Daty Cyber Resilience Act: co obowiązuje i od kiedy

1. Cztery daty i dlaczego prawodawca je rozdzielił

Rozporządzenie (UE) 2024/2847 obowiązuje od 10 grudnia 2024 r., ale art. 71 rozkłada jego stosowanie w czasie. 11 czerwca 2026 r. stosuje się rozdział o jednostkach oceniających zgodność: chodzi o to, by jednostki notyfikowane istniały, zanim ktoś będzie ich potrzebował. 11 września 2026 r. stosuje się art. 14 — zgłaszanie. 11 grudnia 2027 r. stosuje się cała reszta.

Kolejność jest zamierzona. Organy chcą zobaczyć rzeczywisty ruch podatności, zanim zażądają zgodności produktu: najpierw jak Państwo reagują, potem jak budują. To odwrotność porządku, do którego przyzwyczaiła niemal każda dyrektywa produktowa — i dlatego ten kalendarz zaskakuje.

Dla producenta oznacza to, że obowiązek, który pojawia się pierwszy, nie dotyczy produktu, lecz organizacji. Żadna z czterech dat nie przesuwa się wraz z wielkością firmy, branżą ani obrotem.

2. Co obowiązuje od 11 września 2026 r. — a co nie

Art. 14 stosuje się w całości: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie 72-godzinne, sprawozdanie końcowe, informacja dla użytkowników i zgłoszenie w górę łańcucha do opiekuna komponentu. Pięć odrębnych obowiązków, nie jeden — i obowiązują od tego dnia dla każdego produktu z elementami cyfrowymi, jaki producent ma na rynku Unii.

Nie stosuje się jeszcze wymagań zasadniczych z załącznika I, dokumentacji technicznej, deklaracji zgodności UE ani oznakowania CE. Produkt bez oznakowania CE nie jest z tego powodu niezgodny 11 września 2026 r.; stanie się taki dopiero wtedy, gdy po tej dacie nie zgłosi wykorzystywanej podatności.

3. Produkty już obecne na rynku nie mają taryfy ulgowej

Data wprowadzenia do obrotu nie wchodzi do rachunku. Produkt wysłany w 2021 r., jeśli nadal jest wspierany, a jego podatność jest aktywnie wykorzystywana, uruchamia obowiązek dokładnie tak samo jak produkt wysłany jutro. Liczy się moment, w którym producent dowiaduje się o wykorzystaniu.

To konsekwencja najczęściej odkrywana zbyt późno, bo odwraca intuicję: można być bardzo daleko od zgodności produktu — bez oznakowania, bez dokumentacji — i mimo to podlegać sankcji za niezłożone zgłoszenie. Zgodność przedmiotu i zgodność obowiązku zgłoszeniowego biegną na osobnych zegarach, a ten zgłoszeniowy startuje pierwszy.

4. Co przychodzi 11 grudnia 2027 r.

Od tej daty stosuje się resztę rozporządzenia: wymagania zasadnicze cyberbezpieczeństwa z załącznika I części I, proces obsługi podatności z części II, dokumentację techniczną z załącznika VII, ocenę zgodności ścieżką właściwą dla klasy produktu, deklarację UE i oznakowanie CE.

Obie daty dzieli piętnaście miesięcy i nie jest to hojny margines: przy produkcie istotnym klasy II lub krytycznym ścieżka wiedzie przez jednostkę notyfikowaną, a jej kalendarza producent nie ustala. Kto planuje start w 2027 r., liczy na moce rynkowe, o które w 2027 r. będzie konkurencja.

5. Daty, których rozporządzenie nie wyznacza

Trzy ważne rzeczy nie mają daty w tekście i trzeba je sprawdzać kraj po kraju. Wyznaczenie CSIRT przyjmującego zgłoszenia producentów wynika z wdrożenia krajowego. Gotowość operacyjna jednolitej platformy zgłoszeniowej zależy od ENISA i aktów powiązanych. Normy zharmonizowane, które czynią samoocenę wykonalną, ukazują się stopniowo i nie wszystkie będą dostępne w dniu rozpoczęcia stosowania.

To ta część kalendarza, która się starzeje: daty z art. 71 są zapisane w tekście i się nie przesuwają, te owszem. Plan, który traktuje je jako pewne, planuje na pewności, której nie ma.

6. Jeśli sprzedają Państwo w kilku państwach członkowskich

Daty są takie same w całej Unii: rozporządzenie stosuje się bezpośrednio, bez transpozycji. Z kraju na kraj zmienia się to, kto otrzymuje zgłoszenie — wyznaczony CSIRT — i w jakim języku się je składa.

Oznacza to, że kalendarz jest jeden — i kanał też: art. 14 ust. 7 kieruje zgłoszenie do CSIRT państwa członkowskiego, w którym mają Państwo główną siedzibę w Unii, a ta jest jedna. Poświadczenia, osoby kontaktowe i kanał i tak trzeba przygotować dla tego jednego punktu wejścia, a żaden z tych kroków nie zamyka się w dwadzieścia cztery godziny.

To jedyny punkt, w którym identyczny dla wszystkich termin daje bardzo różne obciążenie pracą. Lepiej zmapować to wcześniej niż w dniu, w którym będzie potrzebne.

Ta strona przedstawia naszą lekturę tekstu prawnego i nie stanowi porady prawnej.