Pytania, które zadaje się nam przed podpisaniem

Obowiązki zgłaszania z art. 14 stosuje się od 11 września 2026 r. Pozostałe obowiązki producenta i zasadnicze wymogi załącznika I stosuje się od 11 grudnia 2027 r. Jeśli masz już produkty na rynku, obowiązek zgłaszania wykorzystywanych podatności obowiązuje od pierwszej daty, niezależnie od tego, kiedy produkt wprowadzono do obrotu.

Dwie kategorie: aktywnie wykorzystywane podatności zawarte w produkcie i poważne incydenty wpływające na bezpieczeństwo produktu. Nie trzeba zgłaszać podatności jedynie odkrytych lub ujawnionych bez dowodów wykorzystania, ani usterek bez znaczenia dla bezpieczeństwa. Różnicę trzeba udokumentować: umotywowane „nie” liczy się jako staranność, milczące „nie” — nie.

Wiarygodne przesłanki, że ktoś wykorzystał podatność w systemie bez zezwolenia: logi nieautoryzowanego wykonania, działający exploit w obiegu, potwierdzenie od CSIRT lub od klienta z dowodami. Teoretyczne podejrzenie nie wystarcza; potwierdzenie jednego rzeczywistego przypadku — tak.

Tak. Po zawiadomieniu organów producent informuje użytkowników dotkniętego produktu bez zbędnej zwłoki i, w stosownych przypadkach, wskazuje środki naprawcze lub łagodzące, które mogą zastosować. Zawiadomienie trzeba zachować: to dowód, że rynek został poinformowany.

Trzeba ją zgłosić opiekunowi komponentu, oprócz obowiązków wobec organów, jeśli spełniona jest przesłanka wykorzystywania. W aplikacji zadanie pojawia się automatycznie, gdy SBOM produktu zawiera komponenty zewnętrzne, z kontaktem do opiekuna już dostępnym.

Nie, i to celowo. Złożenie na Single Reporting Platform ENISA jest czynnością producenta, z własnymi poświadczeniami EU Login i własnym podpisem. Aplikacja przygotowuje ostateczny tekst, blokuje go znacznikiem czasu, prowadzi Cię pole po polu przez formularz i przechowuje potwierdzenie, które wgrywasz. Żaden pośrednik nie staje między Tobą a organem.

Pół dnia. Rejestrujesz produkty, także importem z CSV; wyznaczasz kontakty z poziomami eskalacji i progami alertów; publikujesz publiczny formularz zgłoszeniowy; zakładasz poświadczenia EU Login. Tryb ćwiczeń pozwala przećwiczyć cały przepływ bez wytwarzania aktów o skutkach prawnych.

Termin biegnie od chwili powzięcia wiedzy, którą w triażu zapisuje się z dokładną datą i godziną. Od tej chwili sprawa pokazuje pozostały czas, pasek upływu i przypomnienia na −12, −8, −4 i −1 godzinę, wysyłane do kontaktu odpowiedniego poziomu na Slacku, Teams lub e-mailem.

Jeden uporządkowany PDF: karta sprawy i produktu, zgłoszenie w postaci otrzymanej z załącznikami, ścieżka triażu z zastosowaną podstawą prawną, komunikat przygotowany i złożony, potwierdzenia, obowiązki powiązane (art. 14(8) i 13(6)) oraz pełna chronologia z identyfikatorami kontroli integralności każdego wpisu.

Tak. Każda spółka ma osobny rejestr, produkty i użytkowników; ten sam użytkownik przełącza się między nimi z wybieraka, a każde przełączenie jest zapisywane. Każda spółka liczy własne zarządzane Produkty, a rozdział można w umowie enterprise uczynić także kontraktowym, nie tylko technicznym.

Kwalifikacja pozostaje Twoja, ale nie pozostaje dorozumiana. Każdy krok zapisuje odpowiedź, zastosowany artykuł, autora i czas: jeśli uznasz, że obowiązek nie powstaje, rozumowanie jest zapisane i możliwe do obrony. To przeciwieństwo milczenia, którego przy kontroli nie da się wyjaśnić.

Nie. Integracje SBOM i API są opcjonalne. Kto już używa Dependency-Track, Syft, Snyk, Black Duck, FOSSA, JFrog Xray, Mend lub grafu zależności GitHuba, podłącza je i widzi komponenty zewnętrzne w sprawach; kto ich nie używa, pracuje z rejestrem produktów wypełnionym ręcznie lub przez CSV.

Tak, przez iframe do wklejenia: konfigurowalne pola (produkt i wersja, załączniki, klucz PGP, zgłoszenie anonimowe), edytowalny tekst wprowadzający, dedykowany alias e-mail i wygląd white-label. Każde przesłanie otwiera sprawę ze znacznikiem czasu i zwraca zgłaszającemu numer śledzenia.

Tak: endpointy dla spraw, triażu, zgłoszeń i rejestru, plus webhooki podpisane HMAC-SHA256 dla zdarzeń (sprawa utworzona, triaż zakończony, termin się zbliża, zgłoszenie złożone). Każdy klucz ma wybieralne uprawnienia i można go rotować z 24-godzinnym nakładaniem.

Role (administrator, oceniający, tylko rozliczenia, tylko odczyt), wnioski o dostęp z zatwierdzeniem administratora, weryfikacja dwuetapowa z kodami odzyskiwania, zarządzanie aktywnymi sesjami i dziennik każdej zmiany uprawnień.

W Unii Europejskiej. Rejestr aktywności jest przechowywany pięć lat, zgodnie z potrzebą wykazania należytej staranności. Przetwarzanie reguluje umowa z art. 28 RODO, z publiczną listą podprzetwarzających.

Tak. Każdy wpis nosi identyfikator obliczony ze znacznika czasu, treści i odwołań: zmiana jednego znaku daje inny identyfikator, więc każda zmiana jest widoczna przy porównaniu. Rejestr można wyeksportować do CSV i jest w całości odtwarzany w dokumentacji dowodowej.

Tylko do zaproponowania opisowego szkicu zdarzenia z otrzymanego zgłoszenia, a tekst zawsze musi zatwierdzić człowiek. Kwalifikacja, obliczanie terminów i złożenie nie są powierzane modelom generatywnym. Szczegóły na stronie o użyciu AI.

Naruszenia obowiązków z artykułów 13 i 14 Cyber Resilience Act mogą prowadzić do kar do 15 mln euro lub 2,5 % całkowitego rocznego światowego obrotu, zależnie od naruszenia, podmiotu i okoliczności przewidzianych w rozporządzeniu. Do tego dochodzą środki wycofania z rynku i szkoda handlowa wobec klientów wymagających zgodności w przetargach.

Subskrypcja miesięczna lub roczna z dwoma miesiącami w cenie, płatność kartą przez Stripe; na życzenie przelew, faktura 30 dni, polecenie zapłaty SEPA lub zamówienia decyzją administracyjną. Bez zobowiązania wieloletniego: rezygnacja działa na koniec opłaconego okresu, a Ty eksportujesz rejestr i dokumentację.

Tak, w innym użyciu: śledzą otrzymane zgłoszenia, przekazują je producentowi i dokumentują, że to zrobili. Cena podąża za zadeklarowanymi zarządzanymi Produktami, więc mały katalog kosztuje niewiele; jeśli sprzedajesz cudze produkty pod własną marką, stosują się obowiązki producenta.

Prowadzimy prowadzone ćwiczenia na Waszym procesie i wspieramy zespół przy pierwszych prawdziwych zgłoszeniach. Nie jesteśmy kancelarią prawną i nie udzielamy porad prawnych: przy kwalifikacji przypadków granicznych pracujemy z Waszym doradcą.