# Obowiązek zgłaszania w CRA - wyjaśnienie

Od **11 września 2026 r.** każdy producent produktu z elementami cyfrowymi na rynku UE musi zgłaszać aktywnie wykorzystywane podatności i poważne incydenty - w ciągu godzin, a nie tygodni.

Source: https://kernwatch.com/pl/zglaszanie-cra · Ostatnia aktualizacja: 2026-10-17

## Najważniejsze fakty

- Cyber Resilience Act to rozporządzenie (UE) 2024/2847; weszło w życie 10 grudnia 2024 r.
- Obowiązki zgłaszania (art. 14) stosuje się od 11 września 2026 r., także do produktów już obecnych na rynku.
- Aktywnie wykorzystywana podatność: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, raport końcowy najpóźniej 14 dni po udostępnieniu poprawki.
- Poważny incydent: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, raport końcowy w ciągu miesiąca.
- Zgłoszenia trafiają przez jednolitą platformę zgłoszeń ENISA do koordynującego CSIRT i do ENISA.
- Pozostałe wymagania CRA stosuje się od 11 grudnia 2027 r.; kary sięgają 15 mln € lub 2,5 % światowego rocznego obrotu.

## Co uruchamia zgłoszenie

Artykuł 14 aktu o cyberodporności (rozporządzenie (UE) 2024/2847) wskazuje dwa zdarzenia:

- **Aktywnie wykorzystywana podatność** w Twoim produkcie - istnieją wiarygodne dowody, że ktoś ją wykorzystał.

- **Poważny incydent** wpływający na bezpieczeństwo produktu - na przykład taki, który narusza integralność mechanizmu aktualizacji lub danych przetwarzanych przez produkt.

Obowiązek dotyczy także produktów już obecnych na rynku i nie zależy od wielkości firmy.

## Terminy

|  | Aktywnie wykorzystywana podatność | Poważny incydent |
|---|---|---|

| Wczesne ostrzeżenie | w ciągu 24 godzin od powzięcia wiadomości | w ciągu 24 godzin od powzięcia wiadomości |

| Zgłoszenie | w ciągu 72 godzin od powzięcia wiadomości | w ciągu 72 godzin od powzięcia wiadomości |

| Raport końcowy | najpóźniej 14 dni po udostępnieniu środka naprawczego lub łagodzącego | w ciągu miesiąca od zgłoszenia |

Termin biegnie od chwili, gdy się dowiesz - dlatego tak ważne jest, by wiedzieć, co zawiera każde dostarczone wydanie.

## Kto otrzymuje zgłoszenia

Zgłoszenia składa się przez **jednolitą platformę zgłoszeń prowadzoną przez ENISA**, unijną agencję ds. cyberbezpieczeństwa. Trafiają one do CSIRT wyznaczonego jako koordynator w państwie członkowskim Twojej głównej siedziby oraz do ENISA. Musisz także poinformować **użytkowników, których to dotyczy**, o podatności lub incydencie i możliwych środkach zaradczych.

## Czego jeszcze wymaga CRA

- Aktualizacji bezpieczeństwa przez przewidywany okres użytkowania produktu - w większości przypadków co najmniej pięć lat.

- Polityki i punktu kontaktowego do skoordynowanego ujawniania podatności.

- Wykazu komponentów oprogramowania (SBOM) i udokumentowanej obsługi każdej podatności.

- Dokumentacji technicznej i deklaracji zgodności UE przechowywanych przez dziesięć lat.

Od **11 grudnia 2027 r.** obowiązują wszystkie wymagania, a produktów bez zgodności z CRA nie można wprowadzać na rynek UE.

## Jak pomaga Kernwatch

- Oznacza komponenty ze znanymi wykorzystywanymi podatnościami we wspieranych wydaniach i dodaje do skrzynki zadań zadanie otwarcia sprawy zgłoszenia.

- Otwiera sprawę z terminami 24 godzin, 72 godzin i raportu końcowego oraz w porę przypomina o nich właściwym osobom.

- Przygotowuje projekty wczesnego ostrzeżenia, zgłoszenia i raportu końcowego na podstawie danych o produkcie, wydaniu i ocenie - do sprawdzenia i zatwierdzenia.

- Pomaga złożyć zgłoszenie: skopiuj zatwierdzony tekst, otwórz platformę ENISA, złóż tam zgłoszenie i zapisz numer referencyjny oraz potwierdzenie w Kernwatch. Platforma ENISA nie udostępnia producentom API, więc Kernwatch nie może złożyć zgłoszenia za Ciebie.

- Wykrywa poprawkę: gdy nowsze wydanie nie zawiera już podatnej wersji, proponuje datę środka naprawczego, od której biegnie 14-dniowy termin na raport końcowy.

- Informuje użytkowników po Twoim zatwierdzeniu - e-mailem do kontaktów klientów produktu, a w planie Professional także opublikowanym biuletynem - i zapisuje, kto i kiedy został poinformowany.

## Oficjalne źródła

- [Rozporządzenie (UE) 2024/2847 (Cyber Resilience Act), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- [Cyber Resilience Act, Komisja Europejska](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- [ENISA - Agencja Unii Europejskiej ds. Cyberbezpieczeństwa](https://www.enisa.europa.eu/)

Ta strona streszcza rozporządzenie (UE) 2024/2847 w celach orientacyjnych i nie stanowi porady prawnej.