Koszt zgodności z CRA: jak przygotować wiarygodny budżet
Koszt zgodności z CRA: jak przygotować wiarygodny budżet
Nie istnieje jedna cena wdrożenia unijnego aktu o cyberodporności (CRA) ani obowiązkowa opłata certyfikacyjna dla każdego produktu. Osobno szacuj prace nad produktem, ścieżkę oceny zgodności i obsługę bezpieczeństwa po wprowadzeniu na rynek. Oznakowanie CE nie jest kupowanym certyfikatem CRA.
Czy istnieje urzędowa opłata CRA?
Rozporządzenie (UE) 2024/2847 nie przewiduje jednolitej opłaty w UE za wewnętrzną ocenę producenta ani umieszczenie oznakowania CE. Kontrola wewnętrzna nie wymaga automatycznie płatnego udziału jednostki notyfikowanej. Jeśli potrzebna jest ocena strony trzeciej, uzyskaj ofertę dla konkretnego zakresu; badania i doradztwo to odrębne usługi. Nie ma podstaw do podania uniwersalnej kwoty w euro.
Obowiązki zgłaszania z art. 14 obowiązują od 11 września 2026 r., również wobec produktów wcześniej udostępnionych na rynku UE. Większość pozostałych obowiązków stosuje się od 11 grudnia 2027 r. W budżecie na 2026 r. należy już przewidzieć system zgłoszeń.
Kategoria produktu wyznacza ścieżkę i koszty oceny
Zgodnie z art. 32 porównaj podstawową funkcję produktu z załącznikami III i IV oraz oficjalnymi opisami technicznymi. Tabela pomaga oszacować koszty, ale nie zastępuje ostatecznej klasyfikacji.
| Kategoria | Możliwa ścieżka | Wpływ na budżet |
|---|---|---|
| Produkty zwykłe | Zasadniczo możliwa jest wewnętrzna kontrola producenta (moduł A). | Analiza ryzyka, dowody techniczne i dokumentacja; badania zewnętrzne nie są automatycznie obowiązkowe. |
| Produkty ważne klasy I | Kontrola wewnętrzna tylko przy zastosowaniu właściwych norm zharmonizowanych, wspólnych specyfikacji lub odpowiedniego unijnego programu certyfikacji cyberbezpieczeństwa; w przeciwnym razie jednostka notyfikowana. Sprawdź wyjątek dla wolnego oprogramowania. | Do weryfikacji warunków uwzględnij wariant własnej oceny i badania zewnętrznego. |
| Ważne klasy II / krytyczne | Ocena jednostki notyfikowanej lub prawnie dopuszczony i odpowiedni unijny program certyfikacji cyberbezpieczeństwa. Sprawdź wyjątek dotyczący niektórych ważnych produktów open source. | Wycena powinna obejmować zakres, moduł, warianty i ponowne badania; deklaracja producenta może nie wystarczyć. |
Zestawienie składników budżetu przed zapytaniem ofertowym
Oddziel nakłady jednorazowe od kosztów całego cyklu życia; każda pozycja powinna mieć właściciela, jednostkę i podstawę.
| Pozycja kosztowa | Czynnik kosztotwórczy | Czego żądać |
|---|---|---|
| Klasyfikacja i analiza luk | Przeznaczenie, funkcje bezpieczeństwa, komponenty i obecne zabezpieczenia. | Opis zakresu, właściwej ścieżki oceny zgodności i założeń. |
| Poprawki i dokumentacja techniczna | Bezpieczne projektowanie, ryzyka, podatności, dostawcy i instrukcje. | Pakiety prac, osobodni i kryteria odbioru. |
| Badania i ponowne badania | Interfejsy, zagrożenia, środowisko, próbki oraz wersje sprzętowe i programowe. | Plan badań, liczba próbek, usunięcie błędów i cena ponownego testu. |
| Zewnętrzna ocena zgodności | Tylko gdy wymagana lub wybrana; moduły B+C i H różnią się. | Zakres notyfikacji CRA, rezultaty, nadzór i opłaty za zmiany. |
| Produkcja i wersjonowanie | Zakłady, podwykonawcy, warianty i zatwierdzanie wydań. | Uzasadnione kontrole zakładów; audyt fabryki nie jest uniwersalny. |
| Cyberbezpieczeństwo po wprowadzeniu do obrotu i role podmiotów w UE | Okres wsparcia, monitoring, poprawki, zgłoszenia i rzeczywiste usługi przedstawiciela/importera. | Koszty roczne, odpowiedzialni i zakres umów. |
Trzy scenariusze budżetowe zamiast gwarantowanych cen
- Pojedynczy standardowy produkt oprogramowania z dojrzałymi procesami bezpieczeństwa — Możliwy mniejszy udział kosztów oceny zewnętrznej; dominują poprawki, dowody i obsługa aktualizacji oraz zgłoszeń.
- Produkt klasy I o niepewnej dostępności norm — Policz dwa warianty: dopuszczalną kontrolę wewnętrzną albo jednostkę notyfikowaną. Przed stałą ofertą sprawdź normy.
- Rodzina urządzeń podłączonych do sieci, należących do klasy II, z częstymi aktualizacjami oprogramowania układowego — Zaplanuj ocenę zewnętrzną lub właściwy system, reprezentatywne próbki oraz koszty zmian i ponownych badań; wykaż zasadność współdzielenia dowodów.
Dane niezbędne do rzetelnej wyceny
Bez tych danych konkretna kwota jest tylko niewiążącym założeniem.
- Producent, marka, kanał sprzedaży w UE, ewentualny importer lub upoważniony przedstawiciel oraz podział obowiązków.
- Opis produktu, zastosowanie, funkcje główne, łączność, środowisko i rynki.
- Uzasadniona klasa CRA; normy, wspólne specyfikacje albo system certyfikacji i potwierdzona stosowalność.
- Wersje, warianty, dostawcy, wykaz składników oprogramowania (SBOM) i zależności zewnętrzne/zdalne.
- Obecna analiza ryzyka, testy, reagowanie na incydenty, podatności, aktualizacje i dokumentacja.
- Okres wsparcia, harmonogram wydań, możliwe istotne modyfikacje, próbki i dostępny personel.
Kolejność działań pozwalająca ograniczyć poprawki
- Ustal granice produktu i niepewności dotyczące zakresu/klasy CRA; nie zamawiaj certyfikacji na początku.
- Sprawdź prawidłową ścieżkę, normy i systemy; potwierdź zakres upoważnienia jednostki notyfikowanej.
- Wykorzystaj istniejące wiarygodne dowody i wyceniaj jedynie wykazane luki.
- Uzgodnij na piśmie gotowość do badań, wersje, próbki, powtórki, zmiany i wyłączenia z ceny.
- Oddziel budżet na monitorowanie, poprawki, wsparcie i zgłoszenia zgodnie z art. 14.
Porównanie ofert i koszty cykliczne
Zażądaj rozdzielenia rezultatów, opcji, pracy własnej, zasadnych wizyt i kontroli, ponownych badań, ewentualnego nadzoru, podatków i wsparcia. „Certyfikat CRA za X euro” bez klasy i zakresu nie pozwala porównać ofert.
W sprawach wykonania działań wdrożeniowych zobacz usługi w zakresie zgodności z CRA; w kwestiach klasyfikacji i strategii — doradztwo dotyczące klasyfikacji według CRA; a w sprawach innych systemów CE — koszty oznakowania CE. To odrębne zagadnienia.
Źródła urzędowe
- Rozporządzenie (UE) 2024/2847: art. 32 i 71 oraz załączniki
- Komisja Europejska: podsumowanie CRA i ocena zgodności
- Komisja: obowiązki zgłaszania
Pytania o koszt zgodności z CRA
Czy za CE lub deklarację CRA należy zapłacić stałą opłatę UE?
CRA nie ustanawia ogólnej opłaty za umieszczenie oznakowania CE ani sporządzenie deklaracji zgodności UE. Prace własne powodują koszty, a jednostka notyfikowana może pobierać wynagrodzenie za przeprowadzoną ocenę.
Czy produkty klasy I muszą być badane w laboratorium zewnętrznym?
Nie zawsze. Sprawdź dopuszczalność kontroli wewnętrznej i wymagane dowody. Badanie niezależne może być pomocne.
Czy jedna ocena obejmuje całą rodzinę produktów?
Tylko w zakresie uzasadnionym wybraną procedurą, udokumentowaną wspólną architekturą, różnicami oraz zakresem zaakceptowanym przez jednostkę oceniającą, jeżeli uczestniczy w ocenie. Wyceń warianty produktu, zmiany oprogramowania układowego i ewentualne ponowne badania.
Czy każdy producent spoza UE musi opłacać upoważnionego przedstawiciela?
Nie przyjmuj tego automatycznie. CRA pozwala wyznaczyć przedstawiciela pisemnym mandatem; osobno zbadaj rzeczywiste obowiązki importera i innych podmiotów.
Dlaczego planować zgłoszenia przed grudniem 2027 r.?
Art. 14 stosuje się od 11 września 2026 r., a większość pozostałych obowiązków od 11 grudnia 2027 r.