Najpierw sytuacja, w której jest dziś większość producentów.
Firmware, aplikacja, łączność, chmura powiązana z urządzeniem — jeśli produkt ma cokolwiek cyfrowego, wchodzi pod Cyber Resilience Act. Problem w tym, że macie zespół, który produkt tworzy, ale nie macie procesu, który udowodni jego bezpieczeństwo: wykazu komponentów, monitoringu podatności, ścieżki zgłoszenia do organu. Gdy pojawi się luka, rusza zegar 24 godzin — a bez tego procesu nawet nie wiecie, czy Was dotyczy. Kończy się to karą, wstrzymaną sprzedażą albo klientem, który wybiera dostawcę mającego papiery w porządku.
Wbudowujemy techniczną warstwę zgodności z CRA w proces wytwórczy — zostaje działać, nie leży w segregatorze.
Zaczynamy od tego, co ma twardą datę i realną karę.
Najpierw ustalamy, które z Waszych produktów w ogóle podlegają CRA i jakie terminy je dotyczą — bez tego reszta to zgadywanie. Potem dajemy to, czego wymaga regulacja, ale w języku działania: pełną widoczność, co siedzi w produkcie, żeby po wykryciu luki wiedzieć w godziny, nie tygodnie, czy Was dotyczy; gotowy tryb zgłoszenia w wymaganym czasie; oraz dokumentację, którą organ nadzoru i klient przyjmą bez dyskusji. Zostaje u Was działający proces i dowody — nie prezentacja z rekomendacjami.
Ustalamy, które produkty podlegają CRA i w jakiej klasie ryzyka. Dostajecie jasną mapę: co, do kiedy i jakim nakładem.
Budujemy pełny wykaz tego, z czego zbudowany jest produkt (SBOM), i wpinamy ciągły monitoring. Bez tego nie da się dotrzymać zgłoszenia 24h.
Gdy coś się wydarzy, wiecie dokładnie co zrobić: gotowy tryb zgłoszeń w wymaganym czasie i polityka ujawniania. Przed 11.09.2026.
Składamy dokumentację techniczną i prowadzimy przez ocenę zgodności aż do oznakowania CE — z utrzymaniem przez cały okres wsparcia produktu.
Jeśli wprowadzasz na rynek UE produkt z elementami cyfrowymi — sprzęt z firmware, urządzenie łączone, aplikację, oprogramowanie — najprawdopodobniej tak. Dotyczy też producentów spoza UE, jeśli produkt trafia na rynek unijny. Na rozmowie ustalamy zakres dla Twoich produktów.
Raportowanie podatności i incydentów: od 11 września 2026 — zgłoszenie aktywnie wykorzystywanej podatności do ENISA w 24 godziny. Pełne wymogi, dokumentacja techniczna i oznakowanie CE: od 11 grudnia 2027.
Kary do 15 mln € lub 2,5% globalnego obrotu (w zależności od tego, co wyższe), oraz brak prawa do wprowadzenia produktu na rynek UE — realne wykluczenie sprzedaży.
Zależy od architektury. Czysta chmura bywa poza zakresem, ale oprogramowanie po stronie klienta, urządzenia łączone i przetwarzanie danych powiązane z produktem wciągają w zakres. To ustalamy w diagnozie.
Wpinamy się w to, co działa. CRA to nie jedno narzędzie, tylko proces: monitoring, raportowanie, dokumentacja i dowody. Uzupełniamy brakujące ogniwa, nie wymieniamy tego, co macie.
Wejście przez SBOM, monitoring i runbook raportowania zamyka się w tygodniach — to priorytet przed 11.09.2026. Pełną paczkę pod dokumentację i CE budujemy etapami do 2027.