Cyber Resilience Act: od dziś 24h na zgłoszenie aktywnie wykorzystywanej luki

Cyber Resilience Act wchodzi dziś w swój pierwszy etap, który bezpośrednio zmienia codzienną pracę producentów urządzeń i oprogramowania sprzedawanych w Unii Europejskiej. Od 11 września 2026 r. zaczynają obowiązywać wymogi raportowania z art. 14 rozporządzenia (UE) 2024/2847. Nie jest to jeszcze pełne zastosowanie wszystkich wymagań CRA — to nastąpi 11 grudnia 2027 r. — ale od dziś określone zdarzenia cyberbezpieczeństwa uruchamiają konkretne terminy liczone w godzinach.

24 godziny na early warning, 72 godziny na pełniejsze zgłoszenie

Producent, który dowiaduje się o aktywnie wykorzystywanej podatności w swoim produkcie z elementami cyfrowymi albo o poważnym incydencie mającym wpływ na bezpieczeństwo produktu, musi wysłać wczesne ostrzeżenie bez zbędnej zwłoki i nie później niż w ciągu 24 godzin. Następnie, maksymalnie w ciągu 72 godzin od uzyskania wiedzy o zdarzeniu, trzeba złożyć główne powiadomienie z szerszym opisem i wstępną oceną.

Dalszy termin zależy od rodzaju zdarzenia. Przy aktywnie wykorzystywanej podatności raport końcowy należy przekazać nie później niż 14 dni po udostępnieniu środka naprawczego lub łagodzącego. Przy poważnym incydencie finalne sprawozdanie ma zostać złożone w ciągu miesiąca od 72-godzinnego zgłoszenia. Komisja Europejska i ENISA opisują te terminy w aktualnych materiałach wdrożeniowych.

Nie chodzi o każdą lukę — kluczowe jest „aktywnie wykorzystywana”

To ważne rozróżnienie dla producentów robotów. CRA nie mówi, że każda znaleziona podatność automatycznie uruchamia 24-godzinny obowiązek. W przypadku podatności chodzi o sytuację, w której istnieją wiarygodne dowody, że złośliwy podmiot rzeczywiście wykorzystał ją w systemie bez zgody właściciela. Osobną kategorią są poważne incydenty wpływające na bezpieczeństwo produktu z elementami cyfrowymi.

W praktyce producent potrzebuje więc nie tylko skrzynki „security@”, ale procesu oceny: kiedy informacja staje się wiarygodna, kto podejmuje decyzję o klasyfikacji, jak zbierane są dane z produktu, kto kontaktuje się z zespołem prawnym i kto odpowiada za zgłoszenie w imieniu firmy. Przy 24-godzinnym terminie improwizacja po wystąpieniu incydentu może być za późna.

Jedno zgłoszenie przez platformę ENISA

Raportowanie odbywa się przez CRA Single Reporting Platform, którą ustanawia i utrzymuje ENISA. Platforma ma ograniczyć konieczność osobnego zgłaszania tego samego zdarzenia do wielu organów krajowych. Powiadomienie jest kierowane do właściwego CSIRT w państwie, w którym producent ma główną jednostkę organizacyjną, a informacje są dalej dystrybuowane zgodnie z mechanizmem określonym w CRA.

ENISA potwierdza, że platforma jest dostępna od 11 września 2026 r. Na starcie służy obowiązkowym zgłoszeniom producentów dotyczącym aktywnie wykorzystywanych podatności i poważnych incydentów. ENISA wskazuje również, że dla Polski CSIRT wyznaczonym jako koordynator w rozumieniu CRA jest CERT Polska.

Dlaczego to dotyczy robotyki

CRA obejmuje produkty z elementami cyfrowymi, gdy są udostępniane na rynku UE, a ich zamierzone lub racjonalnie przewidywalne użycie obejmuje bezpośrednie lub pośrednie logiczne albo fizyczne połączenie danych z urządzeniem lub siecią. Wiele współczesnych robotów spełnia ten opis: roboty sprzątające, kosiarki, kamery mobilne, roboty usługowe, AMR-y czy systemy Physical AI często korzystają z Wi‑Fi, chmury, aplikacji, aktualizacji OTA i zdalnej diagnostyki.

Nie oznacza to jednak, że każdy robot podlega identycznemu zestawowi zasad. CRA ma określony zakres i wyłączenia, zwłaszcza tam, gdzie produkty podlegają szczególnym unijnym regulacjom sektorowym. Producent musi ocenić konkretny produkt i sposób jego wprowadzania na rynek. Komisja opublikowała 27 lipca 2026 r. dodatkowe wytyczne dotyczące m.in. zakresu, istotnych modyfikacji, okresów wsparcia, raportowania i oceny ryzyka.

Także starsze produkty mogą wejść w obowiązek raportowy

Istotne dla producentów jest to, że obowiązek raportowania nie ogranicza się wyłącznie do urządzeń wprowadzonych na rynek po 11 września. Komisja wyjaśnia, że art. 14 obejmuje produkty z elementami cyfrowymi dostępne na rynku unijnym, również te wprowadzone przed pełnym zastosowaniem CRA 11 grudnia 2027 r. Jeżeli producent po 11 września 2026 r. dowie się o aktywnym wykorzystaniu podatności w takim produkcie, obowiązek może zostać uruchomiony.

Jednocześnie ENISA wyjaśnia, że nie ma obowiązku retrospektywnego zgłaszania aktywnego wykorzystania, o którym producent wiedział już przed rozpoczęciem stosowania art. 14. Kluczowa jest więc data uzyskania wiedzy oraz prawidłowe udokumentowanie procesu wewnętrznego.

Co zmienia się dla producenta robota praktycznie

Najbardziej oczywista zmiana to konieczność połączenia zespołów produktu, cyberbezpieczeństwa, serwisu i prawnego. Robot może mieć podatność nie tylko w głównym firmware, ale również w aplikacji, bibliotece open-source, komponencie komunikacyjnym, backendzie chmurowym lub zależności dostarczanej przez partnera. Firma potrzebuje inwentaryzacji komponentów, mechanizmu przyjmowania zgłoszeń, procedury triage i możliwości szybkiego ustalenia, które wersje oraz rynki są dotknięte problemem.

Dla dystrybutorów i importerów robotów z Azji oznacza to również większą presję na jakość wsparcia producenta. Sam europejski kanał sprzedaży nie naprawi sytuacji, w której centrala nie ma procesu vulnerability management, nie potrafi szybko wypuścić aktualizacji albo nie posiada jasnej odpowiedzialności za reakcję na incydent.

To dopiero pierwszy z dwóch dużych terminów

11 września 2026 r. zaczynają działać obowiązki raportowe. Pełne zastosowanie CRA nastąpi 11 grudnia 2027 r. i obejmie znacznie szersze wymagania dotyczące projektowania, zarządzania podatnościami, dokumentacji, oceny zgodności i informacji dla użytkownika. Dzisiejszy termin jest więc praktycznym początkiem egzekwowania części systemu, a nie końcem procesu wdrożeniowego.

Znaczenie dla Polski i UE

Dla europejskiej robotyki to ważna zmiana jakościowa. Bezpieczeństwo cybernetyczne urządzeń połączonych z siecią przestaje być wyłącznie argumentem marketingowym lub funkcją premium. Producent musi mieć mechanizm wykrycia, klasyfikacji i raportowania określonych zdarzeń w bardzo krótkim czasie. Dla klientów biznesowych może to stać się dodatkowym kryterium wyboru dostawcy obok ceny, uptime i serwisu.

Dla polskich firm najważniejszy jest prosty wniosek: jeśli produkują lub wprowadzają pod własną marką połączony z siecią robot lub software będący produktem z elementami cyfrowymi, powinny mieć gotową procedurę CRA już teraz, a nie w 2027 roku. W pierwszych miesiącach praktyka ENISA, CSIRT-ów i producentów pokaże, jak system działa w realnych incydentach.

RoboMorrow: decyzja

PUBLIKOWAĆ. To nie jest kolejna zapowiedź regulacji. Od 11 września 2026 r. art. 14 faktycznie ma zastosowanie. Najlepszy kąt dla RoboMorrow to praktyczny przewodnik dla branży robotycznej: kiedy zaczyna biec 24-godzinny zegar, czym różni się aktywnie wykorzystywana podatność od zwykłej luki i dlaczego producent robota potrzebuje procesu incident response już dziś.