W Cyber Resilience Act otwiera się szczelina i warto tu być precyzyjnym — bo precyzja jest w tym miejscu różnicą między planowaniem a nadzieją.
Co jest ustalone
Dwie daty w rozporządzeniu (UE) 2024/2847 wyznacza art. 71 i nie dotyka ich nic, co dzieje się w normalizacji:
- 11 września 2026 r. — zgłaszanie na mocy art. 14 aktywnie wykorzystywanych podatności i poważnych incydentów, do koordynującego CSIRT i ENISA.
- 11 grudnia 2027 r. — rozporządzenie stosuje się w pełni. Załącznik I wiąże, łącznie z częścią II pkt 3: producenci mają obowiązek „przeprowadzania skutecznych i regularnych testów i przeglądów bezpieczeństwa produktu z elementami cyfrowymi".
Co się rusza
Normy zharmonizowane w ramach wniosku o normalizację M/606 Komisji (C(2025)618) to instrumenty, które powiedzą, czego „skuteczne i regularne" naprawdę wymaga. Projekt zmiany, który krążył w lipcu 2026 r., przesunąłby produkty dotyczące zarządzania podatnościami później, niż pierwotnie wnioskowano.
Celowo nie drukujemy daty zastępczej. Na dzień tej notatki nie widzieliśmy przyjętej decyzji zmieniającej opublikowanej w Dzienniku Urzędowym, a strona normalizacyjna Komisji wciąż wskazuje C(2025)618. Propozycja to nie harmonogram — a podanie jej jako harmonogramu to ten rodzaj małego błędu, który kosztuje czytelnika zaufanie do wszystkiego wokół.
Część, która nie zależy od daty
Nawet gdy norma zostanie dostarczona, dostarczenie nie jest momentem rozstrzygającym. Na mocy art. 27 ust. 1 norma zharmonizowana daje domniemanie zgodności dopiero wtedy, gdy jej odniesienie zostanie opublikowane w Dzienniku Urzędowym Unii Europejskiej — a to następuje po każdym terminie dostarczenia, z odstępem, którego nikt nie kontroluje.
Kształt problemu jest więc stabilny niezależnie od tego, gdzie wylądują daty:
Producenci będą przez pewien czas dokumentować wywiązywanie się z obowiązku testowania, zanim norma definiująca ten obowiązek będzie cytowalna.
Akta budowane w tym odstępie nie mogą się oprzeć na zgodności z opublikowaną normą, bo nie ma jeszcze żadnej, z którą można być zgodnym. Muszą stać o własnych siłach — z możliwością prześledzenia do rewizji, uczciwe co do tego, co zbadano, a czego nie, i czytelne dla kogoś, kogo nie było w pokoju.
Co byśmy naprawdę zrobili
Nic dramatycznego. Trzy rzeczy, w kolejności taniości:
- Znajcie swoją klasyfikację. Ścieżka zgodności nie zależy od wielkości firmy ani rozpowszechnienia — wynika z klasyfikacji załącznik III / załącznik IV, a odpowiedź zmienia, co jesteście winni. Produkty z załącznika III kwalifikujące się jako wolne i otwarte oprogramowanie mają własną ścieżkę na mocy art. 32 ust. 5, o ile dokumentacja techniczna jest publiczna; ten wyjątek nie sięga załącznika IV.
- Zacznijcie akta techniczne teraz, nie w 2027 r. Załącznik VII pkt 6 wymaga „sprawozdań z prób przeprowadzonych w celu weryfikacji zgodności produktu z elementami cyfrowymi oraz procedur postępowania w przypadku wykrycia podatności …". Takie sprawozdania powstają wydanie po wydaniu — albo są rekonstruowane z pamięci pod presją terminu. Pierwsze to dowód; drugie to opowieść.
- Trzymajcie regułę przechowywania dokładnie. To art. 13 ust. 13 — dokumentację techniczną i deklarację zgodności UE przechowuje się „przez okres co najmniej 10 lat po wprowadzeniu produktu z elementami cyfrowymi do obrotu lub przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy". Przy infrastrukturze z długimi zobowiązaniami wsparcia zwykle to druga odnoga jest operacyjna — i to ją ludzie gubią.
Korekty
Jeśli jakakolwiek data lub odwołanie w tej notatce jest błędne, wolimy to usłyszeć, niż mieć publicznie rację. Napiszcie do nas, a poprawimy tutaj — w sposób widoczny, zamiast po cichu edytować oryginał.
Przepisy zweryfikowane względem rozporządzenia (UE) 2024/2847; polskie cytaty podążają za oficjalną polską wersją językową. Harmonogramy normalizacji się przesuwają; przed poleganiem na nich sprawdźcie aktualny harmonogram M/606. Nic tutaj nie stanowi porady prawnej.