Akt o cyberodporności nie jest przepisem o ochronie danych osobowych, ale od 11 września 2026 r. zmienia sposób, w jaki administrator dowiaduje się o lukach w oprogramowaniu i sprzęcie, na których przetwarza dane. Producenci produktów z elementami cyfrowymi mają od tego dnia 24 godziny na wczesne ostrzeżenie i 72 godziny na zgłoszenie aktywnie wykorzystywanej podatności lub poważnego incydentu, a raport końcowy składają w ciągu 14 dni od udostępnienia poprawki (podatność) albo miesiąca od zgłoszenia (incydent). Zgłoszenie w trybie CRA nie zastępuje obowiązków z art. 33 i art. 34 RODO – oba reżimy stosuje się równolegle.
Spis treści
Akt o cyberodporności (CRA) - co obowiązuje od 11 września 2026 r.
Podstawą jest rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z 23 października 2024 r. w sprawie horyzontalnych wymogów cyberbezpieczeństwa produktów z elementami cyfrowymi (Cyber Resilience Act, CRA). Weszło w życie 10 grudnia 2024 r. i jest stosowane etapami:
od 11 czerwca 2026 r. – rozdział IV (art. 35-51), dotyczący organów notyfikujących i jednostek oceniających zgodność,
od 11 września 2026 r. – art. 14, czyli obowiązki zgłaszania podatności i incydentów,
od 11 grudnia 2027 r. – co do zasady pozostałe przepisy rozporządzenia (art. 71 ust. 2 CRA).
Obowiązki z art. 14 obejmują też produkty wprowadzone do obrotu przed 11 grudnia 2027 r. (art. 69 ust. 3 CRA), a więc oprogramowanie sprzedane kilka lat temu.
Jakie produkty obejmuje CRA
Produkt z elementami cyfrowymi to sprzęt i oprogramowanie, których przewidziane lub racjonalnie przewidywalne użycie obejmuje bezpośrednie lub pośrednie połączenie transmisji danych. UODO w komunikacie z 11 września 2026 r. wskazał jako przykłady aplikacje mobilne, urządzenia internetu rzeczy i systemy informatyczne instalowane na lokalnej infrastrukturze podmiotu – w typowej organizacji ten katalog pokrywa się z listą systemów przetwarzających dane osobowe.
Terminy z art. 14 CRA: 24 godziny, 72 godziny i raport końcowy
Art. 14 CRA obejmuje aktywnie wykorzystywane podatności zawarte w produkcie oraz poważne incydenty wpływające na bezpieczeństwo produktu. Terminy biegną od powzięcia przez producenta informacji o zdarzeniu: wczesne ostrzeżenie – bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin (art. 14 ust. 2 lit. a) i ust. 4 lit. a) CRA), zgłoszenie podatności lub incydentu – bez zbędnej zwłoki, najpóźniej w ciągu 72 godzin (art. 14 ust. 2 lit. b) i ust. 4 lit. b) CRA), raport końcowy – dla podatności najpóźniej w ciągu 14 dni od udostępnienia środka naprawczego lub łagodzącego (art. 14 ust. 2 lit. c) CRA), dla poważnego incydentu w ciągu miesiąca od przekazania zgłoszenia 72-godzinnego (art. 14 ust. 4 lit. c) CRA).
Producent informuje także użytkowników, na których podatność lub incydent ma wpływ, a w stosownych przypadkach wszystkich użytkowników – o zdarzeniu i, gdy to konieczne, o środkach ograniczających ryzyko i naprawczych (art. 14 ust. 8 CRA). Miarą „aktywnego wykorzystania” są wiarygodne dowody, że w systemie wykonano złośliwy kod bez zgody właściciela systemu (art. 3 pkt 42 CRA). Zgłoszenia trafiają jednocześnie do CSIRT wyznaczonego na koordynatora i do ENISA (art. 14 ust. 1 i 3 CRA), przez jednolitą platformę zgłoszeniową prowadzoną przez ENISA (art. 16 CRA), uruchomioną 11 września 2026 r. Ust. 7 reguluje jedynie, który CSIRT jest pierwszym odbiorcą (państwo głównej siedziby producenta).
Naruszenie obowiązków z art. 14 mieści się w najwyższym progu kar CRA – do 15 mln EUR lub 2,5% rocznego światowego obrotu (art. 64 ust. 2). Sam art. 64 jest jednak stosowany od 11 grudnia 2027 r., więc sankcje za uchybienia w okresie przejściowym zależą od przepisów krajowych. Mikroprzedsiębiorcy i mali przedsiębiorcy nie podlegają karom za uchybienie terminowi 24-godzinnemu (art. 64 ust. 10 CRA).
Akt o cyberodporności a RODO - dwa reżimy stosowane równolegle
CRA nie zawiera klauzuli wyłączającej stosowanie RODO, a motyw 32 CRA potwierdza, że rozporządzenie pozostaje bez uszczerbku dla przepisów o ochronie danych. Prezes UODO Mirosław Wróblewski ocenił nowe przepisy pozytywnie: wymuszają na producentach uwzględnianie bezpieczeństwa i ochrony danych już na etapie projektowania, a więc podejście, które RODO wyraża w art. 25.
Zgłoszenie z CRA nie zastępuje zgłoszenia z art. 33 RODO
Jeżeli producent w rozumieniu CRA jest jednocześnie podmiotem przetwarzającym na gruncie RODO, obowiązki informacyjne realizuje dwutorowo. Zgłoszenie podatności do CSIRT i ENISA nie wyłącza obowiązku z art. 33 ust. 2 RODO, czyli zawiadomienia administratora bez zbędnej zwłoki. Administrator zgłasza naruszenie Prezesowi UODO w terminie 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO). Odrębnie ocenia się, czy ryzyko jest wysokie – wtedy dochodzi zawiadomienie osób z art. 34 RODO.
Oba terminy 72-godzinne biegną niezależnie. Termin z CRA liczy się od powzięcia przez producenta informacji o podatności, termin z art. 33 RODO – od stwierdzenia naruszenia przez administratora, a więc dopiero wtedy, gdy komunikat dotrze do organizacji i zostanie prawidłowo zinterpretowany.
Poważny incydent w CRA to nie to samo co naruszenie ochrony danych
Zakresy pojęciowe obu regulacji rozchodzą się w kilku punktach istotnych przy kwalifikacji zdarzenia:
Przedmiot ochrony. Incydent jest w CRA poważny, gdy wpływa negatywnie na zdolność produktu do ochrony dostępności, autentyczności, integralności lub poufności wrażliwych albo ważnych danych lub funkcji, albo prowadzi do wprowadzenia lub wykonania złośliwego kodu w produkcie lub w systemach użytkownika (art. 14 ust. 5 CRA). RODO chroni wyłącznie dane osobowe.
Definicja zdarzenia. Naruszenie ochrony danych prowadzi do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych (art. 4 pkt 12 RODO). Podatność niewykorzystana wobec danych osobowych nie musi spełniać tej definicji.
Adresat i podmiot zobowiązany. W CRA zgłasza producent – do CSIRT i ENISA. W RODO zgłasza administrator – do Prezesa UODO oraz, przy wysokim ryzyku, do osób, których dane dotyczą; procesor zawiadamia administratora.
Co CRA zmienia w praktyce administratora danych
Cyber Resilience Act (CRA) nakłada na producentów nowe obowiązki informacyjne, które bezpośrednio wpływają na codzienne wykonywanie zadań przez administratorów danych osobowych.
Komunikat producenta uruchamia ocenę z art. 33 i art. 34 RODO
Informacja od dostawcy daje administratorowi bezpośrednią podstawę do oceny, czy doszło do naruszenia podlegającego zgłoszeniu. Dotąd organizacje korzystające z gotowych rozwiązań często nie dysponowały taką wiedzą lub otrzymywały ją z opóźnieniem.
Aby na podstawie zgłoszenia podjąć decyzję o incydencie, opis podatności trzeba zestawić z rejestrem czynności przetwarzania i mapą systemów – należy ustalić, czy dany komponent przetwarza dane osobowe, w jakim zakresie i czyje. W większości organizacji wiąże się to ze stałym zastosowaniem doradztwa RODO, a nie z jednorazową analizą na etapie wdrożenia.
Luka w RODO - producent poza rolą administratora i procesora
CRA przynosi największą zmianę tam, gdzie producent dostarcza oprogramowanie lub sprzęt (np. przy licencjach on-premise obsługiwanych lokalnie przez klienta), lecz nie występuje w roli administratora ani podmiotu przetwarzającego.
RODO nie nakłada wówczas na producenta obowiązków informacyjnych: brak umowy powierzenia wyklucza stosowanie art. 28 oraz art. 33 ust. 2 RODO. Choć to administrator odpowiada za bezpieczeństwo przetwarzania (art. 24 i art. 32 RODO), jego roszczenia wobec dostawcy ograniczała dotąd wyłącznie umowa handlowa. Art. 14 CRA znosi ten brak – obowiązek powiadamiania użytkowników wynika bezpośrednio z rozporządzenia i nie zależy od kwalifikacji producenta na gruncie RODO.
Jak przygotować organizację - lista kontrolna dla administratora i IOD
Wdrożenie nie wymaga nowej dokumentacji RODO, lecz korekt w istniejących procedurach:
Inwentaryzacja produktów cyfrowych – spisywanie oprogramowania i urządzeń wykorzystywanych do przetwarzania danych, z uwzględnieniem danych producenta oraz okresu wsparcia technicznego.
Wykaz kanałów odbioru komunikatów – wyznaczenie dedykowanego adresu do przyjmowania biuletynów bezpieczeństwa od producentów oraz przypisanie osoby odpowiedzialnej za ich weryfikację.
Integracja z procedurą obsługi naruszeń – powiązanie powiadomień o podatnościach z procesem oceny ryzyka (art. 33 RODO), aby alerty od producentów trafiały od razu do zespołu RODO, zamiast zalegać w dziale IT.
Rozbudowa rejestru naruszeń (art. 33 ust. 5 RODO) – pisemne dokumentowanie każdego zgłoszonego incydentu wraz z uzasadnieniem decyzji o zgłoszeniu naruszenia do Prezesa UODO albo o odstąpieniu od zgłoszenia.
Weryfikacja umów powierzenia – dostosowanie terminów powiadamiania o incydentach; ogólny zapis o informowaniu „niezwłocznie” często uniemożliwia dotrzymanie sztywnego terminu 72 godzin wynikającego z RODO.
Biuletyn bezpieczeństwa trafia w pierwszej kolejności do działu IT, a nie do inspektora ochrony danych (IOD). Z tego względu to zespół techniczny musi powiązać komunikat o podatności z rozpoczęciem biegu 72-godzinnego terminu z art. 33 RODO. Warto uczynić z tej procedury praktyczny moduł szkolenia RODO dla osób obsługujących infrastrukturę – przekłada to prawny obowiązek zgłoszeniowy na codzienne, powtarzalne działanie operacyjne.
Najczęstsze błędy w rozumieniu relacji CRA i RODO
Traktowanie zgłoszenia z CRA jako zwolnienia z obowiązków RODO. Zgłoszenie do CSIRT i ENISA nie zastępuje zawiadomienia administratora przez procesora ani zgłoszenia do Prezesa UODO.
Automatyczne zrównywanie podatności z naruszeniem – albo odwrotnie. Kwalifikacja wymaga odniesienia do art. 4 pkt 12 RODO. Motyw 68 CRA opisuje aktywnie wykorzystywaną podatność jako sytuację, w której producent ustalił, że doszło do naruszenia bezpieczeństwa użytkowników wskutek działania złośliwego podmiotu. Jeżeli taki system przetwarza dane osobowe, w praktyce trzeba założyć, że doszło do nieuprawnionego dostępu, chyba że producent lub analiza własna to wykluczy.
Pomijanie sankcji za spóźnione zgłoszenie. Naruszenie obowiązków z art. 33 i art. 34 RODO mieści się w progu kar z art. 83 ust. 4 lit. a) RODO – do 10 mln EUR lub 2% rocznego światowego obrotu.
Podsumowanie
Relacja pomiędzy aktem o cyberodporności a RODO nie polega na zastępowaniu jednego reżimu drugim, lecz na ich równoległym stosowaniu. CRA poprawia dopływ informacji o bezpieczeństwie produktów cyfrowych także tam, gdzie RODO nie daje administratorowi narzędzi, ale decyzja o zgłoszeniu naruszenia pozostaje po jego stronie. Doświadczenia z wdrożeń prowadzonych przez Ratio-Go pokazują, że najsłabszym ogniwem nie jest termin, lecz droga informacji od dostawcy do osoby oceniającej naruszenie.
