CRA dla niemieckich producentów: BSI, CERT-Bund i CE

Niemieccy producenci podlegają tym samym obowiązkom CRA co wszyscy inni producenci w UE. To, co jest specyficzne dla Niemiec, to łańcuch instytucjonalny. Niemcy zbudowały go wokół jednego podmiotu. BSI ma pełnić zarazem funkcję organu nadzoru rynku i organu notyfikującego w ramach CRA. Jeden podmiot, dwie role, podczas gdy Francja i Hiszpania powierzyły je odrębnym agencjom. To jest profil kraju dla Niemiec. Pełny zestaw obowiązków producenta omawia przewodnik klastra dla producentów.

BSI łączy nadzór rynku z notyfikacją

To właśnie wyróżnia Niemcy. Projekt ustawy wykonawczej do CRA wyznacza BSI jako Marktüberwachungsbehörde (organ nadzoru rynku) i notifizierende Behörde (organ notyfikujący) w jednym akcie. Organ notyfikujący decyduje, które jednostki oceny zgodności uzyskają status jednostek notyfikowanych. Organ nadzoru rynku kontroluje produkty już wprowadzone do obrotu. W Niemczech obie funkcje skupione są w BSI.

Część państw członkowskich przyjęła analogiczne rozwiązanie. Inne podzieliły te dwie role między osobne agencje.

Wyznaczone lub przewidywane organy krajowe. Kilka z nich wciąż oczekuje na wydanie końcowych krajowych aktów prawnych.

Podstawą prawną jest Gesetz zur Durchführung der Cyberresilienz-Verordnung, ustawa wykonawcza do CRA, nowelizująca ustawę o BSI (BSI-Gesetz). Jest to rządowy projekt ustawy (Gesetzentwurf der Bundesregierung), opublikowany jako druk Bundestagu BT-Drs. 21/6134.

Jako wyznaczony organ nadzoru rynku BSI dysponowałby uprawnieniami egzekucyjnymi przewidzianymi w CRA. Może wymagać działań naprawczych, ograniczyć produkt, wycofać go z obrotu lub zarządzić akcję odzyskania produktu od użytkowników, a za najpoważniejsze naruszenia nakładać kary do 15 milionów euro lub 2,5% całkowitego rocznego światowego obrotu. Pełna struktura poziomów kar omówiona jest w przewodniku o karach i egzekwowaniu.

Jeśli projekt ustawy zostanie uchwalony w obecnym kształcie, jedna agencja będzie wydawać niemieckie wytyczne interpretacyjne, decydować o tym, kto może certyfikować, oraz prowadzić nadzór. Ta koncentracja ról jest warta uwzględnienia w planowaniu. BSI jest punktem odniesienia na niemal każdym etapie procesu. Agencja publikuje wytyczne CRA, materiały informacyjne dla producentów i centrum pomocy dla MŚP na swojej oficjalnej stronie poświęconej CRA.

CERT-Bund: niemiecka ścieżka zgłaszania

Zgłoszenia CRA trafiają do CSIRT wyznaczonego jako koordynator w państwie członkowskim, w którym producent ma główną siedzibę, czyli miejscu, w którym podejmowane są kluczowe decyzje z zakresu cyberbezpieczeństwa, a nie jedynie biuro sprzedaży. Dla producenta z siedzibą w Niemczech operacyjnym punktem kontaktowym jest CERT-Bund, krajowy CERT w strukturach BSI. Formalne wyznaczenie koordynatora jest publikowane przez ENISA, dlatego przed pierwszym zgłoszeniem warto to potwierdzić, a nie zakładać z góry. Jeśli główna siedziba producenta mieści się w innym państwie członkowskim, a produkty są jedynie sprzedawane w Niemczech, zgłoszenia trafiają przez CSIRT tego państwa, nie przez CERT-Bund. Obowiązki w zakresie języka opisane poniżej dotyczą jednak wszystkiego, co jest wprowadzane na rynek niemiecki.

CRA dzieli zgłaszanie na dwa strumienie z różnymi terminami. Aktywnie wykorzystywana podatność wymaga wczesnego ostrzeżenia w ciągu 24 godzin, powiadomienia o podatności w ciągu 72 godzin oraz raportu końcowego nie później niż 14 dni od udostępnienia środka naprawczego lub ograniczającego. Poważny incydent wymaga wczesnego ostrzeżenia w ciągu 24 godzin, powiadomienia o incydencie w ciągu 72 godzin oraz raportu końcowego w terminie jednego miesiąca od powiadomienia o incydencie. Termin 14 dni i termin jednego miesiąca nie są wymienne. Oba strumienie omawia szczegółowo przewodnik dotyczący obsługi podatności i zgłaszania.

Zgłoszeń dokonuje się przez jedną platformę zgłoszeniową ENISA, która stanie się operacyjna 11 września 2026 r., z CERT-Bund jako koordynatorem odbierającym zgłoszenia i ENISA dostępną równocześnie. Rejestrację w platformie opisuje przewodnik wdrożeniowy platformy ENISA SRP. Aktualne dane kontaktowe do zgłoszeń są dostępne na stronie CERT-Bund.

Jednostki notyfikowane: DAkkS akredytuje, BSI notyfikuje

Jednostka notyfikowana jest wymagana tylko w przypadku niektórych produktów, przede wszystkim należących do klas Ważnych i Krytycznych, i tylko wtedy, gdy normy zharmonizowane lub system certyfikacji nie obejmują danego produktu. Przewodnik dotyczący oceny zgodności mapuje klasę produktu na właściwą ścieżkę.

Niemcy stosują dwuetapowy łańcuch:

• DAkkS (Deutsche Akkreditierungsstelle) jest krajową jednostką akredytującą. Ocenia kompetencje techniczne kandydujących jednostek oceny zgodności na podstawie rozporządzenia (WE) nr 765/2008.
• BSI następnie notyfikuje akredytowaną jednostkę Komisji Europejskiej, po czym pojawia się ona w NANDO jako jednostka notyfikowana CRA.

Jest jeszcze jeden specyficznie niemiecki skrót proceduralny, który warto znać. Projekt nowelizacji ustawy o BSI, opisany w BT-Drs. 21/6134, pozwala BSI notyfikować jednostkę bez certyfikatu akredytacji w ściśle określonych przypadkach interesu publicznego. Projekt powiązuje to z samym celem rozporządzenia: państwa członkowskie powinny dążyć do posiadania wystarczającej liczby jednostek notyfikowanych do 11 grudnia 2026 r., by uniknąć wąskich gardeł. Wyjątek istnieje, bo zwykła ścieżka akredytacji może nie zdążyć zapewnić wystarczającej liczby jednostek w czasie. To sygnał: Niemcy spodziewają się, że przepustowość jednostek notyfikowanych będzie ograniczona.

Problem z przepustowością jest realny i dotyczy całej UE. Unijny system jednostek notyfikowanych w ramach CRA stosuje się od 11 czerwca 2026 r. Na tę datę NANDO nie odnotowuje żadnych jednostek notyfikowanych wyznaczonych na podstawie CRA w całej Unii. Nie należy wskazywać żadnej niemieckiej jednostki jako wyznaczonej w ramach CRA, dopóki nie pojawi się ona w NANDO. Niemieccy producenci mogą korzystać z dowolnej jednostki notyfikowanej z UE, gdy wyznaczenia zaczną się pojawiać, nie tylko z jednostki niemieckiej. Wybór jednostki niemieckiej jest preferencją zakupową, a nie wymogiem CRA.

BSI TR-03183: dlaczego pojawia się w niemieckich przetargach

BSI publikuje wytyczną techniczną BSI TR-03183, obejmującą wymagania dla producentów i produktów, specyfikację wykazu komponentów oprogramowania (SBOM) oraz zgłaszanie podatności. To tymczasowa wytyczna techniczna, a nie norma zharmonizowana, i sama w sobie nie daje domniemania zgodności, jakie daje norma zharmonizowana.

W Niemczech ma jednak praktyczne znaczenie. BSI ma być organem nadzoru rynku, jest już poważnym punktem odniesienia w zamówieniach publicznych i przemysłowych, dlatego niemieccy nabywcy będą zapewne powoływać się na TR-03183 jako wytyczną techniczną BSI zorientowaną na CRA. Warto traktować ją jako punkt odniesienia, po który sięgną niemieccy kontrahenci, i jako rozsądny cel wewnętrzny na czas, gdy normy zharmonizowane są jeszcze opracowywane. Przewodnik dotyczący BSI TR-03183 omawia szczegółowo wymagane pola danych i poziomy jakości.

Wymagania językowe w praktyce

CRA wiąże wymogi językowe z odbiorcami, nie z ogólną zasadą. Informacje przeznaczone dla użytkownika muszą być w języku łatwo zrozumiałym przez użytkowników i organ nadzoru rynku. Dla produktów wprowadzanych na rynek niemiecki jest to język niemiecki.

Wymagane po niemiecku:

• Informacje i instrukcje dla użytkownika dołączone do produktu.
• Dane kontaktowe producenta wszędzie, gdzie są podane: na produkcie, opakowaniu lub w dokumencie towarzyszącym.
• Data zakończenia wsparcia ujawniana w punkcie sprzedaży.

Może być wielojęzyczne:

• Oznakowanie CE i etykieta produktu.
• Teksty na opakowaniu i dokumentacja internetowa, pod warunkiem że wersja niemiecka jest dostępna.

Angielski jest zazwyczaj akceptowany dla:

• Wewnętrznej dokumentacji technicznej. Na uzasadniony wniosek BSI może zażądać jej w języku, który łatwo rozumie, dlatego warto uwzględnić taką ewentualność nawet bez proaktywnego tłumaczenia. Dokumentacja techniczna związana z procedurą jednostki notyfikowanej musi być sporządzona w oficjalnym języku państwa członkowskiego, w którym ta jednostka ma siedzibę, lub w języku przez nią akceptowanym.

Deklaracja zgodności UE musi być udostępniona w językach wymaganych przez państwo członkowskie, w którym produkt jest wprowadzany do obrotu lub udostępniany. Dla rynku niemieckiego należy przygotować wersję niemiecką, a nie traktować tłumaczenia wyłącznie jako działanie na wypadek kontroli.

Jedyny wyjątek: systemy AI wysokiego ryzyka

Niemcy centralizują nadzór rynku CRA w BSI. Projekt ustawy wykonawczej dokonał tego wyboru celowo, a jego uzasadnienie wprost odrzuca rozdzielenie nadzoru CRA między różne organy sektorowe. Dla większości producentów BSI jest organem nadzoru.

Jeden prawdziwy wyjątek wynika z samego CRA, nie z prawa niemieckiego. Jeśli produkt jest systemem AI wysokiego ryzyka w rozumieniu rozporządzenia w sprawie AI, to organ nadzoru rynku wyznaczony na podstawie tego rozporządzenia, a nie BSI, odpowiada za nadzór rynku CRA w odniesieniu do tego produktu. W Niemczech organ ten jest wyznaczony na podstawie ustawy wdrażającej AI (KI-MIG). Oba organy współpracują, ale po stronie rozporządzenia w sprawie AI.

Inne reżimy nakładają się na CRA, nie zmieniając jednak organu nadzorującego. Produkt może jednocześnie podlegać rozporządzeniu w sprawie maszyn i CRA, przy czym BSI nadal prowadzi nadzór CRA, współpracując z właściwym organem sektorowym. W sektorze finansowym BSI współpracuje z organami nadzoru działającymi na podstawie rozporządzenia (UE) 2022/2554 (DORA), a nie przekazuje im nadzoru CRA. Zmiany przepisów o energetyce i telekomunikacji zawarte w tej samej ustawie są korektami NIS2, a nie przeniesieniem nadzoru CRA. Jeśli produkcja dotyczy maszyn lub automatyki przemysłowej, należy liczyć się z równoległymi obowiązkami, a nie z innym organem nadzoru CRA.

Sprzedaż transgraniczna z Niemiec

Niemieccy producenci sprzedający do Francji, Hiszpanii, Włoch lub innych państw członkowskich UE stosują tę samą zasadę jednego kanału zgłaszania. Zgłoszenia nadal trafiają do CERT-Bund, bo routing zależy od miejsca głównej siedziby, a nie od kierunku dostawy. Producent nie składa zgłoszeń do CSIRT Francji, Hiszpanii ani Włoch.

Obowiązki językowe rozgałęziają się jednak dla każdego rynku. Produkt wysyłany do Francji wymaga francuskich treści przeznaczonych dla użytkownika, wysyłany do Hiszpanii wymaga treści w języku hiszpańskim i tak dalej. Wersja niemiecka nie obejmuje tych rynków. Organ nadzoru rynku każdego przyjmującego państwa członkowskiego może też zażądać dokumentacji technicznej w języku, który łatwo rozumie, dlatego warto wcześniej przygotować najbardziej poszukiwane sekcje w powszechnie stosowanym języku roboczym.

Finansowanie i dotacje: co warto zweryfikować

Nie istnieje żaden grant przeznaczony wyłącznie na CRA. Dostępne wsparcie dotyczy ogólnie cyfryzacji i bezpieczeństwa, a część programów już wygasła.

• go-digital nie istnieje. Program obowiązywał tylko do 31 grudnia 2024 r., dlatego starsze poradniki, które go wymieniają, są nieaktualne.
• Mittelstand-Digital oferuje bezpłatne doradztwo i sieć Zentren, nie jest natomiast bezpośrednią dotacją dla poszczególnych MŚP.
• KfW ERP-Förderkredit Digitalisierung und Innovation (programy 511/512) to linia finansowania cyfryzacji i inwestycji w bezpieczeństwo IT, a nie subwencja na CRA.
• Federalne programy badawcze mogą wspierać prawdziwe projekty badawczo-rozwojowe z zakresu cyberbezpieczeństwa, ale każde zaproszenie do składania wniosków należy sprawdzać indywidualnie.

Okna czasowe i kryteria kwalifikacji poszczególnych programów zmieniają się często. Przed ujęciem jakiejkolwiek pozycji w budżecie należy potwierdzić jej aktualny status.

Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. W celu uzyskania szczegółowych wskazówek dotyczących zgodności z CRA należy skonsultować się z wykwalifikowanym doradcą prawnym.