Oprogramowanie do zgodności z CRA: które obowiązki aktu o cyberodporności obejmuje CE-Copilot
Szukając oprogramowania CRA, trafia się na dwa rodzaje narzędzi: narzędzia programistyczne, które generują SBOM, sprawdzają kod pod kątem podatności i dystrybuują aktualizacje, oraz oprogramowanie do zgodności, które obsługuje klasyfikację, ocenę, dowody i zgłoszenia. CE-Copilot należy do drugiego rodzaju. Ten poradnik przedstawia, w jakim zakresie CE-Copilot obejmuje obowiązki wynikające z aktu o cyberodporności: obowiązek po obowiązku, z odniesieniem do przepisów i planem.
Zakres: obowiązek po obowiązku
Liczba obszarów obowiązków: 25, z tego objętych przez CE-Copilot: 12, objętych częściowo: 8, a leżących poza oprogramowaniem: 5. We wszystkich trzech przypadkach wdrożenie techniczne na maszynie i odpowiedzialność pozostają po stronie producenta.
Objęte przez CE-Copilot (12)
Oprogramowanie prowadzi Państwa przez obowiązek i dokumentuje wynik.
Sprawdzenie zakresu stosowania
Art. 2, art. 3 pkt 1
Wyszukiwarka norm proponuje CRA jako mający zastosowanie tylko wtedy, gdy opis maszyny wykazuje połączenie danych; stwierdzenia przeczące nie są brane pod uwagę, a bez dowodu CRA figuruje jako do sprawdzenia. W module Cyberbezpieczeństwo sprawdzają Państwo połączenie danych i wyłączenia na podstawie art. 2, w tym rozporządzenie delegowane (UE) 2025/1535.
od planu Starter
Klasyfikacja produktów ważnych i krytycznych
Art. 7, art. 8, załączniki III i IV
Wskazują Państwo podstawową funkcjonalność i zaznaczają mające zastosowanie kategorie z załączników III i IV, z opisami technicznymi z rozporządzenia wykonawczego (UE) 2025/2392. Klasyfikacja staje się wiążąca dopiero po Państwa potwierdzeniu.
od planu Starter
Obowiązki według daty wprowadzenia do obrotu
Art. 69, art. 71 ust. 2
Potwierdzona data decyduje o tym, jakie obowiązki dotyczą danego egzemplarza: od 11 września 2026 r. obowiązki zgłoszeniowe, w przypadku wprowadzenia do obrotu od 11 grudnia 2027 r. całe rozporządzenie, a od tego dnia także po istotnej modyfikacji.
od planu Starter
Ustalenie procedury oceny zgodności
Art. 32
Aplikacja wyprowadza dopuszczalne procedury z klasyfikacji. Uwzględnia przy tym, że w przypadku produktów klasy I bez normy zharmonizowanej, wspólnej specyfikacji lub programu certyfikacji kontrola wewnętrzna (moduł A) nie jest dostępna.
od planu Starter
Ocena ryzyka w zakresie cyberbezpieczeństwa
Art. 13 ust. 2 i 3
Zakres oceny z przeznaczeniem, racjonalnie przewidywalnym wykorzystaniem, środowiskiem operacyjnym, aktywami do ochrony i warunkami użytkowania, a także zagrożenia ze środkami i ryzykiem resztkowym. Podstawą jest wykaz interfejsów projektu.
od planu Professional
Dokumentowanie wymagań z załącznika I
Załącznik I część I i II, art. 13 ust. 4
Macierz z brzmieniem każdego wymagania: czy ma ono zastosowanie na podstawie oceny ryzyka (jeśli nie, z uzasadnieniem) oraz wdrożenie i dowody. Część I pkt 1 oraz wymagania dotyczące obsługi podatności z części II obowiązują zawsze.
od planu Professional
Komponenty podmiotów trzecich i open source
Art. 13 ust. 5
Lista komponentów z oznaczeniem wolnego i otwartego oprogramowania oraz z dowodem należytej staranności dla każdego komponentu.
od planu Professional
Ustalenie okresu wsparcia
Art. 13 ust. 8 i 19
Okres wsparcia z uzasadnieniem wynikającym z przewidywanego czasu użytkowania, sprawdzenie względem minimalnego okresu pięciu lat oraz data zakończenia, którą użytkownicy muszą poznać w momencie zakupu.
od planu Professional
Prowadzenie przypadków zgłoszeń z art. 14
Art. 14 ust. 1–4, art. 69 ust. 3
Dla każdego przypadku: moment uzyskania wiedzy, wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe, z sygnalizacją świetlną na stronie projektu, wzory tekstów zgodne z brzmieniem art. 14, właściwy CSIRT oraz numer sprawy z platformy sprawozdawczej. Zgłoszonych przypadków nie można usunąć.
od planu Professional
Informacje dla użytkowników zgodnie z załącznikiem II
Art. 13 ust. 18, załącznik II
Informacje z załącznika II prowadzą Państwo raz. Pojawiają się one w sprawozdaniu CRA i w rozdziale o cyberbezpieczeństwie instrukcji obsługi (moduł dodatkowy od planu Professional).
od planu Professional
Dokumentacja techniczna
Art. 31, załącznik VII
Sekcja o cyberbezpieczeństwie zgodna z załącznikiem VII w liście kontrolnej dokumentacji technicznej (od planu Starter), a także sprawozdanie CRA w PDF i Word oraz osobny rozdział w pełnej dokumentacji (od planu Professional).
od planu Starter
Deklaracja zgodności UE
Art. 28, załącznik V
CRA pojawia się w deklaracji dopiero wtedy, gdy klasyfikacja i data są potwierdzone, a główne obowiązki mają zastosowanie do danego egzemplarza. Procedura i zastosowane specyfikacje mają własne pola.
od planu Starter
Objęte częściowo (8)
Część znajduje się w oprogramowaniu, resztę zapewniają Państwo.
Wykaz komponentów oprogramowania (SBOM)
Załącznik I część II pkt 1
CE-Copilot zapisuje plik SBOM, na przykład w formacie CycloneDX lub SPDX, w projekcie i rejestruje, czy i jak użytkownicy uzyskują do niego dostęp. SBOM generują i analizują Państwo własnymi narzędziami programistycznymi.
od planu Professional
Obsługa podatności
Załącznik I część II pkt 2–8
W odniesieniu do usuwania podatności, regularnych testów, ujawniania usuniętych podatności, polityki skoordynowanego ujawniania podatności, bezpiecznej dystrybucji i bezpłatnych aktualizacji zabezpieczeń dokumentują Państwo wdrożenie i dowody w macierzy. Komunikaty dotyczące bezpieczeństwa i politykę ujawniania podatności piszą i publikują Państwo sami.
od planu Professional
Pojedynczy punkt kontaktowy do zgłaszania podatności
Art. 13 ust. 17
Punkt kontaktowy wpisują Państwo w sekcji podatności na stronie projektu; pojawia się on w sprawozdaniu CRA i w informacjach dla użytkowników. Skrzynkę pocztową lub portal zgłoszeń prowadzą Państwo sami.
od planu Professional
Informowanie użytkowników o incydentach
Art. 14 ust. 8
Dla każdego przypadku dostępny jest wzór informacji dla użytkowników, a moment poinformowania użytkowników jest zapisywany jako dowód. Samą informację wysyłają Państwo swoim klientom.
od planu Professional
Istotna modyfikacja
Art. 3 pkt 30, art. 22
W aplikacji data istotnej modyfikacji uruchamia obowiązki wynikające z rozporządzenia. To, czy aktualizacja oprogramowania lub przebudowa jest istotna, oceniają Państwo sami.
od planu Starter
Wersje oprogramowania i serie produktów
Art. 13 ust. 8 i 10
Okres wsparcia, ocenę i przypadki zgłoszeń prowadzi się dla każdego projektu osobno. Kilkoma dostarczonymi wersjami oprogramowania lub podatnością dotyczącą kilku serii produktów zarządzają Państwo za pośrednictwem poszczególnych projektów.
Kopia lub uproszczona deklaracja zgodności
Art. 13 ust. 20, załącznik VI
Aplikacja generuje pełną deklarację w PDF i Word do dołączenia do produktu. Uproszczoną deklarację zgodnie z załącznikiem VI, z adresem internetowym, sporządzają Państwo sami.
od planu Starter
Przechowywanie dokumentów przez dziesięć lat
Art. 13 ust. 13
Projekty ze zgłoszonymi przypadkami są zablokowane przed usunięciem, a sprawozdanie i pełną dokumentację eksportują Państwo w PDF i Word. Przechowywanie przez dziesięć lat organizują Państwo we własnym archiwum.
Pozostaje po stronie producenta (5)
Brak osobnej funkcji w CE-Copilot; obowiązek spełniają Państwo poza oprogramowaniem.
Bezpieczne opracowywanie i testy bezpieczeństwa
Załącznik I część I pkt 2
Wdrożenie techniczne, testy penetracyjne i przeglądy kodu odbywają się w ramach Państwa prac rozwojowych. CE-Copilot dokumentuje, który środek spełnia które wymaganie.
Zgłoszenie na platformie ENISA
Art. 14, art. 16
Zgłoszenie przekazują Państwo za pośrednictwem pojedynczej platformy sprawozdawczej ENISA. CE-Copilot nie jest połączony z platformą; terminy, wzory i dowody pochodzą z aplikacji.
Ocena przez jednostkę notyfikowaną
Art. 32 ust. 2–4
Jeżeli procedura wymaga udziału jednostki notyfikowanej, zlecają jej Państwo ocenę. Sprawozdanie i dokumentacja techniczna z CE-Copilot służą jako dokumenty wejściowe.
Środki naprawcze, odzyskanie produktu i informacje dla organów
Art. 13 ust. 21–23
Środki naprawcze, wycofanie z obrotu, współpraca z organami nadzoru rynku oraz informowanie o zaprzestaniu działalności pozostają po stronie producenta.
Obowiązki importerów i dystrybutorów
Art. 19, art. 20
CE-Copilot powstał z myślą o producentach. Obowiązki weryfikacyjne importerów i dystrybutorów nie są w nim odwzorowane osobno.
Obok CRA: ten sam wykaz interfejsów zasila ocenę zabezpieczenia przed uszkodzeniem zgodnie z załącznikiem III pkt 1.1.9 i 1.2.1 rozporządzenia w sprawie maszyn oraz listę kontrolną według EN 18031 dla urządzeń radiowych, z ograniczeniami wynikającymi z decyzji wykonawczej (UE) 2025/138. Więcej w poradniku Cyberbezpieczeństwo maszyn.
Jak rozpoznać dobre oprogramowanie CRA
Siedem pytań, które warto zadać każdemu oprogramowaniu CRA, oraz to, jak odpowiada na nie CE-Copilot:
1. Czy oprogramowanie wyznacza daty graniczne na podstawie daty wprowadzenia do obrotu?
To, czy maszyna podlega tylko obowiązkom zgłoszeniowym, czy całemu rozporządzeniu, zależy od tej daty i od późniejszych istotnych modyfikacji (art. 69 i 71).
W CE-Copilot: Tak. Data odczytana jedynie z opisu nie wywołuje skutków prawnych, dopóki jej Państwo nie potwierdzą.
2. Czy zna terminy zgłoszeń liczone w godzinach i w dniach kalendarzowych?
Wczesne ostrzeżenie i zgłoszenie biegną w godzinach od uzyskania wiedzy, sprawozdanie końcowe w dniach lub w terminie jednego miesiąca; w sytuacji kryzysowej dowody muszą być gotowe.
W CE-Copilot: Tak. Terminy dla każdego przypadku z sygnalizacją świetlną, wzory tekstów i ślad dowodowy, którego po zgłoszeniu nie można już usunąć.
3. Czy dokumentuje załącznik I wymaganie po wymaganiu?
Art. 13 ust. 4 wymaga uzasadnienia dla każdego wymagania, które nie ma zastosowania; załącznik VII wymaga opisu sposobu wdrożenia każdego z nich.
W CE-Copilot: Tak. Macierz z brzmieniem, zastosowalnością, uzasadnieniem, wdrożeniem i dowodami.
4. Czy łączy CRA z rozporządzeniem w sprawie maszyn i dyrektywą w sprawie urządzeń radiowych?
W przypadku maszyn zabezpieczenie przed uszkodzeniem (załącznik III pkt 1.1.9 i 1.2.1 rozporządzenia w sprawie maszyn), cyberbezpieczeństwo urządzeń radiowych i CRA funkcjonują równolegle.
W CE-Copilot: Tak. Jeden wykaz interfejsów dla wszystkich trzech ocen, w tej samej dokumentacji co ocena ryzyka i deklaracja zgodności.
5. Czy tworzy dokumenty pasujące do dokumentacji CE?
Dokumentacja techniczna, deklaracja zgodności i instrukcja obsługi muszą mówić to samo.
W CE-Copilot: Tak. Sprawozdanie CRA, rozdział pełnej dokumentacji, sekcja dokumentacji technicznej, deklaracja i rozdział instrukcji obsługi z tych samych danych.
6. Czy oddziela wewnętrzne dowody od dokumentów dla klientów?
Otwarte podatności nie mają miejsca w dokumencie, który trafia do klientów lub jednostek.
W CE-Copilot: Tak. Rozdział pełnej dokumentacji nie pokazuje przypadków zgłoszeń; pełne sprawozdanie zawiera klauzulę poufności.
7. Czy skutki prawne pozostają stałymi regułami, a nie decyzjami AI?
Daty graniczne, procedury i terminy muszą być możliwe do prześledzenia.
W CE-Copilot: Tak. Te reguły są stałą logiką; projekty tekstów przygotowane przez AI są wykorzystywane dopiero po Państwa potwierdzeniu.
Dla kogo CE-Copilot jest odpowiednim oprogramowaniem CRA
- Producenci maszyn i maszyn specjalnych, których maszyny wymieniają dane przez magistralę polową, Ethernet, zdalną konserwację, chmurę lub łączność radiową.
- Wykonawcy instalacji i integratorzy, którzy jako producenci wprowadzają do obrotu połączone instalacje i oceniają cyberbezpieczeństwo całości.
- Producenci dostarczający maszyny przed 11 grudnia 2027 r.: obowiązki zgłoszeniowe mają do nich zastosowanie już dziś, a pozostałe sekcje przygotowują późniejsze egzemplarze.
- CE-Copilot nie jest pomyślany jako narzędzie do tworzenia oprogramowania: generatory SBOM, skanery podatności i serwery aktualizacji pozostają osobnymi narzędziami.
Stan prawny
Obowiązki zgłoszeniowe na podstawie art. 14 mają zastosowanie od 11 września 2026 r., także w odniesieniu do maszyn z połączeniem danych, które zostały już wprowadzone do obrotu (art. 69 ust. 3). Pozostałe obowiązki mają zastosowanie do produktów wprowadzanych do obrotu od 11 grudnia 2027 r. (art. 71 ust. 2). Według stanu prawnego tego poradnika w Dzienniku Urzędowym nie opublikowano odniesienia do żadnej normy zharmonizowanej w ramach CRA, więc domniemanie zgodności na podstawie norm zharmonizowanych zgodnie z art. 27 jeszcze nie istnieje. Zastosowane specyfikacje, takie jak IEC 62443, zapisują Państwo w CE-Copilot jako takie. Jak aplikacja działa w zależności od daty wprowadzenia do obrotu, pokazuje poradnik Oprogramowanie do aktu o cyberodporności dla maszyn; plany wymieniono na stronie z cennikiem.
FAQ
Najczęściej zadawane pytania
Jakiego oprogramowania potrzebuję do wdrożenia CRA?
Czy CE-Copilot obejmuje wszystkie obowiązki wynikające z aktu o cyberodporności?
Czy sam CE-Copilot podlega CRA?
Czy w CE-Copilot jest lista kontrolna CRA?
Do jakich produktów CE-Copilot nadaje się jako oprogramowanie CRA?
Który plan obejmuje funkcje CRA?
Czy CE-Copilot zastępuje jednostkę notyfikowaną lub doradztwo prawne?
Zgodność maszyn z wymogami UE we własnym zakresie, w języku polskim
Ten przewodnik pochodzi od zespołu stojącego za CE-Copilot, platformą programową dla całego unijnego procesu CE maszyn: przypisanie dyrektyw, wyszukiwarka norm z 3600+ normami ze statusem harmonizacji, ocena ryzyka wg EN ISO 12100, dokumentacja bezpieczeństwa funkcjonalnego, sprawozdania z badań, dokumentacja techniczna, instrukcja obsługi i deklaracja zgodności UE. Dokumenty są eksportowane w języku angielskim lub niemieckim, deklaracja zgodności UE dodatkowo w języku francuskim i włoskim. Platforma jest dostępna w języku polskim i angielskim; AI przygotowuje wersje robocze, Państwo sprawdzają i zatwierdzają.
Więcej poradników
Niniejszy poradnik zawiera ogólne informacje dla producentów maszyn, sprawdzone z oficjalnymi tekstami prawnymi UE według stanu na 30 października 2026. Nie stanowi porady prawnej. W sprawie decyzji dotyczących konkretnego produktu prosimy zapoznać się z tekstami prawnymi (EUR-Lex) lub skonsultować się z wykwalifikowanym doradcą.