Najczęstsze pytanie po prelekcjach o Cyber Resilience Act nie dotyczy zakresu obowiązków, lecz tego, czy rozporządzenie w ogóle znajduje zastosowanie. Poniżej pięć pytań, które to rozstrzygają.
1. Czy produkt ma elementy cyfrowe?
Rozporządzenie obejmuje produkty z elementami cyfrowymi, czyli rozwiązania sprzętowe lub programowe zdolne do bezpośredniego albo pośredniego połączenia z urządzeniem lub siecią.
Istotne jest słowo pośrednio. Czujnik pozbawiony własnego interfejsu sieciowego, ale współpracujący z bramką, mieści się w zakresie. Podobnie aplikacja desktopowa, jeżeli komunikuje się z jakimkolwiek innym elementem.
Odpowiedź przecząca kończy analizę. Odpowiedź twierdząca prowadzi do pytania drugiego.
2. Czy wprowadzasz produkt na rynek UE w toku działalności gospodarczej?
Decyduje rynek zbytu, nie siedziba przedsiębiorstwa. Producent spoza Unii sprzedający do Polski podlega rozporządzeniu na tych samych zasadach co podmiot krajowy.
Poza zakresem pozostaje oprogramowanie open source rozwijane niekomercyjnie. Granica bywa jednak nieoczywista: płatne wsparcie, wersja komercyjna albo sprzedaż usług wokół własnego projektu mogą wystarczyć, aby znaleźć się w zakresie.
3. Czy produkt nie jest objęty regulacją sektorową?
Cyber Resilience Act ustępuje przepisom szczególnym. Poza zakresem znajdują się między innymi:
- wyroby medyczne objęte MDR i IVDR;
- pojazdy podlegające homologacji według UN R155 i R156;
- lotnictwo cywilne;
- sprzęt morski objęty odrębnymi przepisami.
Uwagi wymagają produkty na styku regulacji. Akcesorium do wyrobu medycznego, które samo wyrobem nie jest, pozostaje w zakresie rozporządzenia. Analogicznie ładowarka do pojazdu elektrycznego, podczas gdy sam pojazd podlega odrębnej regulacji.
4. Jaką rolę pełnisz w łańcuchu dostaw?
| Rola | Kiedy | Podstawowy obowiązek |
|---|---|---|
| Producent | sprzedaż pod własną marką | pełna zgodność, dokumentacja, zgłaszanie |
| Importer | wprowadzenie produktu spoza UE | weryfikacja zgodności producenta |
| Dystrybutor | udostępnianie na rynku | sprawdzenie oznakowania i dokumentów |
Istotna jest przy tym zasada, zgodnie z którą istotna modyfikacja produktu albo sprzedaż pod własną marką czyni podmiot producentem, niezależnie od tego, kto wytworzył urządzenie fizycznie. Rola integratora nie zwalnia z obowiązków.
5. W której kategorii znajduje się produkt?
Kategoria przesądza o tym, czy wystarczy samoocena, czy konieczny jest udział jednostki notyfikowanej.
| Kategoria | Przykłady | Ocena zgodności |
|---|---|---|
| Domyślna | czujniki, prosta elektronika, większość produktów konsumenckich | samoocena |
| Ważne, klasa I | menedżery haseł, VPN, routery domowe, systemy IdM | samoocena przy normie zharmonizowanej |
| Ważne, klasa II | firewalle, IDS/IPS, hipernadzorcy, mikroprocesory odporne na manipulację | udział strony trzeciej |
| Krytyczne | sejfy kryptograficzne, bramki smart meterów, karty inteligentne | certyfikacja europejska |
Większość urządzeń IoT trafia do kategorii domyślnej. Upraszcza to ścieżkę formalną, lecz nie zmniejsza wymagań technicznych. Samoocena oznacza wyłącznie brak zewnętrznej weryfikacji przed premierą.
Wnioski i dalsze kroki
Odpowiedzi twierdzące na pytania pierwsze i drugie przy braku wyłączenia sektorowego oznaczają, że produkt podlega rozporządzeniu. Dalsza kolejność działań przedstawia się następująco:
- Ustalenie kategorii, które determinuje budżet i harmonogram.
- Weryfikacja terminów. Obowiązek zgłaszania podatności obowiązuje od 11 września 2026, pełne stosowanie rozporządzenia od 11 grudnia 2027.
- Sporządzenie SBOM-u dla jednego produktu w celu oszacowania skali prac.
Pełny zakres wymagań opisałem w tekście co CRA wymaga od producenta, a przygotowanie procesu zgłaszania w osobnym artykule.
Wątpliwości dotyczą najczęściej produktów znajdujących się na granicy regulacji sektorowej. W takiej sytuacji napisz, przeanalizujemy przypadek wspólnie.
Tekst ma charakter informacyjny i nie zastępuje analizy prawnej dla konkretnego produktu.