Cyber Resilience Act staje się wyzwaniem dla MŚP
Cyber Resilience Act (CRA) obowiązuje od grudnia 2024 roku i stawia małe i średnie przedsiębiorstwa przed nowymi wyzwaniami. Od września 2026 roku zaczynają obowiązywać pierwsze obowiązki zgłoszeniowe, jednak państwowe wsparcie dla MŚP pozostaje ograniczone. Zrzeszenia takie jak TeleTrusT już krytykują, że przewidziana pomoc daleko odbiega od faktycznych potrzeb.
Inaczej niż przy innych regulacjach, takich jak NIS-2, w CRA nie ma wyjątków zależnych od wielkości. Wszyscy producenci, importerzy i dystrybutorzy produktów z elementami cyfrowymi – od oprogramowania przez sprzęt po urządzenia IoT – muszą wdrożyć kompleksowe środki cyberbezpieczeństwa. Kierownictwo ponosi przy tym osobistą odpowiedzialność w razie zdarzenia.
Wsparcie państwowe pozostaje niewystarczające
Aktualny projekt ustawy wykonawczej do CRA pokazuje skalę problemu: państwo planuje jedynie 1,28 miliona euro rocznie na wsparcie. Dla porównania: ustawa NIS2 przewidywała samo na szkolenia w administracji federalnej czterokrotność tej kwoty. Ta luka we wsparciu uwidacznia, że MŚP muszą wziąć wdrożenie we własne ręce.
Okno regulacyjne już się zamyka: przedsiębiorstwom pozostało tylko kilka miesięcy, zanim zaczną obowiązywać pierwsze twarde obowiązki. Kto nie będzie gotowy do września 2026 roku, ryzykuje poważne konsekwencje.
Pięć kroków do gotowości na CRA
Krok 1: wyjaśnić, czy przepisy nas dotyczą
Każdy produkt, który może połączyć się bezpośrednio lub pośrednio z urządzeniem albo siecią, podlega CRA. Dotyczy to zarówno urządzeń IoT, jak i czysto programowych produktów, niezależnie od tego, czy połączenie jest faktycznie nawiązywane. Nie są objęte rozwiązania SaaS i komponenty open source. Przedsiębiorstwa muszą najpierw przeprowadzić pełną inwentaryzację swoich produktów.
Krok 2: zbudować procesy zgłoszeniowe
Od 11 września 2026 roku aktywnie wykorzystywane podatności i poważne incydenty bezpieczeństwa muszą być zgłaszane. Harmonogram jest przy tym napięty:
- zgłoszenie wstępne w ciągu 24 godzin
- zgłoszenie następcze w ciągu 72 godzin
- raport końcowy najpóźniej 14 dni po udostępnieniu środka zaradczego
Przedsiębiorstwa, które nie mają jeszcze wewnętrznych procesów zarządzania podatnościami i reagowania na incydenty, muszą je teraz ustanowić – nie jako projekt IT, lecz jako temat operacyjny.
Krok 3: zakotwiczyć security by design
CRA wymaga, aby bezpieczeństwo było od początku częścią rozwoju produktu. Największe luki powstają tam, gdzie decyzje architektoniczne dotyczące uwierzytelniania, kontroli przepływu danych i wielomandantowości podejmowane są bez wyraźnej perspektywy bezpieczeństwa. MŚP nie muszą dążyć do doskonałego procesu, lecz opracować podejście możliwe do wykazania i udokumentowane.
Krok 4: zinwentaryzować łańcuch dostaw i zależności open source
Wiele produktów składa się dziś z kombinacji własnych opracowań, bibliotek open source, usług chmurowych i komponentów firm trzecich. CRA adresuje dokładnie te ryzyka: producenci ponoszą odpowiedzialność także za wbudowane komponenty stron trzecich. Software Bill of Materials (SBOM) – ustrukturyzowany przegląd wszystkich zastosowanych składników oprogramowania – jest centralnym narzędziem, aby stworzyć przejrzystość i pozostać zdolnym do działania w razie zdarzenia.
Krok 5: skorzystać z możliwości dofinansowania
UE udostępnia w ramach programu SECURE łącznie 16,5 miliona euro jako bezpośrednie wsparcie finansowe dla MŚP, które wytwarzają, rozwijają lub dystrybuują produkty z elementami cyfrowymi. Dofinansowaniu podlegają między innymi analizy ryzyka, testy penetracyjne i oceny bezpieczeństwa. Uprawnione do wniosku są przedsiębiorstwa zatrudniające mniej niż 250 pracowników i o rocznym obrocie do 50 milionów euro.
Postrzegać regulację jako przewagę konkurencyjną
Wymagania CRA otwierają także szanse strategiczne. Kto jest zgodny z CRA, staje się preferowanym partnerem w łańcuchach dostaw, w których zleceniodawcy będą w przyszłości musieli wymagać możliwych do wykazania standardów bezpieczeństwa. Odwrotnie – utrata zleceń grozi wszystkim, którzy nie zdołają ich spełnić.
Ari Albertini, CEO FTAPI, podkreśla: "Nowe regulacje zmuszają przedsiębiorstwa do strategicznego myślenia o cyberbezpieczeństwie. To moment, w którym rozstrzyga się, kto w najbliższych latach będzie jeszcze postrzegany jako wiarygodny partner technologiczny. MŚP, które działają teraz, kupują sobie przewagę, której inni nie zdołają już nadrobić."
Perspektywy: koniec ery dobrowolnego cyberbezpieczeństwa
CRA wyznacza koniec ery, w której cyberbezpieczeństwo było wyłącznie tematem dla specjalistów. BSI przejęło już kierowanie europejskim nadzorem rynku AdCo CRA, przy czym za to zadanie odpowiada Anna Schwendicke. Przedsiębiorstwa, które rozumieją bezpieczeństwo jako operacyjną i strategiczną oczywistość, chronią nie tylko swoje produkty, lecz zabezpieczają także swoją długofalową zdolność rynkową w regulowanej Europie.
Czas na działania dobrowolne dobiega końca. MŚP muszą działać teraz, aby do września 2026 roku zbudować niezbędną gotowość na CRA. Kto czeka, ryzykuje nie tylko problemy z compliance, lecz także utratę ważnych szans rynkowych w coraz bardziej świadomej bezpieczeństwa gospodarce cyfrowej.
