# Normy mogą się przesunąć. Termin zgłoszeń — nie. > Projekt zmiany przesunąłby normy CRA dotyczące postępowania z podatnościami. Artykuł 14 się nie rusza — co zostawia producentów z obowiązkiem dokumentowania powinności, której miara wciąż jest w trakcie pisania. Source: https://counterproof.io/pl/notes/normy-moga-sie-przesunac-termin-zgloszen-nie/ · Published 14 August 2026 · CounterProof jest praktyką Clavestra Capital Limited (Malta, C 113987). W Cyber Resilience Act otwiera się szczelina i warto tu być precyzyjnym — bo precyzja jest w tym miejscu różnicą między planowaniem a nadzieją. ## Co jest ustalone Dwie daty w rozporządzeniu (UE) 2024/2847 wyznacza art. 71 i nie dotyka ich nic, co dzieje się w normalizacji: - **11 września 2026 r.** — zgłaszanie na mocy art. 14 aktywnie wykorzystywanych podatności i poważnych incydentów, do koordynującego CSIRT i ENISA. - **11 grudnia 2027 r.** — rozporządzenie stosuje się w pełni. Załącznik I wiąże, łącznie z częścią II pkt 3: producenci mają obowiązek *„przeprowadzania skutecznych i regularnych testów i przeglądów bezpieczeństwa produktu z elementami cyfrowymi"*. ## Co się rusza Normy zharmonizowane w ramach wniosku o normalizację M/606 Komisji (C(2025)618) to instrumenty, które powiedzą, czego *„skuteczne i regularne"* naprawdę wymaga. Projekt zmiany, który krążył w lipcu 2026 r., przesunąłby produkty dotyczące zarządzania podatnościami później, niż pierwotnie wnioskowano. Celowo nie drukujemy daty zastępczej. Na dzień tej notatki nie widzieliśmy przyjętej decyzji zmieniającej opublikowanej w Dzienniku Urzędowym, a strona normalizacyjna Komisji wciąż wskazuje C(2025)618. Propozycja to nie harmonogram — a podanie jej jako harmonogramu to ten rodzaj małego błędu, który kosztuje czytelnika zaufanie do wszystkiego wokół. ## Część, która nie zależy od daty Nawet gdy norma zostanie dostarczona, dostarczenie nie jest momentem rozstrzygającym. Na mocy **art. 27 ust. 1** norma zharmonizowana daje domniemanie zgodności dopiero wtedy, gdy jej odniesienie zostanie **opublikowane w Dzienniku Urzędowym Unii Europejskiej** — a to następuje po każdym terminie dostarczenia, z odstępem, którego nikt nie kontroluje. Kształt problemu jest więc stabilny niezależnie od tego, gdzie wylądują daty: > Producenci będą przez pewien czas dokumentować wywiązywanie się z obowiązku testowania, zanim > norma definiująca ten obowiązek będzie cytowalna. Akta budowane w tym odstępie nie mogą się oprzeć na zgodności z opublikowaną normą, bo nie ma jeszcze żadnej, z którą można być zgodnym. Muszą stać o własnych siłach — z możliwością prześledzenia do rewizji, uczciwe co do tego, co zbadano, a czego nie, i czytelne dla kogoś, kogo nie było w pokoju. ## Co byśmy naprawdę zrobili Nic dramatycznego. Trzy rzeczy, w kolejności taniości: 1. **Znajcie swoją klasyfikację.** Ścieżka zgodności nie zależy od wielkości firmy ani rozpowszechnienia — wynika z klasyfikacji załącznik III / załącznik IV, a odpowiedź zmienia, co jesteście winni. Produkty z załącznika III kwalifikujące się jako wolne i otwarte oprogramowanie mają własną ścieżkę na mocy art. 32 ust. 5, o ile dokumentacja techniczna jest publiczna; ten wyjątek nie sięga załącznika IV. 2. **Zacznijcie akta techniczne teraz, nie w 2027 r.** Załącznik VII pkt 6 wymaga *„sprawozdań z prób przeprowadzonych w celu weryfikacji zgodności produktu z elementami cyfrowymi oraz procedur postępowania w przypadku wykrycia podatności …"*. Takie sprawozdania powstają wydanie po wydaniu — albo są rekonstruowane z pamięci pod presją terminu. Pierwsze to dowód; drugie to opowieść. 3. **Trzymajcie regułę przechowywania dokładnie.** To **art. 13 ust. 13** — dokumentację techniczną i deklarację zgodności UE przechowuje się *„przez okres co najmniej 10 lat po wprowadzeniu produktu z elementami cyfrowymi do obrotu lub przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy"*. Przy infrastrukturze z długimi zobowiązaniami wsparcia zwykle to druga odnoga jest operacyjna — i to ją ludzie gubią. ## Korekty Jeśli jakakolwiek data lub odwołanie w tej notatce jest błędne, wolimy to usłyszeć, niż mieć publicznie rację. Napiszcie do nas, a poprawimy tutaj — w sposób widoczny, zamiast po cichu edytować oryginał. *Przepisy zweryfikowane względem rozporządzenia (UE) 2024/2847; polskie cytaty podążają za oficjalną polską wersją językową. Harmonogramy normalizacji się przesuwają; przed poleganiem na nich sprawdźcie aktualny harmonogram M/606. Nic tutaj nie stanowi porady prawnej.*