Słowo producent oznacza teraz Ciebie
Unijny Cyber Resilience Act wszedł w życie w grudniu 2024 roku, a jego definicja producenta jest szersza, niż zakłada większość zarządów. Obejmuje każdy produkt z elementami cyfrowymi wprowadzony na rynek europejski: podłączoną maszynę, sterownik przemysłowy, wyrób medyczny, gadżet konsumencki lub samodzielne oprogramowanie. Jeśli Twój produkt komunikuje się z siecią, podlega regulacji, a wraz z nim importerzy i dystrybutorzy, którzy wprowadzają go na rynek.
Dla family office lub właściciela z sektora Mittelstand kłopotliwą częścią jest przeklasyfikowanie. Firma, która budowała precyzyjne maszyny przez trzy pokolenia i nigdy nie nazywała siebie przedsiębiorstwem softwarowym, jest teraz regulowanym dostawcą oprogramowania w oczach prawa UE. Przepis sięga również poza Wspólnotę. Producent mający siedzibę gdziekolwiek na świecie, który sprzedaje na rynek europejski, ma takie same obowiązki jak ten z siedzibą we Frankfurcie.
Zegar 24 godzin, którego nie kontrolujesz
Pierwszy twardy termin jest bliski. Od 11 września 2026 roku aktywnie wykorzystywana podatność lub poważny incydent bezpieczeństwa uruchamia stałą kaskadę zgłoszeń przez jedną europejską platformę. Wczesne ostrzeżenie należy złożyć w ciągu 24 godzin, pełniejsze powiadomienie w ciągu 72 godzin, a raport końcowy w ciągu 14 dni od wydania poprawki lub obejścia. Zegar nie czeka na Twoją analizę prawną ani na plan komunikacji.
Właśnie to tempo jest szokiem operacyjnym. Okno 24 godzin otwiera się w najgorszym momencie incydentu, gdy informacja jest niepełna, a instynkt nakazuje milczeć, dopóki fakty nie są jasne. Akt odbiera tę możliwość. Organizacja, która nie potrafi wykryć, oszacować i zgłosić luki w ciągu doby, przekroczy termin nie dlatego, że brakuje jej dobrej woli, lecz dlatego, że nigdy nie zbudowała mechanizmu pozwalającego działać tak szybko.
Oznakowanie CE i kara skrojona pod Twój obrót
Szersze obowiązki wchodzą 11 grudnia 2027 roku. Od tej daty produkt z elementami cyfrowymi potrzebuje oznakowania CE, które poświadcza, że został zbudowany z bezpieczeństwem w fazie projektowania, jest dostarczany bez znanych możliwych do wykorzystania wad i będzie otrzymywał aktualizacje bezpieczeństwa przez określony okres wsparcia. Zgodność nie jest jednorazowym testem przed premierą, lecz obowiązkiem, który trwa przez cały wspierany okres życia każdego sprzedanego egzemplarza.
Egzekwowanie ma ciężar gatunkowy. Krajowe organy nadzoru rynku pilnują przepisów, a Niemcy już wydały pierwszy projekt ustawy wskazujący ich właściwy organ. Kary za niespełnienie podstawowych wymogów sięgają 15 milionów euro lub 2,5 procent globalnego rocznego obrotu, zależnie od tego, która kwota jest wyższa. Dla rentownego średniej wielkości producenta to właśnie liczba obrotu powinna skupić uwagę sali.
Czytaj dalej: Czy Twoja obrona cybernetyczna jest gotowa na ataki w tempie maszynowym? · Twoje szyfrowanie ma datę ważności