Co powinien dostarczyć kompleksowy proces zgodności z CRA

Zgodność z unijnym Aktem w sprawie cyberodporności (CRA) nie sprowadza się do pojedynczego testu penetracyjnego ani do jednorazowego certyfikatu. Dla producenta jest to proces gromadzenia dowodów i zatwierdzania produktu do wydania, łączący zakres produktu, ocenę ryzyka cyberbezpieczeństwa, zabezpieczenia techniczne, obsługę podatności, dokumentację techniczną, właściwą procedurę oceny zgodności, kontrole związane z oznakowaniem CE i deklaracją zgodności UE oraz obowiązki po wprowadzeniu produktu do obrotu.

Na dzień 7 października 2026 r. CRA znajduje się w okresie przejściowym: obowiązki producentów w zakresie zgłaszania z art. 14 stosuje się od 11 września 2026 r., natomiast rozporządzenie co do zasady będzie stosowane od 11 grudnia 2027 r. Dobrze prowadzony projekt ma zatem dwa tory: działający już teraz proces zgłoszeniowy oraz program przygotowania do rynku, który sfinalizuje dowody dotyczące produktu i procesu przed datą rozpoczęcia ogólnego stosowania 11 grudnia 2027 r.

Co powinien dostarczyć kompleksowy proces zgodności z CRA

Usługa powinna przełożyć wymagania prawne na kontrolowane rezultaty projektu. Głównym rezultatem nie jest ogólna opinia, lecz możliwy do prześledzenia komplet dokumentacji pokazujący, jaki produkt i wersję oceniono, jakie ryzyka i wymagania mają zastosowanie, jak każde wymaganie wdrożono lub uzasadniono, jakie badania potwierdzają wnioski, jaką procedurę zgodności zastosowano oraz co musi być kontynuowane po wprowadzeniu produktu do obrotu.

Producent nadal odpowiada za produkt i deklarację zgodności UE. Zewnętrzni doradcy, laboratoria i jednostki oceniające zgodność mogą dostarczać analiz lub dowodów, ale odpowiedzialność i punkty decyzyjne muszą być przypisane w wewnętrznym procesie wydania produktu przez producenta.

Kontrola wejściowa: ustalenie produktu, podmiotu, zakresu i procedury

Przed zleceniem badań należy jednoznacznie ustalić przedmiot regulacyjny. Trzeba zarejestrować producenta, rodzinę produktu i dokładne warianty, wersje oprogramowania i oprogramowania układowego, zależności związane ze zdalnym przetwarzaniem danych, zamierzone przeznaczenie, racjonalnie przewidywalne użycie, rynki, model dystrybucji, komponenty stron trzecich oraz podmiot kontrolujący aktualizacje i obsługę podatności.

Następnie należy rozstrzygnąć, czy produkt podlega CRA i czy jest innym produktem, produktem ważnym klasy I, produktem ważnym klasy II czy produktem potencjalnie krytycznym. Klasyfikacja ma znaczenie, ponieważ wpływa na dopuszczalną procedurę oceny zgodności. Jeżeli zakres lub klasyfikacja są niepewne, należy potraktować je jako jawną otwartą decyzję z dowodami i właścicielem, a nie ukrywać ich w zleceniu badań.

Przebieg operacyjny od analizy wejściowej do gotowości rynkowej

Badania i dowody: potwierdzenie oceny ryzyka zamiast uniwersalnego „testu CRA”

CRA nie sprowadza zgodności do jednego uniwersalnego zestawu testów. Badania powinny wynikać z oceny ryzyka cyberbezpieczeństwa produktu oraz właściwych wymagań załącznika I. Zależnie od produktu plan dowodowy może łączyć przegląd architektury, przegląd bezpiecznej konfiguracji, testy interfejsów i uwierzytelniania, skanowanie podatności, analizę zależności/SBOM, testy penetracyjne, testy mechanizmu aktualizacji, scenariusze niewłaściwego użycia lub nadużycia oraz weryfikację procesów obsługi podatności.

Dla każdego badania należy zapisać testowaną wersję, konfigurację, środowisko, metodę, kryterium akceptacji, wynik, poprawkę i stan ponownego testu. Jeżeli wykorzystywane jest zewnętrzne laboratorium, trzeba zachować zakres zlecenia i zakres badania, aby raport można było powiązać z dokładnym kandydatem do wydania. Wynik „pozytywny” dla niezidentyfikowanej lub nieaktualnej wersji jest słabym dowodem zgodności.

Dokumentacja techniczna i pakiet wydania produktu

Dokumentacja techniczna powinna być budowana równolegle z powstawaniem dowodów inżynieryjnych, a nie odtwarzana na końcu. Praktyczny pakiet wydania zwykle obejmuje:

• identyfikację produktu, architekturę i bazową wersję/konfigurację;
• ocenę ryzyka cyberbezpieczeństwa, w tym zamierzone i racjonalnie przewidywalne użycie;
• mapowanie właściwych wymagań załącznika I na wdrożone zabezpieczenia i dowody;
• informacje projektowe i rozwojowe oraz właściwe dowody dotyczące komponentów/zależności;
• raporty z badań, poprawki i rejestry ponownych badań;
• procesy obsługi podatności i skoordynowanego ujawniania, mechanizm aktualizacji oraz zasady wsparcia bezpieczeństwa;
• uzasadnienie okresu wsparcia oraz wymagane informacje/instrukcje dla użytkownika;
• dokumenty zgodności właściwe dla procedury, deklarację zgodności UE i dowody związane z oznakowaniem CE, gdy ma zastosowanie.

Zgodnie z CRA dokumentacja techniczna musi być przygotowana przed wprowadzeniem produktu do obrotu i odpowiednio aktualizowana w okresie wsparcia. Producent musi przechowywać dokumentację techniczną i deklarację zgodności UE przez co najmniej dziesięć lat od wprowadzenia do obrotu albo przez okres wsparcia, jeżeli jest on dłuższy.

Procedura oceny zgodności i przekazanie do podmiotów zewnętrznych

Koordynacja z usługodawcami powinna być traktowana jako kontrolowane przekazanie. Przed wysłaniem dokumentacji do jednostki notyfikowanej lub innego podmiotu oceniającego należy potwierdzić jego uprawnienie do wymaganego zakresu, uzgodnić język i pakiet przedłożenia, zamrozić ocenianą wersję i utworzyć rejestr pytań. W 2026 r. infrastruktura oceny zgodności oraz normy CRA nadal są wdrażane, dlatego status podmiotu i właściwe normy powinny być sprawdzane na bieżąco, a nie przyjmowane na podstawie starszych materiałów marketingowych.

Kontrola wydania, zgłoszenia i zarządzanie zmianami

Gotowość rynkowa jest decyzją o wydaniu produktu, a nie tylko zakończeniem badań. Punkt kontrolny powinien potwierdzić, że wydawany produkt odpowiada ocenionej konfiguracji bazowej, wymagana dokumentacja zgodności została zatwierdzona, informacje dla użytkownika i dotyczące wsparcia bezpieczeństwa są gotowe, ustalono okres wsparcia, a osoby odpowiedzialne po wprowadzeniu do obrotu mają dostęp do systemów przyjmowania zgłoszeń o podatnościach, aktualizacji i zgłaszania.

Od 11 września 2026 r. producenci muszą już zgłaszać aktywnie wykorzystywane podatności oraz poważne incydenty mające wpływ na bezpieczeństwo produktu za pośrednictwem jednolitej platformy sprawozdawczej CRA (SRP). Komisja wskazuje wczesne ostrzeżenie w ciągu 24 godzin i pełne zgłoszenie w ciągu 72 godzin; odpowiedni raport końcowy podlega terminom CRA właściwym dla danego rodzaju zdarzenia. Proces zgłoszeniowy powinien zostać przećwiczony przed wystąpieniem incydentu, określając, kto może dokonać zgłoszenia, kto zatwierdza fakty i jak zachowywane są dowody inżynieryjne.

Po wprowadzeniu produktu do obrotu zmiany w kodzie, sprzęcie, zależnościach, kryptografii, interfejsach, zdalnym przetwarzaniu, zamierzonym przeznaczeniu, zasadach wsparcia lub procesach obsługi podatności powinny trafiać do udokumentowanego przeglądu wpływu. Pytanie dotyczy nie tylko tego, czy zmieniła się funkcja, ale także tego, czy trzeba zaktualizować ocenę ryzyka, dowody, informacje dla użytkownika lub wniosek dotyczący zgodności.

Typowe wąskie gardła opóźniające gotowość do CRA

• klasyfikacja pozostaje nierozstrzygnięta w chwili rozpoczęcia badań, przez co budżetowana jest niewłaściwa procedura oceny;
• warianty produktu oraz zależności chmurowe lub zdalnego przetwarzania nie są objęte kontrolą konfiguracji;
• ocena ryzyka, wykaz SBOM/zależności i zakres badań opisują różne wersje;
• brakuje dowodów dostawcy dla komponentów istotnych dla bezpieczeństwa lub zależności aktualizacyjnych;
• ustalenia są poprawiane w kodzie, ale nie zachowuje się dowodu poprawki i ponownego badania;
• okres wsparcia, przyjmowanie zgłoszeń o podatnościach i odpowiedzialność za raportowanie są ustalane dopiero przy wydaniu;
• ocena zewnętrzna jest zlecana zanim dokumentacja techniczna stanie się wewnętrznie spójna.

Czego ta strona nie zastępuje

Jeżeli główne pytanie dotyczy wyboru doradcy, struktury zarządzania albo strategicznej analizy luk, zobacz stronę dotyczącą doradztwa CRA. Jeżeli chodzi przede wszystkim o budżet i czynniki kosztowe, zobacz stronę dotyczącą kosztów CRA. W sprawach mechaniki wprowadzenia na rynek z oznakowaniem CE w wielu reżimach poza CRA zobacz usługi oznakowania CE. Ta strona obejmuje łańcuch realizacji i przekazań potrzebny do przekształcenia wymagań CRA w gotowy do wydania pakiet dowodowy.