FAQ: Czy mój produkt podłączony do sieci musi spełniać wymagania CRA?

Krótka odpowiedź

Jeśli Twój produkt ma połączenie sieciowe (lub przetwarza dane) i sprzedajesz go w UE, to tak. Pełną zgodność musisz osiągnąć do grudnia 2027 r. Obowiązek zgłaszania podatności zaczyna obowiązywać we wrześniu 2026 r.

Długa odpowiedź

Akt o cyberodporności (CRA) obejmuje wszystkie „produkty z elementami cyfrowymi” wprowadzane na rynek UE. W praktyce, jeśli Twój produkt zawiera oprogramowanie i może łączyć się z siecią przez Wi-Fi, Bluetooth, Ethernet, sieć komórkową, a nawet przez wymianę danych po USB, CRA Cię obejmuje. Dotyczy to zarówno urządzeń sprzętowych, jak i samodzielnego oprogramowania. Liczy się to, czy produkt jest dostępny dla klientów w UE.

Poniżej krótka ściąga.

CRA dotyczy

urządzeń IoT (czujniki, bramki, inteligentny dom, urządzenia noszone)
systemów wbudowanych z łącznością
oprogramowania instalowanego (desktopowego, mobilnego)
sprzętu z elementami cyfrowymi

CRA NIE dotyczy

usług SaaS / wyłącznie chmurowych (te obejmuje NIS2)
wyrobów medycznych (obejmuje je rozporządzenie w sprawie wyrobów medycznych)
pojazdów (obejmują je przepisy o homologacji typu)
sprzętu związanego z bezpieczeństwem narodowym / sprzętu wojskowego
oprogramowania open source rozwijanego w sposób niekomercyjny

Kary za brak zgodności

Do 15 mln EUR lub 2,5% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa.

Następny krok

Sprawdź swój produkt pod kątem CRA. Od tego zależy Twoja ścieżka oceny zgodności.