# Spełnij wymagania Cyber Resilience Act bez własnego zespołu bezpieczeństwa. Kernwatch utrzymuje aktualne SBOM-y, sprawdza Twoje komponenty pod kątem nowych podatności (codziennie w planach płatnych, co tydzień w planie Free) i prowadzi Cię przez zgłoszenia CRA: po 24 godzinach, po 72 godzinach i raport końcowy - tak, aby nawet mały zespół inżynierów spełniał wymagania. Source: https://kernwatch.com/pl/ · Ostatnia aktualizacja: 2026-10-17 ## Terminy już biegną - **11.09.2026** - Obowiązki zgłaszania obowiązują: Aktywnie wykorzystywane podatności i poważne incydenty trzeba zgłaszać przez jednolitą platformę zgłoszeń ENISA. - **11.12.2027** - Wszystkie wymagania CRA obowiązują: Produkty z elementami cyfrowymi potrzebują zgodności z CRA i oznakowania CE, aby trafić na rynek UE. - **Do 15 mln €** - lub 2,5 % światowego obrotu: Maksymalne kary za naruszenie zasadniczych wymagań cyberbezpieczeństwa i obowiązków producenta. ## Cyber Resilience Act i SBOM: krótkie odpowiedzi ### Czym jest Cyber Resilience Act i kogo dotyczy? Cyber Resilience Act (CRA, akt o cyberodporności) to rozporządzenie (UE) 2024/2847 - unijne przepisy o wymaganiach cyberbezpieczeństwa dla produktów z elementami cyfrowymi. Dotyczy sprzętu z oprogramowaniem i oprogramowania wprowadzanych na rynek UE, a jego obowiązki spoczywają przede wszystkim na producentach, niezależnie od ich wielkości. Sektory z własnymi przepisami, takie jak wyroby medyczne, pojazdy silnikowe i lotnictwo cywilne, są wyłączone, a czyste oprogramowanie jako usługa (SaaS) bez produktu zasadniczo mu nie podlega. Rozporządzenie weszło w życie 10 grudnia 2024 r. [Obowiązek zgłaszania w CRA - szczegóły](https://kernwatch.com/pl/zglaszanie-cra) Źródło: [Rozporządzenie (UE) 2024/2847, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj), [Cyber Resilience Act, Komisja Europejska](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act) ### Na czym polega obowiązek zgłaszania w CRA? Od 11 września 2026 r. producenci muszą zgłaszać każdą aktywnie wykorzystywaną podatność w swoim produkcie i każdy poważny incydent wpływający na jego bezpieczeństwo - także w przypadku produktów już obecnych na rynku. Wczesne ostrzeżenie trzeba wysłać w ciągu 24 godzin od uzyskania wiedzy, zgłoszenie w ciągu 72 godzin, a raport końcowy najpóźniej 14 dni po udostępnieniu poprawki (podatności) lub w ciągu miesiąca od zgłoszenia (incydenty). Zgłoszenia trafiają przez jednolitą platformę zgłoszeń ENISA do koordynującego CSIRT i do ENISA; platforma nie udostępnia producentom API, więc każde zgłoszenie składa się ręcznie w przeglądarce. [Zgłoszenia CRA: przesłanki, terminy, odbiorcy](https://kernwatch.com/pl/zglaszanie-cra) · [Proces zgłoszeń CRA](https://kernwatch.com/pl/samouczki#cra-reporting) Źródło: [Rozporządzenie (UE) 2024/2847, art. 14, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj), [ENISA](https://www.enisa.europa.eu/) ### Jak utworzyć SBOM? Generuj SBOM automatycznie w pipeline'ie budowania zamiast pisać go ręcznie. Użyj jednego z dwóch popularnych formatów nadających się do odczytu maszynowego, CycloneDX lub SPDX, i twórz jeden SBOM dla każdej wydanej wersji. Generatory są dostępne dla większości ekosystemów, na przykład Syft lub cdxgen dla kontenerów i systemów plików, wtyczki CycloneDX dla Maven, Gradle i npm oraz wyjście SPDX projektu Yocto dla wbudowanego Linuksa. 1. **Wybierz format.** CycloneDX lub SPDX - oba nadają się do odczytu maszynowego. 2. **Generuj w CI.** Uruchamiaj generator SBOM dla swojego ekosystemu przy każdym buildzie wydania. 3. **Przechowuj jeden SBOM na wydanie.** Zapisz go razem z wydaniem jako część dokumentacji technicznej. 4. **Sprawdzaj go w danych o podatnościach.** Kernwatch sprawdza komponenty z identyfikatorem pakietu (purl) codziennie w planach płatnych, co tydzień w planie Free. [SBOM a CRA](https://kernwatch.com/pl/sbom) · [Produkty, wydania i SBOM](https://kernwatch.com/pl/samouczki#products-and-sboms) · [Przesyłanie SBOM z CI kluczem API](https://kernwatch.com/pl/samouczki#ci-upload-api-keys) Źródło: [CycloneDX](https://cyclonedx.org/), [SPDX](https://spdx.dev/) ### Od kiedy SBOM jest obowiązkowy według CRA? SBOM należy do wymagań CRA stosowanych od 11 grudnia 2027 r.: od tego dnia produkty z elementami cyfrowymi potrzebują zgodności z CRA i oznakowania CE, aby trafić na rynek UE. Załącznik I wymaga SBOM w powszechnie stosowanym formacie nadającym się do odczytu maszynowego, obejmującego co najmniej zależności najwyższego poziomu. SBOM jest częścią dokumentacji technicznej - nie trzeba go publikować, ale organy nadzoru rynku mogą go zażądać. Ponieważ obowiązek zgłaszania obowiązuje od 11 września 2026 r., aktualny SBOM to także najszybszy sposób, by sprawdzić, czy wykorzystywana podatność dotyczy Twoich produktów. [Czego CRA wymaga od SBOM](https://kernwatch.com/pl/sbom) Źródło: [Rozporządzenie (UE) 2024/2847, załącznik I, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) ### Co robi narzędzie do zgłaszania podatności zgodnie z CRA? Zamienia wyniki monitoringu i terminy w zadania. W Kernwatch wynik z listy aktywnie wykorzystywanych podatności staje się zadaniem w skrzynce zadań: otwarcie sprawy zgłoszenia z terminem 24 godzin od uzyskania wiedzy, a wczesne ostrzeżenie, zgłoszenie i raport końcowy są przygotowywane z danych o produkcie, wydaniu i ocenie do Twojego zatwierdzenia. Zgłoszenie składasz samodzielnie na platformie ENISA i zapisujesz numer referencyjny; gdy nowsze wydanie nie zawiera już podatnej wersji, Kernwatch proponuje datę poprawki, od której biegnie 14-dniowy termin na raport końcowy. Zadania pojawiają się w każdym planie; zatwierdzanie spraw zgłoszeń i zgłoszeń wymaga planu Starter lub wyższego. [Plany i ceny](https://kernwatch.com/pl/cennik) · [Skrzynka zadań](https://kernwatch.com/pl/samouczki#action-inbox) ## Jak działa Kernwatch 1. **Zarejestruj produkty i wydania** - Każdą dostarczaną wersję wraz z okresem wsparcia - CRA w większości przypadków oczekuje aktualizacji bezpieczeństwa przez co najmniej pięć lat. 2. **Prześlij SBOM-y** - CycloneDX lub SPDX, przesłane ręcznie albo automatycznie z pipeline'u CI przy każdym wydaniu. 3. **Otrzymuj alerty** - Każdy komponent z identyfikatorem pakietu (purl) jest sprawdzany w OSV, na liście CISA znanych wykorzystywanych podatności i w unijnej bazie podatności: codziennie w planach płatnych, co tydzień w planie Free. 4. **Oceń i zgłoś** - Dokumentuj każdą decyzję (VEX). Gdy musisz zgłosić, Kernwatch uruchamia odliczanie, wstępnie wypełnia zgłoszenia oraz zbiera akceptacje i dowody. ## Twoja lista zadań CRA wypełnia się sama Kernwatch zamienia wyniki monitorowania, terminy zgłoszeń i nowe wydania w skrzynkę zadań. Każde zadanie ma gotową propozycję i jej uzasadnienie: sprawdzasz ją i zatwierdzasz jednym kliknięciem. Nic nie trafia do organu ani do Twoich użytkowników bez Twojej zgody. - **Propozycje oceny z uzasadnieniem** - Nowe wyniki przychodzą z proponowaną decyzją i jej powodem: niepodatny, gdy SBOM wskazuje, że komponent nie jest dostarczany (te można zatwierdzić zbiorczo), podatny, gdy podatność jest aktywnie wykorzystywana lub znana jest poprawiona wersja, w pozostałych przypadkach w trakcie analizy. - **Sprawa zgłoszenia, gdy wykorzystanie jest znane** - Wynik z listy aktywnie wykorzystywanych podatności staje się zadaniem otwarcia sprawy zgłoszenia CRA z terminem 24 godzin od uzyskania wiedzy o podatności. - **Zgłoszenia przygotowane do zatwierdzenia** - Wczesne ostrzeżenie, zgłoszenie i raport końcowy są przygotowywane na podstawie Twoich danych. Sprawdzasz je, w razie potrzeby poprawiasz i zatwierdzasz przed terminem. - **Pomoc w złożeniu do ENISA** - Po zatwierdzeniu kopiujesz tekst, otwierasz platformę zgłoszeń ENISA, składasz tam zgłoszenie i zapisujesz w Kernwatch otrzymany numer referencyjny. - **Wykrycie poprawki uruchamia termin raportu końcowego** - Gdy SBOM nowszego wydania nie zawiera już podatnej wersji, Kernwatch proponuje datę tego wydania jako datę środka naprawczego. Jej zatwierdzenie uruchamia 14-dniowy termin na raport końcowy. - **Użytkownicy informowani po Twoim zatwierdzeniu** - Jedno zatwierdzenie wysyła e-mailem powiadomienie do kontaktów klientów produktu i zapisuje je w rejestrze. W planie Professional publikuje też przygotowany biuletyn bezpieczeństwa. - **Przypomnienia porządkowe** - Wydania bez SBOM i okresy wsparcia kończące się w ciągu 30 dni - w planie Professional także deklaracja zgodności starsza niż najnowsze wydanie. - **Codzienne podsumowanie** - Każdy członek zespołu otrzymuje raz dziennie e-mail z zadaniami, które na niego czekają. Kernwatch nie może składać zgłoszeń za Ciebie: pojedyncza platforma zgłoszeń ENISA nie udostępnia producentom API. Kernwatch przygotowuje wszystko aż do przycisku wysyłania - zgłoszenie składasz w przeglądarce i zapisujesz numer referencyjny. Zadania pojawiają się w każdym planie; zatwierdzanie ocen, spraw zgłoszeń, zgłoszeń i powiadomień użytkowników wymaga planu Starter lub wyższego. Publikowane biuletyny i zgłoszenia z Twojej publicznej strony podatności należą do planu Professional. ## Wszystko, czego CRA wymaga od obsługi podatności - **Rejestr produktów i wydań** - Produkty, wersje i okresy wsparcia - podstawa dokumentacji CRA. - **Zarządzanie SBOM** - Import CycloneDX i SPDX, porównywanie wydań, zależności bezpośrednie i przechodnie oraz eksport na żądanie. - **Monitorowanie podatności** - Nowe biuletyny dopasowywane do Twoich komponentów z identyfikatorem pakietu (purl) - codziennie w planach płatnych, co tydzień w planie Free - z poziomem ważności, prawdopodobieństwem wykorzystania i oznaczeniem znanego wykorzystania. - **Ocena VEX** - Dotyczy, nie dotyczy (z uzasadnieniem) lub naprawione w wersji - decyzje, które obronią się przed organem lub klientem. - **Proces zgłoszeń CRA** - Wczesne ostrzeżenie po 24 h, zgłoszenie po 72 h i raport końcowy z przypomnieniami, gotowymi tekstami, akceptacjami i potwierdzeniem złożenia. - **Ujawnianie i dokumentacja** - Kanał zgłaszania podatności, security.txt, publikowane biuletyny i dokumentacja techniczna w jednym miejscu. - **Skrzynka zadań** - Zadania, które tworzą się same: propozycje oceny z uzasadnieniem, zgłoszenia przygotowane do zatwierdzenia, pomoc w złożeniu do ENISA, wykrywanie poprawek i powiadomienia użytkowników - każde zatwierdzasz jednym kliknięciem. ## Dlaczego nie wystarczy darmowy skaner? Skanery open source znajdują podatności - i warto z nich korzystać. CRA wymaga jednak więcej: udokumentowanej decyzji dla każdego wyniku, zgłoszeń w ciągu godzin, informacji dla użytkowników i dokumentacji przechowywanej latami. Kernwatch to właśnie ten proces - gotowy od pierwszego dnia, bez budowania i utrzymywania własnych narzędzi. ## Stworzony dla małych i średnich producentów Zespoły liczące od 20 do 250 osób, które dostarczają produkty z oprogramowaniem na rynek UE i nie mają własnego zespołu bezpieczeństwa produktu: - Maszyny i automatyka - Elektronika i urządzenia IoT - Sterowniki przemysłowe i bramy - Oprogramowanie wbudowane, desktopowe i instalowane ## Najczęstsze pytania ### Czy Kernwatch składa zgłoszenia do ENISA za mnie? Nie. Pojedyncza platforma zgłoszeń ENISA nie udostępnia producentom API, więc każde zgłoszenie składasz samodzielnie w przeglądarce. Kernwatch przygotowuje wszystko do tego momentu: tworzy projekty wczesnego ostrzeżenia, zgłoszenia i raportu końcowego, zbiera Twoje zatwierdzenie, pozwala skopiować tekst i otworzyć platformę oraz przechowuje zapisany numer referencyjny jako dowód. ### Kiedy możemy zacząć? Załóż konto na [stronie rejestracji](/pl/rejestracja) - plan bezpłatny nie wymaga karty kredytowej. Jeśli rejestracja jest wstrzymana, ta sama strona zapisze Cię na listę oczekujących, a my skontaktujemy się ze wszystkimi po kolei. ### Gdzie są przechowywane nasze dane? Kernwatch jest hostowany w Unii Europejskiej. Dane każdej firmy są przechowywane w jej własnym obszarze roboczym, oddzielone od danych innych klientów kontrolą dostępu przy każdym zapytaniu. ### Czy Kernwatch to porada prawna? Nie. Kernwatch to oprogramowanie, które porządkuje obsługę podatności i zgłoszeń. Twoje obowiązki zależą od Twoich produktów i warto potwierdzić je z doradcą.