Akt o cyberodporności dla maszyn: obowiązki, terminy i zgłoszenia
Jeśli Państwa maszyna ma sterownik z portem Ethernet, router zdalnej konserwacji lub bezprzewodowy panel ręczny, unijny akt o cyberodporności niemal na pewno jej dotyczy. Jego część już obowiązuje: od dnia 11 września 2026 producenci muszą zgłaszać aktywnie wykorzystywane podatności i poważne incydenty, nawet w odniesieniu do maszyn dostarczonych przed laty. Wymagania dotyczące projektowania, obsługi podatności i dokumentacji zaczną obowiązywać od dnia 11 grudnia 2027. Poradnik wyjaśnia zakres, terminy, klasyfikację i to, co należy przygotować, wraz z odniesieniami do artykułów, dzięki którym mogą Państwo sami to zweryfikować.
Najważniejsze terminy
Publikacja w Dzienniku Urzędowym
Rozporządzenie (UE) 2024/2847 z dnia 23 października 2024, Dz.U. L, 2024/2847. Sprostowane przez Dz.U. L, 2025/90555 z dnia 2 lipca 2025 (art. 13 ust. 8 i art. 64 ust. 10) oraz Dz.U. L, 2025/90828 z dnia 17 października 2025 (art. 67).
Wejście w życie
Dwadzieścia dni po publikacji (art. 71 ust. 1). W tym dniu żadne obowiązki producentów nie mają jeszcze zastosowania.
Jednostki notyfikowane
Zaczyna obowiązywać rozdział IV (art. 35–51), dzięki czemu jednostki oceniające zgodność mogą być notyfikowane na podstawie CRA (art. 71 ust. 2).
Zaczynają obowiązywać obowiązki zgłoszeniowe
Aktywnie wykorzystywane podatności i poważne incydenty muszą być zgłaszane, także w odniesieniu do produktów wprowadzonych do obrotu przed tą datą (art. 71 ust. 2 i art. 69 ust. 3). Tego samego dnia w wersji początkowej uruchomiono pojedynczą platformę sprawozdawczą (Single Reporting Platform) agencji ENISA.
Pełne stosowanie
Produkty wprowadzone do obrotu od tej daty muszą spełniać wszystkie wymagania: załącznik I, ocena ryzyka, ocena zgodności, deklaracja i oznakowanie CE (art. 71 ust. 2). Produkty wprowadzone do obrotu wcześniej są objęte tylko wtedy, gdy po tej dacie zostaną poddane istotnej modyfikacji (art. 69 ust. 2).
Koniec przejściowej ważności certyfikatów
Certyfikaty badania typu UE i decyzje o zatwierdzeniu dotyczące wymagań w zakresie cyberbezpieczeństwa wydane na podstawie innych unijnych przepisów harmonizacyjnych pozostają ważne do tej daty, chyba że wygasną wcześniej lub przepisy te stanowią inaczej (art. 69 ust. 1).
O tym, które obowiązki mają zastosowanie, decyduje więc dzień wprowadzenia produktu do obrotu na rynku UE. Dla bieżących linii produktów wytyczne Komisji C(2026) 5252 (treść zatwierdzona w dniu 27 lipca 2026; według stanu na 15 września 2026 nie stwierdzono formalnego przyjęcia) przynoszą pewne ułatwienie: produkty zaprojektowane przed dniem 11 grudnia 2027 i wprowadzone do obrotu po tej dacie nie muszą być projektowane od nowa, jeżeli ocena ryzyka wykazuje, że wdrożono odpowiednie środki. Ocena zgodności, deklaracja i oznakowanie CE nadal są wymagane.
Czy Państwa maszyna jest objęta zakresem stosowania?
Art. 2 ust. 1 obejmuje produkty z elementami cyfrowymi udostępniane na rynku, „których przeznaczenie lub racjonalnie przewidywalne wykorzystanie obejmuje bezpośrednie lub pośrednie logiczne lub fizyczne połączenie danych z urządzeniem lub siecią”. Produktem z elementami cyfrowymi jest każdy produkt programowy lub sprzętowy wraz z rozwiązaniami do zdalnego przetwarzania danych (art. 3 pkt 1), a zgodnie z art. 3 pkt 2 obejmuje to oprogramowanie do zdalnego przetwarzania danych zaprojektowane lub opracowane przez producenta lub na jego odpowiedzialność, na przykład aplikację w chmurze, od której zależy funkcja maszyny.
Typowe przesłanki w przypadku maszyn
- Interfejs Ethernet lub magistrali polowej do sieci zakładowej lub innych maszyn
- Dostęp do zdalnej konserwacji przez router, VPN lub portal
- Port USB do ładowania programów lub receptur
- Wi-Fi, Bluetooth lub sieć komórkowa, w tym bezprzewodowe panele ręczne
- Połączenie z aplikacją producenta w chmurze
Wyłączenia z art. 2 ust. 2–7
- Wyroby medyczne i wyroby medyczne do diagnostyki in vitro (rozporządzenia (UE) 2017/745 i 2017/746)
- Pojazdy objęte rozporządzeniem (UE) 2019/2144 oraz produkty lotnicze certyfikowane na podstawie rozporządzenia (UE) 2018/1139
- Wyposażenie morskie objęte dyrektywą 2014/90/UE
- Produkty wyłączone aktem delegowanym, jak dotąd produkty objęte rozporządzeniem (UE) nr 168/2013 (art. 2 ust. 5, rozporządzenie delegowane (UE) 2025/1535)
- Identyczne części zamienne (art. 2 ust. 6)
- Produkty opracowane wyłącznie na potrzeby bezpieczeństwa narodowego lub obronności (art. 2 ust. 7)
Maszyn nie ma na tej liście. Motyw 53 idzie dalej: producenci maszyn podlegających rozporządzeniu (UE) 2023/1230 powinni spełniać zarówno wymagania CRA, jak i rozporządzenia w sprawie maszyn. Projekt wytycznych Komisji dodaje, że połączenie danych wymaga zakodowanych informacji cyfrowych, więc maszyna czysto mechaniczna bez sterownika ani interfejsu pozostaje poza zakresem CRA. Oprogramowanie potrzebne do obsługi, konfiguracji lub sterowania maszyną jest częścią produktu, nawet jeśli klienci pobierają je osobno.
Obowiązki zgłoszeniowe, które już mają zastosowanie
Obowiązki z art. 14 uruchamiają dwa zdarzenia. Aktywnie wykorzystywana podatność to podatność, w przypadku której istnieją wiarygodne dowody, że podmiot działający w złych zamiarach wykorzystał ją w systemie bez zgody właściciela (art. 3 pkt 42). Poważny incydent ma lub może mieć wpływ na zdolność produktu do ochrony dostępności, autentyczności, integralności lub poufności wrażliwych lub ważnych danych lub funkcji albo doprowadził lub może doprowadzić do wprowadzenia lub wykonania złośliwego kodu w produkcie lub w sieci użytkownika (art. 14 ust. 5).
| Etap | Aktywnie wykorzystywana podatność | Poważny incydent |
|---|---|---|
| Wczesne ostrzeżenie | bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin od uzyskania informacji, ze wskazaniem państw członkowskich, w których według wiedzy producenta produkt został udostępniony (art. 14 ust. 2 lit. a)) | bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin od uzyskania informacji, ze wskazaniem, czy podejrzewa się działania niezgodne z prawem lub złośliwe, oraz w stosownych przypadkach państw członkowskich, których dotyczy incydent (art. 14 ust. 4 lit. a)) |
| Zgłoszenie | o ile nie przekazano już wcześniej, bez zbędnej zwłoki i w ciągu 72 godzin: produkt, ogólny charakter wykorzystania i podatności, podjęte środki naprawcze oraz środki, które mogą podjąć użytkownicy (art. 14 ust. 2 lit. b)) | o ile nie przekazano już wcześniej, bez zbędnej zwłoki i w ciągu 72 godzin: charakter incydentu, wstępna ocena, podjęte środki oraz środki, które mogą podjąć użytkownicy (art. 14 ust. 4 lit. b)) |
| Sprawozdanie okresowe | na wniosek CSIRT (art. 14 ust. 6) | na wniosek CSIRT (art. 14 ust. 6) |
| Sprawozdanie końcowe | o ile nie przekazano już wcześniej, nie później niż 14 dni po udostępnieniu środka naprawczego lub łagodzącego (art. 14 ust. 2 lit. c)) | o ile nie przekazano już wcześniej, w terminie jednego miesiąca od zgłoszenia przekazanego w ciągu 72 godzin (art. 14 ust. 4 lit. c)) |
Zgłoszenia przekazuje się za pośrednictwem pojedynczej platformy sprawozdawczej na podstawie art. 16, z wykorzystaniem punktu zgłoszeń elektronicznych CSIRT-u wyznaczonego na koordynatora w państwie członkowskim, w którym producent ma główną siedzibę, i są one jednocześnie dostępne dla agencji ENISA (art. 14 ust. 7). Główna siedziba to miejsce, w którym głównie podejmuje się decyzje dotyczące cyberbezpieczeństwa produktów, a jeżeli nie można go ustalić, państwo członkowskie, w którym producent ma zakład o największej liczbie pracowników w UE. Producenci bez głównej siedziby w UE stosują kolejność zastępczą ustaloną w tym samym ustępie: państwo członkowskie upoważnionego przedstawiciela działającego w odniesieniu do największej liczby ich produktów, następnie państwo importera, który wprowadza do obrotu ich najwięcej, następnie państwo dystrybutora, który udostępnia ich najwięcej, a na końcu państwo członkowskie, w którym znajduje się najwięcej ich użytkowników. Użytkowników, których to dotyczy, należy również poinformować, w razie potrzeby wraz ze wskazaniem środków łagodzących (art. 14 ust. 8).
Termin biegnie od uzyskania informacji. Według projektu wytycznych Komisji producent uzyskuje informację z chwilą, gdy wstępna ocena, przeprowadzona bez zwłoki, daje rozsądny stopień pewności, że doszło do wykorzystania podatności lub poważnego incydentu. Podatność w komponencie podmiotu trzeciego należy zgłaszać tylko wtedy, gdy została wykorzystana w Państwa własnym produkcie. Dotrzymanie terminu 24 godzin wymaga procesu uzgodnionego z wyprzedzeniem: kto ocenia, kto zgłasza i do jakich krajów sprzedano każdy typ maszyny.
Ulga dla małych producentów: kary z art. 64 CRA nie mają zastosowania do mikroprzedsiębiorstw i małych przedsiębiorstw wyłącznie z tytułu niedotrzymania 24-godzinnego terminu wczesnego ostrzeżenia (art. 64 ust. 10 lit. a) w brzmieniu sprostowanym przez Dz.U. L, 2025/90555). Sam obowiązek zgłoszenia i pozostałe terminy pozostają. Proszę jednak zwrócić uwagę na harmonogram: zgodnie z art. 71 ust. 2 art. 64 ma zastosowanie dopiero od dnia 11 grudnia 2027, ponieważ przyspieszono tylko art. 14 i rozdział IV. To, czy i w jaki sposób naruszenia obowiązków zgłoszeniowych mogą być karane przed tą datą, zależy od prawa krajowego; w Niemczech według stanu na 15 września 2026 nie stwierdzono ogłoszenia krajowej ustawy wdrażającej.
Standardowy, ważny czy krytyczny?
Ścieżka oceny zgodności zależy od klasyfikacji, a klasyfikacja wynika z podstawowej funkcjonalności produktu (art. 7 ust. 1 i art. 8 ust. 1). Rozporządzenie wykonawcze (UE) 2025/2392 zawiera opisy techniczne kategorii. Według projektu wytycznych Komisji produkt ma w tym celu dokładnie jedną podstawową funkcjonalność, którą należy wskazać w dokumentacji technicznej.
| Kategoria | Co do niej należy | Ocena zgodności |
|---|---|---|
| Produkt standardowy | Wszystko, czego podstawowa funkcjonalność nie odpowiada żadnej kategorii z załącznika III ani IV. Tu zazwyczaj mieści się sama maszyna. | Kontrola wewnętrzna (moduł A) lub, dobrowolnie, badanie typu UE i zgodność z typem UE (moduły B i C), pełne zapewnienie jakości (moduł H) albo, o ile jest dostępny i ma zastosowanie, europejski program certyfikacji cyberbezpieczeństwa (art. 32 ust. 1). |
| Ważny, klasa I (załącznik III) | 19 kategorii, w tym routery, modemy przeznaczone do podłączenia do internetu oraz przełączniki (pkt 12), fizyczne i wirtualne interfejsy sieciowe (pkt 10), systemy operacyjne (pkt 11), systemy zarządzania siecią (pkt 6) i produkty z funkcją VPN (pkt 5). | Moduł A tylko wtedy, gdy w pełni stosuje się normy zharmonizowane, wspólne specyfikacje lub europejskie programy certyfikacji co najmniej na „istotnym” poziomie uzasadnienia zaufania; w przeciwnym razie moduły B i C albo moduł H (art. 32 ust. 2). |
| Ważny, klasa II (załącznik III) | Hiperwizory i systemy środowiska uruchomieniowego kontenerów, zapory sieciowe, systemy wykrywania włamań lub zapobiegania włamaniom, mikroprocesory i mikrokontrolery odporne na manipulacje. | Moduły B i C, moduł H albo, o ile jest dostępny i ma zastosowanie, europejski program certyfikacji co najmniej na „istotnym” poziomie uzasadnienia zaufania; moduł A nie jest dostępny (art. 32 ust. 3). |
| Krytyczny (załącznik IV) | Urządzenia sprzętowe ze skrzynkami zabezpieczającymi, bramy inteligentnych liczników i inne urządzenia do zaawansowanych celów bezpieczeństwa, karty inteligentne i elementy zabezpieczające. | Europejski program certyfikacji, gdy wymaga go akt delegowany na podstawie art. 8 ust. 1; do tego czasu procedury klasy II (art. 32 ust. 4). |
Reguła integracji
Art. 7 ust. 1 stanowi, że zintegrowanie produktu o podstawowej funkcjonalności kategorii z załącznika III samo w sobie nie poddaje produktu nadrzędnego procedurom z art. 32 ust. 2 i 3. Zarządzalny przełącznik w szafie sterowniczej, panel HMI z systemem operacyjnym czy karta magistrali polowej nie czynią Państwa maszyny produktem ważnym. Maszyna zwykle pozostaje produktem standardowym.
Warto przyjrzeć się sprawie dokładniej, jeśli sprzedają Państwo także komponenty osobno. Rozporządzenie wykonawcze (UE) 2025/2392 wyraźnie wymienia kontrolery i adaptery magistrali polowej wśród interfejsów sieciowych klasy I oraz systemy operacyjne czasu rzeczywistego wśród systemów operacyjnych klasy I. Router zdalnej konserwacji, karta interfejsu magistrali polowej lub zapora sieciowa w szafie, które Państwo wprowadzają do obrotu osobno, wymagają zatem własnej klasyfikacji.
Ocena zgodności i brakujące normy
Produkty ważne klasy I mogą korzystać z kontroli wewnętrznej tylko wtedy, gdy w pełni stosuje się normy zharmonizowane, wspólne specyfikacje lub programy certyfikacji (art. 32 ust. 2). Właśnie tu leży wąskie gardło: według stanu na dzień 11 września 2026 w Dzienniku Urzędowym nie opublikowano odniesienia do żadnej normy zharmonizowanej w ramach CRA, jak wynika z zestawień norm i raportów branżowych. Wniosek Komisji o normalizację M/606 z dnia 3 lutego 2025 obejmuje 41 norm; trwają prace nad horyzontalną serią EN 40000 oraz, dla produktów technologii operacyjnej, nad serią prEN 50770 opartą na IEC 62443. Przesunięcie terminów normalizacji istnieje tylko w formie projektu.
Dla samej maszyny jest to mniej krytyczne. Jako produkt standardowy może ona korzystać z modułu A bez norm zharmonizowanych; dokumentacja techniczna musi wtedy opisywać przyjęte rozwiązania dla załącznika I części I i II oraz wymieniać inne zastosowane specyfikacje techniczne (załącznik VII pkt 5). IEC 62443-4-1 i -4-2 pozostają oczywistą podstawą techniczną, choć analiza branżowa z dnia 6 lipca 2026 uważa publikację odniesienia w ramach CRA za mało prawdopodobną.
Jeżeli maszyna podlega zarówno rozporządzeniu w sprawie maszyn, jak i CRA, jedna deklaracja zgodności UE obejmuje oba akty i wymienia je wraz z odniesieniami do Dziennika Urzędowego (art. 28 ust. 3). Załącznik V określa, co deklaracja musi zawierać w odniesieniu do CRA.
Co obowiązuje od dnia 11 grudnia 2027
1. Ocena ryzyka w zakresie cyberbezpieczeństwa (art. 13 ust. 2–4)
Ocena wychodzi od przeznaczenia i racjonalnie przewidywalnego wykorzystania, uwzględnia środowisko operacyjne, aktywa do ochrony i przewidywany czas użytkowania oraz wpływa na planowanie, projektowanie, produkcję, dostawę i konserwację. Dla każdego wymagania z załącznika I część I pkt 2 musi wskazywać, czy i jak ma ono zastosowanie oraz jak je wdrożono; wymaganie, które nie ma zastosowania, wymaga jasnego uzasadnienia w dokumentacji technicznej. Ocenę dokumentuje się i w stosownych przypadkach aktualizuje w okresie wsparcia (art. 13 ust. 3).
2. Wymagania dotyczące produktu (załącznik I część I)
Na podstawie oceny ryzyka i w stosownych przypadkach pkt 2 wymaga:
- abrak znanych podatności możliwych do wykorzystania w chwili udostępnienia
- bbezpieczna konfiguracja domyślna i możliwość przywrócenia stanu pierwotnego
- cmożliwość usuwania podatności za pomocą aktualizacji zabezpieczeń
- dochrona przed nieuprawnionym dostępem, np. uwierzytelnianie i zarządzanie dostępem, ze zgłaszaniem możliwego nieuprawnionego dostępu
- epoufność przechowywanych, przesyłanych lub przetwarzanych danych
- fintegralność danych, poleceń, programów i konfiguracji, ze zgłaszaniem przypadków uszkodzenia
- gminimalizacja danych
- hdostępność kluczowych funkcji, w tym odporność na ataki typu odmowa usługi
- iminimalny negatywny wpływ na inne urządzenia i sieci
- jograniczone powierzchnie ataku, w tym interfejsy zewnętrzne
- kmechanizmy ograniczające skutki incydentu
- lrejestrowanie lub monitorowanie istotnej aktywności wewnętrznej, z możliwością rezygnacji przez użytkowników
- mbezpieczne i łatwe usuwanie wszystkich danych i ustawień oraz bezpieczne przenoszenie danych
Nasze własne streszczenie punktów od a) do m); wiążące brzmienie zawiera rozporządzenie. Pkt c) wymaga automatycznych aktualizacji zabezpieczeń tylko w stosownych przypadkach, a według motywu 56 odnośne przepisy nie powinny mieć zastosowania, gdy użytkownicy zwykle nie oczekują automatycznych aktualizacji, na przykład w środowiskach przemysłowych, w których automatyczna aktualizacja mogłaby zakłócić pracę.
3. Obsługa podatności (załącznik I część II)
Część II ma zastosowanie bez zastrzeżenia „w stosownych przypadkach”. Wymaga ona wykazu składników oprogramowania w powszechnie używanym formacie nadającym się do odczytu maszynowego, obejmującego co najmniej zależności najwyższego poziomu, niezwłocznego usuwania podatności za pomocą aktualizacji zabezpieczeń oddzielonych od aktualizacji funkcji, jeżeli jest to technicznie wykonalne, regularnych testów bezpieczeństwa, publikowania usuniętych podatności, polityki skoordynowanego ujawniania podatności, adresu kontaktowego do zgłaszania podatności, bezpiecznej dystrybucji aktualizacji oraz bezpłatnych aktualizacji zabezpieczeń. SBOM nie musi być publikowany (motyw 77), ale organy nadzoru rynku mogą zażądać jego przedstawienia w drodze uzasadnionego wniosku (załącznik VII pkt 8).
4. Komponenty podmiotów trzecich (art. 13 ust. 5 i 6)
Producenci muszą dochować należytej staranności przy integracji komponentów podmiotów trzecich, w tym oprogramowania open source, tak aby nie naruszały one cyberbezpieczeństwa produktu. Podatność stwierdzoną w komponencie zgłasza się temu, kto go wytwarza lub utrzymuje, wraz z ewentualną opracowaną przez Państwa poprawką. W przypadku sterowników PLC, paneli HMI, routerów i napędów oznacza to zbieranie i dokumentowanie informacji o bezpieczeństwie oraz okresów wsparcia od dostawców.
5. Okres wsparcia (art. 13 ust. 8, 9 i 19)
Okres wsparcia odzwierciedla przewidywany czas użytkowania i trwa co najmniej pięć lat, chyba że produkt ma być używany krócej. Projekt wytycznych Komisji wyjaśnia, że pięć lat nie jest wartością domyślną, a motyw 60 wymienia przemysłowe systemy sterowania jako przykład znacznie dłuższego użytkowania. Datę zakończenia należy podać w momencie zakupu, co najmniej z miesiącem i rokiem, a każda aktualizacja zabezpieczeń pozostaje dostępna przez co najmniej dziesięć lat lub przez resztę okresu wsparcia, zależnie od tego, który okres jest dłuższy. Uzasadnienie wybranego okresu należy do dokumentacji technicznej.
6. Informacje dla użytkowników (załącznik II)
Do maszyny należy dołączyć m.in.: dane kontaktowe producenta, pojedynczy punkt kontaktowy do zgłaszania podatności wraz z polityką ujawniania, jednoznaczną identyfikację produktu, przeznaczenie wraz ze środowiskiem bezpieczeństwa i właściwościami bezpieczeństwa, znane okoliczności, które mogą prowadzić do znacznego ryzyka dla cyberbezpieczeństwa, w stosownych przypadkach adres internetowy deklaracji zgodności, rodzaj wsparcia w zakresie bezpieczeństwa i koniec okresu wsparcia oraz instrukcje dotyczące bezpiecznego uruchomienia, aktualizacji, wycofania z eksploatacji i integracji. Naturalnie mieści się to w osobnym rozdziale instrukcji obsługi i musi pozostać dostępne przez co najmniej dziesięć lat lub przez okres wsparcia, zależnie od tego, który jest dłuższy (art. 13 ust. 18).
7. Dokumentacja techniczna, deklaracja i oznakowanie CE
Przed wprowadzeniem do obrotu należy sporządzić dokumentację techniczną z załącznika VII, przeprowadzić ocenę zgodności na podstawie art. 32, sporządzić deklarację zgodności UE i umieścić oznakowanie CE (art. 13 ust. 12). Dokumentację i deklarację przechowuje się przez co najmniej dziesięć lat lub przez okres wsparcia, zależnie od tego, który jest dłuższy (art. 13 ust. 13). Producenci wyznaczają również pojedynczy punkt kontaktowy, za pośrednictwem którego użytkownicy mogą się z nimi bezpośrednio skontaktować (art. 13 ust. 17).
Relacja CRA do rozporządzenia w sprawie maszyn i RED
CRA nie zastępuje żadnego wymagania dla maszyn. Od dnia 20 stycznia 2027 załącznik III do rozporządzenia w sprawie maszyn wymaga zabezpieczenia przed uszkodzeniem (pkt 1.1.9) oraz układów sterowania, które stosownie do okoliczności i ryzyka wytrzymują racjonalnie przewidywalne próby doprowadzenia do sytuacji zagrożenia podejmowane w złym zamiarze przez strony trzecie (pkt 1.2.1). Motyw 53 CRA mówi, że spełnienie wymagań CRA może ułatwić zgodność z tymi punktami, ale producent musi wykazać tę synergię i powinien przestrzegać obu procedur oceny zgodności. Sama zgodność z CRA nie daje domniemania zgodności w odniesieniu do pkt 1.1.9 i 1.2.1. Na gruncie rozporządzenia w sprawie maszyn domniemanie takie wynika z norm zharmonizowanych, do których odniesienia opublikowano w Dzienniku Urzędowym (art. 20 ust. 1), lub ze wspólnych specyfikacji (art. 20 ust. 6), a w przypadku tych dwóch punktów także z certyfikacji lub oświadczenia o zgodności w ramach programu na podstawie aktu o cyberbezpieczeństwie (rozporządzenie (UE) 2019/881), do którego odniesienie opublikowano w Dzienniku Urzędowym (art. 20 ust. 9).
Jeżeli maszyna z modułem radiowym jest uznawana za urządzenie radiowe i spełnia kryteria rozporządzenia delegowanego (UE) 2022/30, na przykład komunikuje się przez internet, wynikające z tego wymagania dyrektywy w sprawie urządzeń radiowych dotyczące cyberbezpieczeństwa mają zastosowanie do egzemplarzy wprowadzonych do obrotu do dnia 10 grudnia 2027; rozporządzenie delegowane zostaje uchylone ze skutkiem od dnia 11 grudnia 2027 rozporządzeniem delegowanym (UE) 2026/339. To, jak współdziałają te trzy reżimy i dlaczego ocena ryzyka w zakresie cyberbezpieczeństwa wymaga własnej metody obok EN ISO 12100, wyjaśniono w poradniku Cyberbezpieczeństwo maszyn.
Kary i organy
- Naruszenie załącznika I lub obowiązków z art. 13 i 14: do 15 mln EUR lub 2,5 % światowego rocznego obrotu (art. 64 ust. 2).
- Naruszenia innych obowiązków, w tym dotyczących deklaracji, oznakowania CE, dokumentacji technicznej i oceny zgodności: do 10 mln EUR lub 2 % (art. 64 ust. 3).
- Podanie nieprawidłowych, niepełnych lub wprowadzających w błąd informacji jednostkom notyfikowanym i organom nadzoru rynku: do 5 mln EUR lub 1 % (art. 64 ust. 4).
W każdym przypadku stosuje się kwotę wyższą; uwzględnia się charakter, wagę i czas trwania naruszenia oraz wielkość przedsiębiorstwa (art. 64 ust. 5). Art. 64 ma zastosowanie od dnia 11 grudnia 2027 (art. 71 ust. 2); to, czy naruszenia obowiązków zgłoszeniowych obowiązujących od dnia 11 września 2026 można karać wcześniej, zależy od prawa krajowego.
Państwa członkowskie wyznaczają własne organy nadzoru rynku. W Niemczech BSI ogłosił, że jego CERT-Bund pełni od dnia 11 września 2026 funkcję CSIRT-u wyznaczonego na koordynatora, a projekt federalnej ustawy wdrażającej CRA (dokument Bundestagu 21/6134 z dnia 26 maja 2026) czyni BSI organem nadzoru rynku, organem notyfikującym i organem właściwym w sprawie kar pieniężnych; według stanu na 15 września 2026 nie stwierdzono ogłoszenia. W prawie maszynowym nadal właściwe pozostają organy nadzoru rynku niemieckich krajów związkowych, a podział kontroli aspektów CRA w maszynach z BSI jest wciąż otwarty. Obowiązki producentów mają zastosowanie bezpośrednio z mocy rozporządzenia, niezależnie od tego.
Wciąż otwarte według stanu na 15 września 2026
- Wytyczne Komisji C(2026) 5252 z dnia 27 lipca 2026 zostały zatwierdzone pod względem treści; nie stwierdzono formalnego przyjęcia we wszystkich wersjach językowych. Nie są prawnie wiążące; interpretacje przytoczone w tym poradniku pochodzą z tej wersji.
- Nie opublikowano w Dzienniku Urzędowym odniesienia do żadnej normy zharmonizowanej w ramach CRA (źródła według stanu na dzień 11 września 2026).
- Jeszcze nieprzyjęte, między innymi: format SBOM (art. 13 ust. 24), format i procedura zgłoszeń (art. 14 ust. 10) oraz uproszczony formularz dokumentacji technicznej dla mikroprzedsiębiorstw i małych przedsiębiorstw (art. 33 ust. 5).
Jak obsługuje to CE-Copilot
CE-Copilot obsługuje prace związane z CRA w tym samym projekcie co ocena ryzyka, deklaracja zgodności i instrukcja obsługi. Klasyfikacja, terminy i reguły postępowania to stała logika, a nie szacunki AI.
- Wyszukiwarka norm i ocena ryzyka (Starter i wyższe plany): wyszukiwarka norm wskazuje CRA jako obowiązkowy tylko wtedy, gdy opis maszyny wykazuje połączenie danych, wraz z uwagą o obowiązku zgłoszeniowym. W edytorze oceny ryzyka moduł cyberbezpieczeństwa prowadzi przez zakres, podstawową funkcjonalność i klasyfikację według załączników III i IV, pokazuje, co obowiązuje w zależności od daty wprowadzenia do obrotu, a dla maszyn wprowadzonych do obrotu od dnia 11 grudnia 2027 rejestruje procedurę z art. 32.
- Strona projektu Cyberbezpieczeństwo (Professional i wyższe plany): wykaz interfejsów i aktywów, ocena ryzyka w zakresie cyberbezpieczeństwa, macierz wymagań z załącznika I z zastosowalnością, uzasadnieniem, wdrożeniem i dowodami, komponenty podmiotów trzecich, okres wsparcia, obsługa podatności z przechowywaniem SBOM, przypadki zgłoszeń z art. 14 ze śledzeniem terminów i wzorami oraz informacje dla użytkownika z załącznika II.
- Dokumenty: sprawozdanie CRA w PDF i Word, rozdział o cyberbezpieczeństwie w pełnej dokumentacji, sekcja o cyberbezpieczeństwie w dokumentacji technicznej, CRA jako dodatkowy akt w deklaracji zgodności (zaznaczany dopiero wtedy, gdy główne obowiązki mają zastosowanie do egzemplarza) oraz rozdział o cyberbezpieczeństwie z informacjami z załącznika II w instrukcji obsługi (moduł dodatkowy od planu Professional, jednorazowy zakup dla projektu).
Opis krok po kroku znajduje się w poradniku Oprogramowanie do aktu o cyberodporności dla maszyn. Wynik widać w przykładowej dokumentacji (rozdział 7, s. 151–164) i w przykładowej instrukcji obsługi (rozdział 13). Plany wymieniono na stronie z cennikiem.
Oprogramowanie porządkuje i dokumentuje pracę. Ocena, wdrożenie techniczne i zatwierdzenie pozostają po stronie producenta, a zgłoszenia z art. 14 przekazuje się za pośrednictwem pojedynczej platformy sprawozdawczej agencji ENISA, nie z CE-Copilot.
FAQ
Najczęściej zadawane pytania
Czy akt o cyberodporności ma zastosowanie do maszyn?
Co producenci maszyn muszą robić od dnia 11 września 2026?
Czy obowiązki zgłoszeniowe obejmują maszyny sprzedane przed laty?
Czy wbudowany przełącznik przemysłowy lub router sprawia, że moja maszyna jest produktem ważnym?
Czy na podstawie CRA potrzebuję jednostki notyfikowanej dla mojej maszyny?
Jak długi powinien być okres wsparcia dla maszyn przemysłowych?
Nie mamy siedziby w UE. Gdzie zgłaszać?
Czy istnieją już normy zharmonizowane do aktu o cyberodporności?
Czy ocena ryzyka w zakresie cyberbezpieczeństwa może być częścią naszej oceny ryzyka według EN ISO 12100?
Źródła
- Rozporządzenie (UE) 2024/2847 (akt o cyberodporności), Dz.U. L, 2024/2847, 20 listopada 2024: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R2847
- Sprostowanie do rozporządzenia (UE) 2024/2847, Dz.U. L, 2025/90555, 2 lipca 2025: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=OJ:L_202590555
- Sprostowanie do rozporządzenia (UE) 2024/2847, Dz.U. L, 2025/90828, 17 października 2025: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=OJ:L_202590828
- Rozporządzenie (UE) 2025/327 (art. 104 zmienia art. 13 ust. 4 CRA): https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32025R0327
- Rozporządzenie wykonawcze Komisji (UE) 2025/2392 (opis techniczny produktów ważnych i krytycznych): https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32025R2392
- Komisja Europejska: wytyczne dotyczące wdrażania CRA, C(2026) 5252 z dnia 27 lipca 2026: https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- Komisja Europejska: normalizacja w zakresie CRA: https://digital-strategy.ec.europa.eu/en/policies/cra-standardisation
- ENISA: uruchomiono pojedynczą platformę sprawozdawczą CRA, 11 września 2026: https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
- BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji): komunikat prasowy o rozpoczęciu zgłoszeń CRA, 11 września 2026 (po niemiecku): https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260911_CRA_Meldepflicht_Schwachstellen.html
- Niemiecki projekt ustawy wdrażającej CRA, dokument Bundestagu 21/6134 z dnia 26 maja 2026 (po niemiecku): https://dserver.bundestag.de/btd/21/061/2106134.pdf
Zgodność maszyn z wymogami UE we własnym zakresie, w języku polskim
Ten przewodnik pochodzi od zespołu stojącego za CE-Copilot, platformą programową dla całego unijnego procesu CE maszyn: przypisanie dyrektyw, wyszukiwarka norm z 3600+ normami ze statusem harmonizacji, ocena ryzyka wg EN ISO 12100, dokumentacja bezpieczeństwa funkcjonalnego, sprawozdania z badań, dokumentacja techniczna, instrukcja obsługi i deklaracja zgodności UE z eksportem w języku angielskim, niemieckim, francuskim i włoskim. Platforma jest dostępna w języku polskim i angielskim; AI przygotowuje wersje robocze, Państwo sprawdzają i zatwierdzają.
Więcej poradników
Niniejszy poradnik zawiera ogólne informacje dla producentów maszyn, sprawdzone z oficjalnymi tekstami prawnymi UE według stanu na 15 września 2026. Nie stanowi porady prawnej. W sprawie decyzji dotyczących konkretnego produktu prosimy zapoznać się z tekstami prawnymi (EUR-Lex) lub skonsultować się z wykwalifikowanym doradcą.