aktualizacja jest podpisana, czy są otwarte podatności o wysokim ryzyku. Bramka ma blokować, a wyjątek wymaga podpisu, terminu ważności i środka kompensującego.

Dlaczego: nikt w ankiecie nie miał osoby, która pyta o bezpieczeństwo przed wypuszczeniem produktu. Art. 13 ust. 2 wymaga uwzględnienia oceny ryzyka na etapie planowania, projektowania, wytwarzania i utrzymania , nie po fakcie.

Pierwszy krok w 30 dni: lista kontrolna z 6–8 punktów wpięta w istniejący proces wydania.

R5. Posadź przy jednym stole produkt, bezpieczeństwo, prawo i zakupy

Co zrobić: cykliczne, krótkie spotkanie o konkretnym wyrobie, nie o „cyberbezpieczeństwie w ogóle”. Zakupy wnoszą umowy z dostawcami, prawo , interpretację, produkt , architekturę, bezpieczeństwo , ryzyko.

Dlaczego: 0% firm deklarowało, że te działy rozmawiają ze sobą o tym samym produkcie. Tylko 24% ma w umowach z dostawcami zapisy o podatnościach, wsparciu i informowaniu , a należyta staranność wobec komponentów (art. 13 ust. 5) jest obowiązkiem producenta, nie dostawcy.

Pierwszy krok w 30 dni: pierwsze spotkanie z agendą „jeden produkt, jedna godzina, lista braków”.

R6. Ustal i komunikuj okres wsparcia

Co zrobić: dla każdego produktu , okres wsparcia uzasadniony oczekiwanym czasem użytkowania, nie krótszy niż 5 lat (chyba że produkt jest używany krócej). Okres widoczny dla klienta przy zakupie.

Dlaczego: tylko 34% firm pokazuje klientowi, do kiedy produkt będzie wspierany. Pięć lat to minimum z art. 13 ust. 8, nie cel , dla urządzeń przemysłowych realny czas użytkowania bywa znacznie dłuższy, a przez cały ten okres aktualizacje bezpieczeństwa mają być bezpłatne (art. 13 ust. 9).

Pierwszy krok w 30 dni: tabela produktów z okresem wsparcia i jednym zdaniem uzasadnienia.

Plan na 90 dni

Po 90 dniach masz jeden produkt przeprowadzony przez cały proces i wzorzec do powielenia na pozostałe. Do 11 grudnia 2027 to wciąż realne , pod warunkiem, że zaczyna się teraz, a nie w ostatnim kwartale.

Skąd te dane

Ankieta uczestników dotychczasowych edycji szkolenia, 29 osób, wypełniana przed i po szkoleniu. To nie jest badanie reprezentatywne dla rynku , to obraz firm, które już uznały, że CRA je dotyczy, i przyszły to sprawdzić. Jeśli w tej grupie nikt nie miał kanału zgłaszania podatności, trudno zakładać, że w pozostałych firmach jest lepiej.

Kary przewidziane w art. 64 to górne granice z rozporządzenia: do 15 mln EUR lub 2,5% światowego rocznego obrotu , wyższa z tych kwot , za naruszenie zasadniczych wymagań oraz obowiązków z art. 13 i 14. Wysokość kar w Polsce określa prawo krajowe.

Szkolenie, na którym te liczby powstały, jest stacjonarne, płatne i prowadzone po polsku. Cena na zapytanie: zapisz się na szkolenie CRA.