Oprogramowanie do aktu o cyberodporności dla maszyn: wdrażanie CRA w CE-Copilot

Opublikowano 17 września 2026Stan prawny na dzień 15 września 2026

Od 11 września 2026 r. producenci maszyn z połączeniem danych muszą zgłaszać aktywnie wykorzystywane podatności i poważne incydenty, także w odniesieniu do maszyn już wprowadzonych do obrotu, a od 11 grudnia 2027 r. w pełni obowiązuje akt o cyberodporności. Ten poradnik podsumowuje nowości, a następnie pokazuje, jak wykonać tę pracę w CE-Copilot: kroki, miejsce w aplikacji, wynik każdego z nich oraz to, co oprogramowanie świadomie pozostawia Państwu.

Nowości

Od 11 września 2026 r.

Obowiązki zgłoszeniowe na podstawie art. 14 CRA

Aktywnie wykorzystywane podatności i poważne incydenty mające wpływ na bezpieczeństwo produktu zgłasza się za pośrednictwem pojedynczej platformy sprawozdawczej (Single Reporting Platform) agencji ENISA do CSIRT wyznaczonego na koordynatora oraz do ENISA: wczesne ostrzeżenie w ciągu 24 godzin i zgłoszenie w ciągu 72 godzin od uzyskania o nich wiedzy, a następnie sprawozdanie końcowe. Dotyczy to także maszyn z połączeniem danych, które zostały już wprowadzone do obrotu (art. 69 ust. 3).

Od 20 stycznia 2027 r.

Zabezpieczenie przed uszkodzeniem według rozporządzenia w sprawie maszyn

Zgodnie z załącznikiem III pkt 1.1.9 i 1.2.1 rozporządzenia (UE) 2023/1230 podłączone urządzenia, dostęp zdalny oraz ingerencje w oprogramowanie i dane nie mogą prowadzić do sytuacji zagrożenia. CE-Copilot uwzględnia to w ocenie ryzyka według EN ISO 12100.

Do 10 grudnia 2027 r.

Cyberbezpieczeństwo urządzeń radiowych

Urządzenia radiowe objęte rozporządzeniem delegowanym (UE) 2022/30, które są wprowadzane do obrotu od 1 sierpnia 2025 r. do 10 grudnia 2027 r., muszą spełniać mające zastosowanie wymagania art. 3 ust. 3 lit. d), e) i f) dyrektywy w sprawie urządzeń radiowych. Norma EN 18031 daje domniemanie zgodności tylko w granicach decyzji wykonawczej (UE) 2025/138, na przykład nie wtedy, gdy użytkownicy mogą zdecydować się nie używać żadnego hasła. Rozporządzenie delegowane (UE) 2026/339 uchyla tę regułę ze skutkiem od 11 grudnia 2027 r.

Od 11 grudnia 2027 r.

Akt o cyberodporności obowiązuje w pełni

Dla maszyn wprowadzonych do obrotu od tej daty lub poddanych od tej daty istotnej modyfikacji: wymagania z załącznika I, ocena ryzyka w zakresie cyberbezpieczeństwa, okres wsparcia, ocena zgodności na podstawie art. 32, deklaracja zgodności UE i oznakowanie CE (art. 71 ust. 2, art. 69 ust. 2).

Zakres stosowania, klasyfikację, procedury i sankcje wraz ze wszystkimi odniesieniami do przepisów omówiono w poradniku Akt o cyberodporności dla maszyn; współdziałanie z rozporządzeniem w sprawie maszyn i dyrektywą w sprawie urządzeń radiowych wyjaśnia poradnik Cyberbezpieczeństwo maszyn.

Sześć kroków w CE-Copilot

1. Sprawdzić, czy CRA ma zastosowanie
Starter i wyższe plany
Wyszukiwarka norm i opis maszyny
Wyszukiwarka norm wskazuje CRA jako mający zastosowanie tylko wtedy, gdy opis wykazuje połączenie danych; stwierdzenia przeczące, takie jak „brak połączenia danych”, nie są brane pod uwagę, a bez dowodu CRA figuruje jako „DO SPRAWDZENIA” i pozostaje bez zaznaczenia. Dołączona jest uwaga o obowiązku zgłaszania.
2. Sklasyfikować i potwierdzić datę
Starter i wyższe plany
Ocena ryzyka, moduł Cyberbezpieczeństwo
Połączenie danych, wyłączenia na podstawie art. 2, podstawowa funkcjonalność i kategoria według załącznika III lub IV oraz potwierdzona data wprowadzenia do obrotu. Aplikacja wyprowadza z tego, jakie obowiązki mają zastosowanie, a gdy zaczynają obowiązywać główne obowiązki, także dopuszczalne procedury z art. 32.
3. Zarejestrować interfejsy i zasoby
Starter i wyższe plany
Ocena ryzyka, moduł Zabezpieczenie przed uszkodzeniem (od planu Professional także na stronie projektu)
Jeden wykaz zasila trzy oceny: zabezpieczenie przed uszkodzeniem według rozporządzenia w sprawie maszyn, cyberbezpieczeństwo urządzeń radiowych oraz CRA. Dla każdego interfejsu rejestruje się osiągalność, ochronę dostępu i ścieżkę aktualizacji.
4. Ocenić ryzyka i udokumentować wymagania
Professional i wyższe plany
Strona projektu Cyberbezpieczeństwo (CRA)
Zakres oceny, zagrożenia ze środkami i ryzykiem resztkowym, macierz wymagań z załącznika I części I i II, komponenty podmiotów trzecich, okres wsparcia, obsługa podatności z przechowywaniem SBOM oraz informacje dla użytkownika z załącznika II.
5. Skonfigurować zgłaszanie i prowadzić przypadki
Professional i wyższe plany
Strona projektu, sekcja zgłoszeń
CSIRT wyznaczony na koordynatora i dostępność oraz dla każdego przypadku moment uzyskania wiedzy, terminy z sygnalizacją świetlną i ostrzeżeniem z wyprzedzeniem, wzory tekstów zgodne z brzmieniem art. 14 oraz numer sprawy z platformy.
6. Wygenerować dowody i dokumenty
zależnie od modułu
Eksporty, deklaracja zgodności, instrukcja obsługi
Sprawozdanie CRA w PDF i Word, rozdział w pełnej dokumentacji, sekcja w dokumentacji technicznej, punkty kontrolne od C1 do C10, CRA jako akt prawny w deklaracji oraz rozdział o cyberbezpieczeństwie w instrukcji obsługi.

Funkcje w szczegółach

Funkcja

Stan obowiązków wynikający z potwierdzonej daty wprowadzenia do obrotu

Zaleta

Aplikacja stosuje art. 69 i 71 CRA jako stałe reguły: dla egzemplarzy wprowadzonych do obrotu przed 11 grudnia 2027 r. obowiązują tylko obowiązki zgłoszeniowe; dla egzemplarzy wprowadzonych do obrotu od tej daty lub poddanych od niej istotnej modyfikacji obowiązuje całe rozporządzenie. Data odczytana jedynie z opisu maszyny nie ma skutków prawnych, dopóki jej Państwo nie potwierdzą.

Korzyść dla Państwa

Strona projektu, sprawozdanie, pełna dokumentacja, deklaracja zgodności, sprawozdanie z badań i instrukcja obsługi mówią to samo. Maszynie wprowadzonej do obrotu przed 11 grudnia 2027 r. nie przypisuje się oceny zgodności według CRA; w przypadku późniejszej aplikacja pokazuje obowiązki z załącznika I.

Funkcja

Jeden wykaz dla rozporządzenia w sprawie maszyn, urządzeń radiowych i CRA

Zaleta

Interfejsy, takie jak magistrala polowa, OPC UA, zdalna konserwacja, USB lub łączność radiowa, oraz stojące za nimi zasoby rejestruje się raz. Ocena zabezpieczenia przed uszkodzeniem, lista kontrolna według EN 18031 i ocena ryzyka według CRA korzystają z tego samego wykazu.

Korzyść dla Państwa

Żadnych trzech list, które się rozjeżdżają. Nowy interfejs pojawia się we wszystkich ocenach, w których ma znaczenie.

Funkcja

Macierz wymagań z załącznika I z uzasadnieniem, wdrożeniem i dowodami

Zaleta

Dla części I pkt 2 lit. a)–m) rejestruje się, czy wymaganie ma zastosowanie na podstawie oceny ryzyka, a jeśli nie, z uzasadnieniem; pkt 1 oraz część II dotycząca obsługi podatności obowiązują zawsze. Dla każdego wymagania dokumentuje się wdrożenie i dowody.

Korzyść dla Państwa

Tego wymagają od dokumentacji technicznej art. 13 ust. 3 i 4 oraz załącznik VII. Stan każdej sekcji jest zawsze widoczny, a otwarte punkty pojawiają się jako uwagi w sprawozdaniu.

Funkcja

Przypadki zgłoszeń z art. 14 ze śledzeniem terminów i wzorami

Zaleta

Od momentu uzyskania wiedzy aplikacja oblicza wczesne ostrzeżenie (24 godziny), zgłoszenie (72 godziny) i sprawozdanie końcowe (w przypadku podatności najpóźniej 14 dni po udostępnieniu środka naprawczego lub łagodzącego, w przypadku incydentów w ciągu miesiąca od zgłoszenia) i oznacza je na stronie projektu jako „wkrótce wymagalne” przed upływem terminu. Dopóki wstępna ocena jest otwarta, aplikacja z ostrożności liczy terminy od zapisanego momentu uzyskania wiedzy. Zgłoszone przypadki pozostają w zapisie i nie można ich usunąć.

Korzyść dla Państwa

Gdy to ważne, liczy się każda godzina. Wzory odpowiadają brzmieniu art. 14: luki uzupełniają Państwo sami i przekazują zgłoszenie przez platformę ENISA.

Funkcja

Sprawozdanie CRA, rozdział pełnej dokumentacji i dokumentacja techniczna

Zaleta

Sprawozdanie CRA zbiera wszystkie sekcje strony projektu w PDF lub Word, z klauzulą poufności. W pełnej dokumentacji występuje jako rozdział bez przypadków zgłoszeń oraz bez ochrony dostępu i ścieżki aktualizacji poszczególnych interfejsów; dokumentacja techniczna otrzymuje sekcję dotyczącą załącznika VII.

Korzyść dla Państwa

Klienci i organy otrzymują tylko to, co ich dotyczy. Wewnętrznie zachowują Państwo pełne sprawozdanie ze wszystkimi przypadkami i terminami.

Funkcja

Spójne ze sobą deklaracja zgodności, sprawozdanie z badań i instrukcja obsługi

Zaleta

Deklaracja wymienia rozporządzenie dopiero wtedy, gdy klasyfikacja i data są potwierdzone, a główne obowiązki mają zastosowanie; pola procedury są wstępnie wypełnione. Sprawozdanie z badań oznacza punkty od C1 do C10 jako obowiązkowe zależnie od daty i wskazuje sprzeczne „nie dotyczy”. Instrukcja obsługi otrzymuje rozdział o cyberbezpieczeństwie z informacjami dla użytkownika, przedstawionymi jako informacje z załącznika II po potwierdzeniu klasyfikacji.

Korzyść dla Państwa

Rozporządzenie pojawia się w deklaracji dopiero wtedy, gdy dotyczy danego egzemplarza, a kontrola zgłasza brakujące dane. Informacje dla użytkownika prowadzą Państwo raz i znajdują je w sprawozdaniu oraz w instrukcji.

Co aplikacja pokazuje w zależności od daty wprowadzenia do obrotu

Potwierdzona data decyduje o tym, jakie obowiązki dotyczą danego egzemplarza. CE-Copilot wyprowadza z niej tę samą odpowiedź w każdym dokumencie:

Obszar	Data niepotwierdzona	Przed 11 grudnia 2027 r.	Od 11 grudnia 2027 r. lub istotna modyfikacja od tej daty
Obowiązki zgłoszeniowe z art. 14	mają zastosowanie do każdego objętego produktu	mają zastosowanie	mają zastosowanie
Deklaracja zgodności	CRA niezaznaczony, powód podany pod polami wyboru	brak deklaracji według CRA, powód podany pod polami wyboru	CRA zaznaczony (przy potwierdzonej klasyfikacji), pola procedury wstępnie wypełnione
Dokumentacja techniczna, sekcja załącznika VII	przygotowanie bez znaczników obowiązkowości	przygotowanie bez znaczników obowiązkowości	punkty obowiązkowe
Sprawozdanie z badań, punkty od C1 do C10	klasyfikacja i proces zgłaszania obowiązkowe, uwaga przy „nie dotyczy”	klasyfikacja i proces zgłaszania obowiązkowe	wszystkie dziesięć punktów obowiązkowych
Instrukcja obsługi, rozdział o cyberbezpieczeństwie	informacje producenta, bez obowiązkowej kontroli	informacje dobrowolne	reguła kontroli i ostrzeżenie przy eksporcie; informacje z załącznika II przy potwierdzonej klasyfikacji
Sprawozdanie CRA	ostrzeżenie „data niepotwierdzona”	uwaga o dobrowolnym przygotowaniu	pełne zastosowanie z procedurą z art. 32

Czego CE-Copilot świadomie nie robi

Nie przekazuje zgłoszeń do ENISA. Zgłoszenie przekazują Państwo przez pojedynczą platformę sprawozdawczą; CE-Copilot dostarcza terminy, wzory i ślad dowodowy.
Nie udziela porad prawnych ani nie zapewnia automatycznej zgodności. Klasyfikację, datę i ocenę potwierdzają Państwo; wdrożenie techniczne i zatwierdzenie pozostają po stronie producenta.
Nie może stworzyć domniemania zgodności: wymaga ono normy zharmonizowanej, wspólnej specyfikacji lub programu certyfikacji cyberbezpieczeństwa, a żadne z nich nie istnieje jeszcze w odniesieniu do CRA (źródła według stanu na 11 września 2026 r.); specyfikacje takie jak IEC 62443 należy zapisywać jako zastosowane specyfikacje.
Nie generuje SBOM. Ten wykaz pochodzi z Państwa narzędzi programistycznych; CE-Copilot go przechowuje.
Nie używa AI do rozstrzygania skutków prawnych. Daty graniczne, procedury i terminy to stałe reguły, a klasa wynika z kategorii, które Państwo zaznaczają.

Jak wygląda wynik

Przykładowa dokumentacja zrobotyzowanej celi spawalniczej ze zdalną konserwacją zawiera rozdział o cyberbezpieczeństwie (rozdział 7, s. 151–164), a przykładowa instrukcja obsługi zawiera rozdział o cyberbezpieczeństwie (rozdział 13, s. 119–123). Cela jest wprowadzana do obrotu przed 11 grudnia 2027 r., więc widać, jak aplikacja traktuje obowiązki zgłoszeniowe jako obowiązujące, a pozostałe sekcje jako przygotowanie. Plany wymieniono na stronie z cennikiem.

FAQ

Najczęściej zadawane pytania

Czy CE-Copilot przekazuje zgłoszenia do ENISA?

Nie. Zgłoszenia na podstawie art. 14 przekazuje się za pośrednictwem pojedynczej platformy sprawozdawczej ENISA do CSIRT wyznaczonego na koordynatora oraz do ENISA. CE-Copilot oblicza terminy od momentu uzyskania wiedzy, oznacza je na stronie projektu jako „wkrótce wymagalne” przed upływem terminu, udostępnia wzory tekstów zgodne z brzmieniem art. 14 oraz zapisuje czasy i numer sprawy jako dowód. Samo zgłoszenie przekazują Państwo na platformie.

Czy potrzebuję tego, jeśli moja maszyna zostanie wprowadzona do obrotu przed 11 grudnia 2027 r.?

W zakresie obowiązków zgłoszeniowych tak, jeśli maszyna ma połączenie danych: obowiązują od 11 września 2026 r., także w odniesieniu do maszyn wprowadzonych do obrotu przed 11 grudnia 2027 r. (art. 69 ust. 3 CRA). Zgodnie z wytycznymi Komisji C(2026) 5252 (treść zatwierdzona w dniu 27 lipca 2026 r., prawnie niewiążące) przypadków znanych już przed 11 września 2026 r. nie trzeba zgłaszać z mocą wsteczną. Klasyfikacja, proces zgłaszania i prowadzenie przypadków są więc przydatne już dziś. Pozostałe sekcje CE-Copilot przedstawia dla takich maszyn jako dobrowolne przygotowanie, dopóki istotna modyfikacja od 11 grudnia 2027 r. nie spowoduje, że zacznie obowiązywać całe rozporządzenie (art. 69 ust. 2). Jeśli seria jest kontynuowana po tej dacie, przygotowanie przenosi się na późniejsze egzemplarze.

Który plan obejmuje które funkcje CRA?

Klasyfikacja i stan obowiązków w edytorze oceny ryzyka, wykaz interfejsów, deklaracja zgodności i dokumentacja techniczna są dostępne od planu Starter. Strona projektu Cyberbezpieczeństwo z oceną ryzyka, macierzą wymagań, przypadkami zgłoszeń i sprawozdaniem CRA, a także sprawozdania z badań należą do planu Professional. Instrukcja obsługi to moduł dodatkowy od planu Professional, kupowany jednorazowo dla projektu.

Czy ocena ryzyka według CRA zastępuje ocenę ryzyka według EN ISO 12100?

Nie, obie funkcjonują obok siebie. Ocena ryzyka według EN ISO 12100 obejmuje zagrożenia dla osób, w tym zabezpieczenie przed uszkodzeniem według załącznika III pkt 1.1.9 rozporządzenia w sprawie maszyn. Ocena ryzyka w zakresie cyberbezpieczeństwa na podstawie art. 13 CRA dotyczy właściwości produktu w obliczu ataków i należy do dokumentacji technicznej jako odrębna część. W CE-Copilot obie opierają się na tym samym wykazie interfejsów.

Czy o klasyfikacji lub terminach decyduje AI?

Nie. Daty graniczne, procedury z art. 32 i terminy zgłoszeń to stałe reguły. Aplikacja wyprowadza klasyfikację z kategorii z załączników III i IV, które Państwo zaznaczają dla podstawowej funkcjonalności; staje się wiążąca dopiero po Państwa potwierdzeniu, podobnie jak data wprowadzenia do obrotu. Ustalenie podstawowej funkcjonalności pozostaje oceną producenta (art. 7 ust. 1 CRA).

Czy CE-Copilot generuje wykaz komponentów oprogramowania (SBOM)?

Nie. SBOM tworzą Państwo własnymi narzędziami programistycznymi; powszechnie stosowane formaty to CycloneDX i SPDX. CE-Copilot zapisuje plik w projekcie, rejestruje, czy i jak użytkownicy uzyskują do niego dostęp, oraz śledzi pozostałe wymagania dotyczące obsługi podatności z załącznika I części II. Akt wykonawczy dotyczący formatu (art. 13 ust. 24) nie został przyjęty do dnia opracowania tego poradnika.

Zgodność maszyn z wymogami UE we własnym zakresie, w języku polskim

Ten przewodnik pochodzi od zespołu stojącego za CE-Copilot, platformą programową dla całego unijnego procesu CE maszyn: przypisanie dyrektyw, wyszukiwarka norm z 3600+ normami ze statusem harmonizacji, ocena ryzyka wg EN ISO 12100, dokumentacja bezpieczeństwa funkcjonalnego, sprawozdania z badań, dokumentacja techniczna, instrukcja obsługi i deklaracja zgodności UE z eksportem w języku angielskim, niemieckim, francuskim i włoskim. Platforma jest dostępna w języku polskim i angielskim; AI przygotowuje wersje robocze, Państwo sprawdzają i zatwierdzają.

Wypróbuj teraz bezpłatnie przez 14 dni Zarezerwuj 30-minutowe demo Zobacz przykładową dokumentację CE

Więcej poradników

Akt o cyberodporności dla maszyn: obowiązki, terminy i zgłoszenia Cyberbezpieczeństwo maszyn: rozporządzenie w sprawie maszyn, RED i CRA razem Oprogramowanie do oceny ryzyka Oprogramowanie do instrukcji obsługi

Niniejszy poradnik zawiera ogólne informacje dla producentów maszyn, sprawdzone z oficjalnymi tekstami prawnymi UE według stanu na 15 września 2026. Nie stanowi porady prawnej. W sprawie decyzji dotyczących konkretnego produktu prosimy zapoznać się z tekstami prawnymi (EUR-Lex) lub skonsultować się z wykwalifikowanym doradcą.