KernwatchWczesny dostęp

Akt o cyberodporności UE (CRA)

Spełnij wymagania Cyber Resilience Act bez własnego zespołu bezpieczeństwa.

Kernwatch utrzymuje aktualne SBOM-y, sprawdza Twoje komponenty pod kątem nowych podatności (codziennie w planach płatnych, co tydzień w planie Free) i prowadzi Cię przez zgłoszenia CRA: po 24 godzinach, po 72 godzinach i raport końcowy - tak, aby nawet mały zespół inżynierów spełniał wymagania.

Zacznij za darmo → Sprawdź, czy CRA Cię dotyczy

Darmowy plan dla 1 produktu · Bez karty kredytowej

Dla producentów sprzętu z oprogramowaniem, urządzeń wbudowanych i oprogramowania sprzedawanego w UE.

Oparte na otwartych standardach
  • CycloneDX
  • SPDX
  • OSV
  • CSAF
  • VEX
  • Hosting w UE

Terminy już biegną

  1. 11.09.2026

    Obowiązki zgłaszania obowiązują

    Aktywnie wykorzystywane podatności i poważne incydenty trzeba zgłaszać przez jednolitą platformę zgłoszeń ENISA.

    36 dni od startu obowiązku zgłaszania CRA

  2. 11.12.2027

    Wszystkie wymagania CRA obowiązują

    Produkty z elementami cyfrowymi potrzebują zgodności z CRA i oznakowania CE, aby trafić na rynek UE.

    420 dni do pełnego stosowania wymagań CRA

  3. Do 15 mln €

    lub 2,5 % światowego obrotu

    Maksymalne kary za naruszenie zasadniczych wymagań cyberbezpieczeństwa i obowiązków producenta.

Cyber Resilience Act i SBOM: krótkie odpowiedzi

Najczęstsze pytania producentów o CRA - każde z odpowiedzią w kilku zdaniach i oficjalnym źródłem.

Czym jest Cyber Resilience Act i kogo dotyczy?

Cyber Resilience Act (CRA, akt o cyberodporności) to rozporządzenie (UE) 2024/2847 - unijne przepisy o wymaganiach cyberbezpieczeństwa dla produktów z elementami cyfrowymi. Dotyczy sprzętu z oprogramowaniem i oprogramowania wprowadzanych na rynek UE, a jego obowiązki spoczywają przede wszystkim na producentach, niezależnie od ich wielkości. Sektory z własnymi przepisami, takie jak wyroby medyczne, pojazdy silnikowe i lotnictwo cywilne, są wyłączone, a czyste oprogramowanie jako usługa (SaaS) bez produktu zasadniczo mu nie podlega. Rozporządzenie weszło w życie 10 grudnia 2024 r.

Obowiązek zgłaszania w CRA - szczegóły →

Źródło: Rozporządzenie (UE) 2024/2847, EUR-Lex, Cyber Resilience Act, Komisja Europejska

Na czym polega obowiązek zgłaszania w CRA?

Od 11 września 2026 r. producenci muszą zgłaszać każdą aktywnie wykorzystywaną podatność w swoim produkcie i każdy poważny incydent wpływający na jego bezpieczeństwo - także w przypadku produktów już obecnych na rynku. Wczesne ostrzeżenie trzeba wysłać w ciągu 24 godzin od uzyskania wiedzy, zgłoszenie w ciągu 72 godzin, a raport końcowy najpóźniej 14 dni po udostępnieniu poprawki (podatności) lub w ciągu miesiąca od zgłoszenia (incydenty). Zgłoszenia trafiają przez jednolitą platformę zgłoszeń ENISA do koordynującego CSIRT i do ENISA; platforma nie udostępnia producentom API, więc każde zgłoszenie składa się ręcznie w przeglądarce.

Zgłoszenia CRA: przesłanki, terminy, odbiorcy → Obejrzyj: Proces zgłoszeń CRA (4 min)

Źródło: Rozporządzenie (UE) 2024/2847, art. 14, EUR-Lex, ENISA

Jak utworzyć SBOM?

Generuj SBOM automatycznie w pipeline'ie budowania zamiast pisać go ręcznie. Użyj jednego z dwóch popularnych formatów nadających się do odczytu maszynowego, CycloneDX lub SPDX, i twórz jeden SBOM dla każdej wydanej wersji. Generatory są dostępne dla większości ekosystemów, na przykład Syft lub cdxgen dla kontenerów i systemów plików, wtyczki CycloneDX dla Maven, Gradle i npm oraz wyjście SPDX projektu Yocto dla wbudowanego Linuksa.

  1. Wybierz format. CycloneDX lub SPDX - oba nadają się do odczytu maszynowego.
  2. Generuj w CI. Uruchamiaj generator SBOM dla swojego ekosystemu przy każdym buildzie wydania.
  3. Przechowuj jeden SBOM na wydanie. Zapisz go razem z wydaniem jako część dokumentacji technicznej.
  4. Sprawdzaj go w danych o podatnościach. Kernwatch sprawdza komponenty z identyfikatorem pakietu (purl) codziennie w planach płatnych, co tydzień w planie Free.

SBOM a CRA → Obejrzyj: Produkty, wydania i SBOM (4 min) Obejrzyj: Przesyłanie SBOM z CI kluczem API (2 min)

Źródło: CycloneDX, SPDX

Od kiedy SBOM jest obowiązkowy według CRA?

SBOM należy do wymagań CRA stosowanych od 11 grudnia 2027 r.: od tego dnia produkty z elementami cyfrowymi potrzebują zgodności z CRA i oznakowania CE, aby trafić na rynek UE. Załącznik I wymaga SBOM w powszechnie stosowanym formacie nadającym się do odczytu maszynowego, obejmującego co najmniej zależności najwyższego poziomu. SBOM jest częścią dokumentacji technicznej - nie trzeba go publikować, ale organy nadzoru rynku mogą go zażądać. Ponieważ obowiązek zgłaszania obowiązuje od 11 września 2026 r., aktualny SBOM to także najszybszy sposób, by sprawdzić, czy wykorzystywana podatność dotyczy Twoich produktów.

Czego CRA wymaga od SBOM →

Źródło: Rozporządzenie (UE) 2024/2847, załącznik I, EUR-Lex

Co robi narzędzie do zgłaszania podatności zgodnie z CRA?

Zamienia wyniki monitoringu i terminy w zadania. W Kernwatch wynik z listy aktywnie wykorzystywanych podatności staje się zadaniem w skrzynce zadań: otwarcie sprawy zgłoszenia z terminem 24 godzin od uzyskania wiedzy, a wczesne ostrzeżenie, zgłoszenie i raport końcowy są przygotowywane z danych o produkcie, wydaniu i ocenie do Twojego zatwierdzenia. Zgłoszenie składasz samodzielnie na platformie ENISA i zapisujesz numer referencyjny; gdy nowsze wydanie nie zawiera już podatnej wersji, Kernwatch proponuje datę poprawki, od której biegnie 14-dniowy termin na raport końcowy. Zadania pojawiają się w każdym planie; zatwierdzanie spraw zgłoszeń i zgłoszeń wymaga planu Starter lub wyższego.

Plany i ceny → Obejrzyj: Skrzynka zadań (6 min)

Czy Twój produkt jest objęty CRA? Sprawdź w 4 kliknięciach

Cztery krótkie pytania. Wynik zobaczysz od razu - bez podawania e-maila.

  1. Czy sprzedajesz w UE sprzęt z oprogramowaniem lub firmware'em albo oprogramowanie?
  2. Czy Twój produkt może łączyć się z siecią, komputerem lub innym urządzeniem - także przez USB, Bluetooth lub magistralę polową?
  3. Czy masz aktualny wykaz komponentów oprogramowania (SBOM) dla każdej wciąż wspieranej wersji?
  4. Gdyby dziś w nocy ktoś aktywnie wykorzystał podatność w Twoim produkcie, czy zdołasz wysłać wczesne ostrzeżenie do ENISA w ciągu 24 godzin?

Szybka orientacja, nie porada prawna.

Jak działa Kernwatch

  1. 1

    Zarejestruj produkty i wydania

    Każdą dostarczaną wersję wraz z okresem wsparcia - CRA w większości przypadków oczekuje aktualizacji bezpieczeństwa przez co najmniej pięć lat.

  2. 2

    Prześlij SBOM-y

    CycloneDX lub SPDX, przesłane ręcznie albo automatycznie z pipeline'u CI przy każdym wydaniu.

  3. 3

    Otrzymuj alerty

    Każdy komponent z identyfikatorem pakietu (purl) jest sprawdzany w OSV, na liście CISA znanych wykorzystywanych podatności i w unijnej bazie podatności: codziennie w planach płatnych, co tydzień w planie Free.

  4. 4

    Oceń i zgłoś

    Dokumentuj każdą decyzję (VEX). Gdy musisz zgłosić, Kernwatch uruchamia odliczanie, wstępnie wypełnia zgłoszenia oraz zbiera akceptacje i dowody.

Twoja lista zadań CRA wypełnia się sama

Kernwatch zamienia wyniki monitorowania, terminy zgłoszeń i nowe wydania w skrzynkę zadań. Każde zadanie ma gotową propozycję i jej uzasadnienie: sprawdzasz ją i zatwierdzasz jednym kliknięciem. Nic nie trafia do organu ani do Twoich użytkowników bez Twojej zgody.

  • Propozycje oceny z uzasadnieniem

    Nowe wyniki przychodzą z proponowaną decyzją i jej powodem: niepodatny, gdy SBOM wskazuje, że komponent nie jest dostarczany (te można zatwierdzić zbiorczo), podatny, gdy podatność jest aktywnie wykorzystywana lub znana jest poprawiona wersja, w pozostałych przypadkach w trakcie analizy.

  • Sprawa zgłoszenia, gdy wykorzystanie jest znane

    Wynik z listy aktywnie wykorzystywanych podatności staje się zadaniem otwarcia sprawy zgłoszenia CRA z terminem 24 godzin od uzyskania wiedzy o podatności.

  • Zgłoszenia przygotowane do zatwierdzenia

    Wczesne ostrzeżenie, zgłoszenie i raport końcowy są przygotowywane na podstawie Twoich danych. Sprawdzasz je, w razie potrzeby poprawiasz i zatwierdzasz przed terminem.

  • Pomoc w złożeniu do ENISA

    Po zatwierdzeniu kopiujesz tekst, otwierasz platformę zgłoszeń ENISA, składasz tam zgłoszenie i zapisujesz w Kernwatch otrzymany numer referencyjny.

  • Wykrycie poprawki uruchamia termin raportu końcowego

    Gdy SBOM nowszego wydania nie zawiera już podatnej wersji, Kernwatch proponuje datę tego wydania jako datę środka naprawczego. Jej zatwierdzenie uruchamia 14-dniowy termin na raport końcowy.

  • Użytkownicy informowani po Twoim zatwierdzeniu

    Jedno zatwierdzenie wysyła e-mailem powiadomienie do kontaktów klientów produktu i zapisuje je w rejestrze. W planie Professional publikuje też przygotowany biuletyn bezpieczeństwa.

  • Przypomnienia porządkowe

    Wydania bez SBOM i okresy wsparcia kończące się w ciągu 30 dni - w planie Professional także deklaracja zgodności starsza niż najnowsze wydanie.

  • Codzienne podsumowanie

    Każdy członek zespołu otrzymuje raz dziennie e-mail z zadaniami, które na niego czekają.

Kernwatch nie może składać zgłoszeń za Ciebie: pojedyncza platforma zgłoszeń ENISA nie udostępnia producentom API. Kernwatch przygotowuje wszystko aż do przycisku wysyłania - zgłoszenie składasz w przeglądarce i zapisujesz numer referencyjny.

Zadania pojawiają się w każdym planie; zatwierdzanie ocen, spraw zgłoszeń, zgłoszeń i powiadomień użytkowników wymaga planu Starter lub wyższego. Publikowane biuletyny i zgłoszenia z Twojej publicznej strony podatności należą do planu Professional.

Obejrzyj: Skrzynka zadań (6 min)

Wszystko, czego CRA wymaga od obsługi podatności

Rejestr produktów i wydań

Produkty, wersje i okresy wsparcia - podstawa dokumentacji CRA.

Obejrzyj: Produkty, wydania i SBOM (4 min)

Zarządzanie SBOM

Import CycloneDX i SPDX, porównywanie wydań, zależności bezpośrednie i przechodnie oraz eksport na żądanie.

Obejrzyj: Ocena, porównanie wydań i eksport SBOM (3 min)

Monitorowanie podatności

Nowe biuletyny dopasowywane do Twoich komponentów z identyfikatorem pakietu (purl) - codziennie w planach płatnych, co tydzień w planie Free - z poziomem ważności, prawdopodobieństwem wykorzystania i oznaczeniem znanego wykorzystania.

Obejrzyj: Monitorowanie podatności i pulpit (3 min)

Ocena VEX

Dotyczy, nie dotyczy (z uzasadnieniem) lub naprawione w wersji - decyzje, które obronią się przed organem lub klientem.

Obejrzyj: Ocena, porównanie wydań i eksport SBOM (3 min)

Proces zgłoszeń CRA

Wczesne ostrzeżenie po 24 h, zgłoszenie po 72 h i raport końcowy z przypomnieniami, gotowymi tekstami, akceptacjami i potwierdzeniem złożenia.

Obejrzyj: Proces zgłoszeń CRA (4 min)

Ujawnianie i dokumentacja

Kanał zgłaszania podatności, security.txt, publikowane biuletyny i dokumentacja techniczna w jednym miejscu.

Obejrzyj: Zgłoszenia podatności, biuletyny i dokumentacja techniczna (4 min)

Skrzynka zadań

Zadania, które tworzą się same: propozycje oceny z uzasadnieniem, zgłoszenia przygotowane do zatwierdzenia, pomoc w złożeniu do ENISA, wykrywanie poprawek i powiadomienia użytkowników - każde zatwierdzasz jednym kliknięciem.

Obejrzyj: Skrzynka zadań (6 min)

Dlaczego nie wystarczy darmowy skaner?

Skanery open source znajdują podatności - i warto z nich korzystać. CRA wymaga jednak więcej: udokumentowanej decyzji dla każdego wyniku, zgłoszeń w ciągu godzin, informacji dla użytkowników i dokumentacji przechowywanej latami. Kernwatch to właśnie ten proces - gotowy od pierwszego dnia, bez budowania i utrzymywania własnych narzędzi.

Stworzony dla małych i średnich producentów

Zespoły liczące od 20 do 250 osób, które dostarczają produkty z oprogramowaniem na rynek UE i nie mają własnego zespołu bezpieczeństwa produktu:

  • Maszyny i automatyka
  • Elektronika i urządzenia IoT
  • Sterowniki przemysłowe i bramy
  • Oprogramowanie wbudowane, desktopowe i instalowane

Najczęstsze pytania

Czy Kernwatch składa zgłoszenia do ENISA za mnie?

Nie. Pojedyncza platforma zgłoszeń ENISA nie udostępnia producentom API, więc każde zgłoszenie składasz samodzielnie w przeglądarce. Kernwatch przygotowuje wszystko do tego momentu: tworzy projekty wczesnego ostrzeżenia, zgłoszenia i raportu końcowego, zbiera Twoje zatwierdzenie, pozwala skopiować tekst i otworzyć platformę oraz przechowuje zapisany numer referencyjny jako dowód.

Kiedy możemy zacząć?

Załóż konto na stronie rejestracji - plan bezpłatny nie wymaga karty kredytowej. Jeśli rejestracja jest wstrzymana, ta sama strona zapisze Cię na listę oczekujących, a my skontaktujemy się ze wszystkimi po kolei.

Gdzie są przechowywane nasze dane?

Kernwatch jest hostowany w Unii Europejskiej. Dane każdej firmy są przechowywane w jej własnym obszarze roboczym, oddzielone od danych innych klientów kontrolą dostępu przy każdym zapytaniu.

Czy Kernwatch to porada prawna?

Nie. Kernwatch to oprogramowanie, które porządkuje obsługę podatności i zgłoszeń. Twoje obowiązki zależą od Twoich produktów i warto potwierdzić je z doradcą.

Zarezerwuj darmowe konto Kernwatch

The free plan covers one product and needs no credit card. Paid plans add more products, users and the full reporting workflow - upgrade whenever you need it.

  • Darmowy plan dla 1 produktu
  • Bez karty kredytowej

36 dni od startu obowiązku zgłaszania CRA · 420 dni do pełnego stosowania wymagań CRA

Free plan · 1 product · no credit card

Zacznij za darmo →

Darmowy plan dla 1 produktu · Bez karty kredytowej