Za niespełna trzy miesiące zaczną obowiązywać pierwsze przepisy unijnego aktu w sprawie cyberodporności (Cyber Resilience Act – CRA). Te zapisy zmieniają reguły gry dla producentów sprzętu komputerowego i oprogramowania w Europie. Na debacie podczas CYBERSEC EXPO & FORUM 2026 eksperci nie pozostawili złudzeń: tanio już było.
Przepisy CRA jeszcze nie są stosowane, a ceny na rynku IT już rosną. Już 11 września tego roku wchodzi w życie obowiązek zgłaszania aktywnie wykorzystywanych podatności. Sztuczna inteligencja może tak szybko wyszukiwać luki w zabezpieczeniach, że masowy wysyp zgłoszeń wydaje się nieunikniony. Ceny komponentów objętych nowymi wymogami już idą w górę – wskazywano podczas sesji „Cyber Resilience Act i certyfikacja: nowe obowiązki, nowe standardy bezpieczeństwa produktów”.
CRA to brakujący element europejskiego systemu cyberbezpieczeństwa. Przez lata prawo nakładało wymagania na operatorów i podmioty kluczowe, podczas gdy producenci sprzętu często nie mieli żadnych obowiązków. Regulacja będzie w pełni stosowana od 11 grudnia 2027 roku. Nowe wymagania obejmą prawie wszystkie produkty z elementami cyfrowymi – oprogramowanie, sprzęt oraz rozwiązania IoT. Producent będzie musiał monitorować i usuwać luki przez cały okres użytkowania produktu.
Bezpieczeństwo kosztuje – i to będą wyższe rachunki
– Przychodzę do klienta i mówię: jestem bezpieczny. On odpowiada: ale to drożej kosztuje. Mamy alternatywę: albo będziemy bezpieczni, albo będziemy tani. Chyba nie chcemy, żeby nasze bezpieczeństwo było tanie – powiedział Andrzej Dulka, prezes zarządu Polskiej Izby Informatyki i Telekomunikacji. – Jeśli nam się wydawało, że bezpieczeństwo jest bezpłatne albo że odpowiada za nie rząd albo wielki brat nas ochroni, to chyba już zrozumieliśmy, że tak nie jest. Sami musimy zadbać o swoje bezpieczeństwo. A skoro tak, to my jako społeczeństwo musimy za to zapłacić.
Andrzej Bartosiewicz, założyciel i prezes Fundacji CISO #Poland, zwrócił uwagę, że rynek już reaguje na nadchodzące obowiązki. – Widzimy ruchy cenowe. Widzimy, że koszty komponentów, które podlegają pod CRA i które składają się na dalej wytwarzane produkty, mówię chociażby o sterownikach PLC, już rosną. Wiemy, że będą dość mocno drożały – powiedział Andrzej Bartosiewicz.
CRA dotyczy nie tylko przygotowania produktu do wprowadzenia na rynek, ale także tego, co się z nim dzieje przez kolejne lata. Mikołaj Śniatała, partner w Andersenie, przypomniał sprawę wygaszenia usług sieciowych pewnej marki głośników. – Wydarzyła się wielka awantura, ponieważ właściwie z dnia na dzień te usługi zostały wyłączone. Mieliśmy głośnik, ale już bez dostępu do streamingu, bez multiroomu – powiedział Mikołaj Śniatała. Stąd obowiązek transparentnej komunikacji: jak długo produkt będzie wspierany. Domyślny okres to pięć lat, w infrastrukturze krytycznej zwykle dłuższy.
System raportowania i certyfikacja – pierwsze wyzwania
Kinga Pawłowska-Nojszewska, radca prawny w Kancelarii Prawnej Media, poruszyła problem małego zainteresowania CRA wśród polskich przedsiębiorców. – Cały czas jesteśmy skupieni na NIS2 i nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Dopóki polski rząd nie zajmie się wdrażaniem CRA, czyli wyznaczeniem konkretnych organów odpowiedzialnych, dopóty zainteresowanie tym aktem wśród polskich przedsiębiorców może być mniejsze. Tylko podmioty naprawdę duże zaczęły się już w ogóle zastanawiać nad CRA – powiedziała Kinga Pawłowska-Nojszewska.
Krzysztof Silicki, dyrektor ds. strategicznego rozwoju cyberbezpieczeństwa w NASK i członek Rady Zarządzającej ENISA, uspokajał, że system raportowania podatności będzie gotowy na czas. W całej UE będzie do tego służyła jedna platforma sprawozdawcza, zarządzana przez ENISA. – Na początku nie spodziewam się wielkiej fali zgłoszeń, ale będzie ona rosła – powiedział Krzysztof Silicki. Dodał, że ograniczenie obowiązku raportowania do podatności aktywnie wykorzystywanych jest celowe. – Oczywiście dobrowolnie można i powinno się zgłaszać wszelkie podatności, ale wtedy prawdopodobnie mielibyśmy armagedon, zwłaszcza że modele AI będą wyszukiwać luki automatycznie i na masową skalę – ocenił.
Jarosław Homa, pełnomocnik rektora Politechniki Śląskiej ds. cyberbezpieczeństwa, podkreślał, że CRA to bardzo potrzebna regulacja. – Rozwiązania, które po 11 grudnia 2027 roku będą dopuszczone do eksploatacji, będą musiały być bezpieczne. Przestaniemy używać przypadkowych rozwiązań – powiedział Jarosław Homa. Porównał to do kupowania zabawek z certyfikatem CE. Przyznał jednak, że z perspektywy uczelni można zidentyfikować kilka problemów, np. konieczność wycofania systemów stworzonych przez studentów.
Aleksandra Wójtowicz, analityczka ds. nowych technologii w Polskim Instytucie Spraw Międzynarodowych, ripostowała na wątpliwości dotyczące długiego cyklu certyfikacji. – Przyjmuję, że to może trwać za długo. Ale pamiętajmy, że kiedy pierwszy cykl certyfikacji się pojawi, później będzie łatwiej. Dużo oprogramowania i produktów, na których bazują rozwiązania, jest takich samych – powiedziała Aleksandra Wójtowicz.
Krzysztof Silicki zwrócił uwagę, że nie każdy wymóg CRA oznacza wielkie koszty. Przykładem jest zakaz wprowadzania produktu z podatnością w konfiguracji. – Producenci IoT, sprzedając setki tysięcy urządzeń, wypuszczają produkt podłączony do internetu z domyślnym hasłem: admin, admin. Ile kosztuje producenta wprowadzenie procedury, która wymaga zmiany hasła przy pierwszym uruchomieniu? Śmiem twierdzić, że nie aż tak dużo – podsumował Krzysztof Silicki.
Źródło: WNP.PL, Fot. PTWP