Wytyczne CRA z lipca 2026: przykłady na trudne przypadki

W automacie vendingowym może działać zwykły modem komórkowy z kartą SIM. Ten modem trafia do kategorii produktów, dla której CRA wymaga surowszej oceny zgodności. Automat wokół niego zostaje w kategorii domyślnej.

Ta różnica decyduje, czy producent może przeprowadzić ocenę zgodności samodzielnie, czy musi zapłacić jednostce notyfikowanej za jej przeprowadzenie. Deklarację podpisuje tak czy inaczej. Rozstrzyga o tym jedno zdanie, którego większość producentów nigdy nie przeczytała.

Komisja Europejska opublikowała wytyczne dotyczące stosowania CRA 27 lipca 2026 r. Dokument liczy 84 strony i zawiera 67 przykładów praktycznych. Ten artykuł omawia pięć z nich, które realnie zmieniają odpowiedź w praktyce, każdy na konkretnym przypadku.

Regulowana część w środku nie zmienia klasyfikacji maszyny

Ścieżkę oceny zgodności wyznacza jedna rzecz: podstawowa funkcja produktu. Błąd w tej ocenie oznacza albo przepłacenie jednostce notyfikowanej, albo wysyłkę produktu bez oceny, która była prawnie wymagana.

CRA nigdzie nie definiuje pojęcia podstawowej funkcji. Robią to wytyczne.

Automat vendingowy, modem komórkowy i 25 000 EUR

Ten scenariusz jest hipotetyczny.

Producent automatów vendingowych sprzedaje urządzenie, które robi trzy rzeczy:

• Przyjmuje płatności kartą
• Monitoruje stan towaru czujnikami wagi
• Ma wbudowany modem komórkowy, dzięki któremu centrala co noc pobiera dane sprzedażowe i wysyła zmiany cen

Routery i modemy przeznaczone do połączenia z internetem znajdują się na liście produktów ważnych w CRA, w klasie I. Automat ma taki modem w środku.

Przy przykładowych kwotach powyżej, i przy założeniu, że ścieżka kontroli wewnętrznej nie byłaby dostępna, to jedno zdanie oszczędza producentowi około 25 000 EUR. Rzeczywiste koszty oceny zależą od produktu i jednostki notyfikowanej, a produkty klasy I nadal mogą przejść samoocenę tam, gdzie w pełni zastosowano odpowiednią normę zharmonizowaną, choć wytyczne dodają do tego drugi warunek, omówiony dalej.

Co nadal trzeba zrobić w sprawie tego modemu

Modem znika z pytania o klasyfikację. Nie znika jednak z obowiązków producenta.

• Ocena ryzyka: modem jest wbudowanym komponentem i musi się znaleźć w ocenie ryzyka produktu, razem z interfejsami, które udostępnia, i przepływami danych, które obsługuje.
• Należyta staranność: producent musi podjąć odpowiednie działania, by potwierdzić, że komponent nie osłabia zgodności produktu. Dowodem może być dokumentacja techniczna i dokumentacja bezpieczeństwa dostawcy modemu.
• Sieć nie jest częścią produktu: sieć komórkowa, z którą łączy się modem, to kanał komunikacyjny, a nie element produktu. Wobec operatora sieci komórkowej nie trzeba prowadzić należytej staranności.

Poniżej pełny podział, bo zespoły regularnie trafiają w połowę odpowiedzi i mylą się w drugiej.

Ostatni wiersz to pułapka dla integratorów. Kupno certyfikowanego modułu i wlutowanie go w płytę to kwestia łańcucha dostaw. Napisanie firmware'u, który na nim działa, może uczynić producenta producentem tego, co wprowadza na rynek, a to, czy dotyczy to samego modemu, zależy od sposobu jego dostarczenia i od tego, co zostało zmienione.

Szczegóły działania kategorii opisuje nasz przewodnik po klasyfikacji produktów. O modemach jako osobnych produktach piszemy w artykule routery i modemy.

Dwie luki, o których nikt nie uprzedza

• Podstawowa funkcja jest zdefiniowana wyłącznie w wytycznych: same przepisy nigdzie nie definiują pojęcia, które decyduje o ścieżce oceny zgodności. Definicja, z której korzysta producent, to interpretacja Komisji i nikogo ona nie wiąże.
• Brama do samooceny po cichu zyskała drugi warunek: przepisy wymagają udziału jednostki zewnętrznej dla produktu ważnego klasy I, gdy producent nie zastosował w pełni odpowiednich norm zharmonizowanych. To jeden test. Wytyczne dodają drugi: zakres normy musi też obejmować każde ryzyko cyberbezpieczeństwa związane z podstawową funkcją produktu. Ten drugi test nie jest zapisany w przepisach w takich słowach. Komisja wyprowadza go z tego, jak łączą się ze sobą mające zastosowanie wymagania i domniemanie zgodności, więc zawęża krąg podmiotów, które mogą przeprowadzić samoocenę, na drodze interpretacji, a nie wprost z tekstu przepisów.

Sprzedaż modułu osobno zmienia to, czym on jest

Jeśli moduły pakietu są dostępne osobno do kupienia, licencjonowania albo subskrypcji, każdy z nich staje się odrębnym produktem. Każdy jest wtedy klasyfikowany na podstawie własnej funkcji podstawowej, a nie funkcji całego pakietu.

Komisja pokazuje to na przykładzie pakietu bezpieczeństwa podzielonego na części, gdzie poszczególne części trafiają do różnych reżimów.

Jedna pozycja w cenniku przenosi moduł do surowszego reżimu

Ten scenariusz jest hipotetyczny.

Producent oprogramowania własnościowego sprzedaje operatorom przemysłowym platformę, która robi cztery rzeczy:

• Zbiera dane z linii produkcyjnych
• Pokazuje pulpity
• Wysyła alerty
• Zawiera moduł wykrywania włamań dla sieci OT

Sprzedawana jako jedna platforma ma podstawową funkcję monitorowania produkcji. To produkt kategorii domyślnej. Producent przeprowadza samoocenę, podpisuje deklarację i wysyła produkt na rynek.

Dział sprzedaży prosi jednak o udostępnienie samego modułu wykrywania włamań, bo trzech potencjalnych klientów chce go bez reszty platformy. W cenniku pojawia się nowa pozycja.

Ten moduł staje się teraz osobnym produktem. Jego podstawowa funkcja to wykrywanie włamań. Systemy wykrywania i zapobiegania włamaniom należą do kategorii ważnej klasy II.

Klasa II wymaga oceny zgodności przez jednostkę zewnętrzną. Nie jest to opcjonalne ani uzależnione od zastosowanych norm. Produkty kwalifikujące się jako wolne i otwarte oprogramowanie mają odrębną ścieżkę.

W kodzie nic się nie zmieniło. Decyzja handlowa przeniosła jeden moduł do reżimu, który wiąże się z istotnie wyższym kosztem oceny i dłuższą drogą do wydania produktu.

Dostępność osobno: co wytyczne rozstrzygają, a czego nie

Wytyczne wymieniają osobny zakup, licencjonowanie i subskrypcję, a wyłączają moduły dostarczane wyłącznie jako część zintegrowanego produktu. To zostawia naprawdę otwarty tylko jeden przypadek. Cztery sytuacje, trzy rozstrzygnięte:

• Osobna pozycja (SKU) w cenniku. Rozstrzygnięte. Osobny zakup jest wymieniony wprost, więc ten przypadek jest objęty regułą.
• Flaga funkcji, którą dział sprzedaży może licencjonować niezależnie. Rozstrzygnięte. Licencjonowanie i subskrypcja są wymienione obok zakupu, więc osobne SKU nie jest wymagane.
• Dodatek sprzedawany wyłącznie obecnym klientom platformy. Otwarte. Nie da się go kupić samodzielnie, ale można go kupić osobno od reszty pakietu. Wytyczne nie rozstrzygają tego przypadku.
• Moduł technicznie rozdzielny, ale nigdy nie oferowany osobno. Rozstrzygnięte. Moduły dostarczane wyłącznie jako część zintegrowanego produktu są wyłączone, a klasyfikacja pozostaje na poziomie całego produktu.

Test podąża więc za rzeczywistością handlową, a nie za etykietą produktu w ofercie, a licencjonowana flaga funkcji liczy się nawet bez osobnego SKU. Otwarty pozostaje tylko dodatek dostępny wyłącznie dla obecnych klientów, a odpowiedź w tym przypadku zmienia to, ile trzeba zapłacić.

To ma większe znaczenie, niż się wydaje. Product managerowie zmieniają pakietowanie co kwartał i rzadko traktują to jako zdarzenie regulacyjne. Warto wbudować taką kontrolę w ten proces już teraz, bo inaczej problem wychodzi na jaw dopiero po wysłaniu klientowi wyceny.

Co obejmuje każda ścieżka i ile kosztuje, opisuje nasz artykuł o ścieżkach oceny zgodności.

Duża aktualizacja nie zeruje okresu wsparcia

Istotna modyfikacja zmusza producenta do ponownej oceny okresu wsparcia. Nie zeruje go jednak automatycznie. Nie wydłuża go automatycznie także.

Pytanie jest węższe, niż zakłada większość zespołów. Czy modyfikacja zmieniła czynniki, które pierwotnie ustaliły oczekiwany czas użytkowania produktu?

Komisja podaje dwa przypadki: zmianę oprogramowania, która nie rusza pierwotnej daty końcowej, i zmianę sprzętu, która wymusza przeliczenie okresu.

Ten sam sterownik, dwie zmiany, dwie różne odpowiedzi

Ten scenariusz jest hipotetyczny.

Producent wprowadza na rynek sterownik PLC w 2028 roku. Oczekiwany czas użytkowania to dwanaście lat, ustalony na podstawie trwałości sprzętu i tego, czego klienci przemysłowi rozsądnie oczekują od takiej klasy urządzeń. Deklarowany okres wsparcia kończy się w 2040 roku.

2031 rok. Producent wydaje firmware z funkcją zdalnej diagnostyki. Załóżmy, że nowe interfejsy i przepływy danych zmieniają sposób, w jaki produkt spełnia zasadnicze wymagania, więc w tym stanie faktycznym liczy się to jako istotna modyfikacja. To uruchamia nową ocenę zgodności i aktualizację dokumentacji technicznej. Same nowe interfejsy, bez tego, niczego by nie przesądziły.

Data końca wsparcia się nie przesuwa. Trwałość sprzętu się nie zmieniła. Oczekiwania klientów się nie zmieniły. Wsparcie nadal kończy się w 2040 roku, a fakt, że w pewnym momencie zostanie mniej niż pięć lat do tej daty, niczego nie wydłuża.

2033 rok. Producent wymienia moduł obliczeniowy na nowszą generację zaprojektowaną z myślą o dłuższym cyklu eksploatacji i tak też pozycjonuje urządzenie w sprzedaży. Teraz czynniki się zmieniły. Klienci mogą zasadnie oczekiwać więcej lat eksploatacji. Okres wsparcia zostaje przeliczony w górę.

Skrócenie okresu wsparcia pozostaje nierozstrzygnięte

Wytyczne pokazują okres, który się nie zmienia, i okres, który się wydłuża. Sama reguła mówi, by przeliczyć okres względem kryteriów, gdy zmieniają się czynniki, które go ustaliły, nie ograniczając wyniku wyłącznie do wzrostu.

Jeśli modyfikacja zawęża realny czas eksploatacji produktu, na przykład przez zakończenie wsparcia platformy sprzętowej, na której działa, żaden z omawianych przypadków nie mówi, czy zadeklarowany okres może pójść w dół razem z nim. Nie skracalibyśmy okresu już zakomunikowanego klientom, ale wytyczne tego nie rozstrzygają.

Więcej o ustalaniu okresu wsparcia od podstaw w naszym artykule podstawy okresu wsparcia.

Część zamienna może przestać być częścią zamienną, gdy zmienia się jej bezpieczeństwo

Części zamienne, które zastępują identyczne komponenty, znajdują się poza zakresem CRA. Kluczowe jest słowo „identyczne”, a wytyczne rozumieją je węziej, niż zakłada większość procesów zarządzania wygaszaniem komponentów.

O identyczności decyduje funkcjonalna rola części razem z cechami istotnymi dla cyberbezpieczeństwa, a wytyczne wymagają zawsze oceny każdego przypadku osobno. Lista Komisji obejmuje algorytmy, protokoły, mechanizmy kryptograficzne i funkcje kontroli dostępu, i nie jest zamknięta.

Komisja zestawia dwie wymiany komponentu przy końcu jego cyklu życia. Jedna zmienia implementację kryptograficzną i mechanizm bezpiecznego rozruchu i traci zwolnienie z CRA. Druga zmienia sam chipset, zachowując te same protokoły i mechanizmy bezpieczeństwa, i zwolnienie zachowuje.

Dwa moduły zastępcze, jeden z nich to nowy produkt

Ten scenariusz jest hipotetyczny.

Instalator wdrożył panele kontroli dostępu w całym kompleksie biurowym w 2029 roku. W 2033 roku moduł bezprzewodowy w tych panelach osiąga koniec cyklu życia, a dostawca oferuje dwa zamienniki.

Zamiennik A. Inny chipset, inny producent, te same protokoły radiowe, to samo przechowywanie kluczy, ten sam łańcuch bezpiecznego rozruchu. W tym stanie faktycznym to nadal powinna być część zamienna, poza zakresem CRA, wysyłana kanałem serwisowym.

Zamiennik B. Ten sam moduł radiowy, ale nowszy element bezpieczny z inną hierarchią kluczy i inną sekwencją weryfikacji rozruchu. Te różnice dotyczą cech cyberbezpieczeństwa, więc w tym stanie faktycznym to nie jest identyczny komponent. Staje się osobnym produktem z elementami cyfrowymi, wymagającym własnej oceny zgodności, własnej dokumentacji technicznej i oznakowania CE.

Ten sam numer katalogowy na liście komponentów (BOM). Ten sam wymiar fizyczny. Dwa zupełnie różne skutki dla zgodności.

Proces wygaszania komponentów pomija to, o co pyta CRA

Proces zarządzania wygaszaniem komponentów niemal na pewno porównuje karty katalogowe: zgodność pinów, napięcie, wymiary, zakres temperatur, parametry radiowe.

Żadne z tych porównań nie odpowiada na pytanie, które stawia CRA. Obok porównania parametrów elektrycznych potrzebne jest też porównanie cech bezpieczeństwa. Poniżej pola, które musi ono obejmować.

Warto sprawdzić wcześnie bezpieczny rozruch i przechowywanie kluczy, bo zmianę w którymkolwiek z nich łatwo przeoczyć przy porównaniu kart katalogowych. Wytyczne nie ustalają hierarchii ważności cech, więc żadnej z nich nie można pominąć.

Większość zespołów nie ma jeszcze takiego dokumentu. Przygotowanie go to niewielki nakład pracy teraz, w porównaniu z wstrzymaną wysyłką i awaryjną oceną zgodności później.

Jest jeszcze jeden warunek, na którym wiele zespołów się potyka: sama techniczna wymienialność nie wystarczy. Cel naprawczy musi być widoczny w sposobie dostarczenia części, na przykład przez oznaczenie produktu w zamówieniu lub w ofercie handlowej, albo przez dostawę kanałem posprzedażowym. Komponent sprzedawany jako ogólny produkt samodzielny nie dostaje zwolnienia tylko dlatego, że akurat pasuje.

To, jak traktowana jest ta kategoria produktów, opisujemy przy okazji czytników kontroli dostępu i terminali biometrycznych.

Lista cech bezpieczeństwa pozostaje otwarta

Lista cech istotnych dla bezpieczeństwa jest otwarta. Czy sama zmiana wersji firmware wewnątrz poza tym identycznego modułu się liczy, nie jest nigdzie rozstrzygnięte.

Zmiana starego produktu nie wciąga w zakres całego urządzenia

CRA zaczyna obowiązywać w pełni 11 grudnia 2027 roku. Od 11 września 2026 roku obowiązek zgłaszania obejmie też produkty wprowadzone na rynek wcześniej, ale te produkty przejmą resztę reżimu tylko wtedy, gdy zostaną potem istotnie zmodyfikowane.

Obawa, jaką to budzi, jest zrozumiała: wystarczy raz dotknąć piętnastoletniej maszyny, żeby całe urządzenie musiało spełnić standard, który nie istniał w chwili jego projektowania.

Tak to jednak nie działa. Gdy modyfikacji dokonuje pierwotny producent, obowiązki dotyczą zmienionej części. Cały produkt wchodzi w zakres tylko wtedy, gdy zmiana szkodzi bezpieczeństwu całego urządzenia.

Co trzeba zrobić z maszyną z 2026 roku, zmienioną w 2029

Ten scenariusz jest hipotetyczny.

Producent wysłał przemysłową linię pakującą w 2026 roku, z dwudziestoletnim okresem eksploatacji. W 2029 roku wydaje zmianę firmware dla podsystemu etykietowania, dodającą interfejs sieciowy do zarządzania zadaniami druku. To istotna modyfikacja.

Co trzeba zapewnić: zgodność podsystemu etykietowania, aktualną ocenę ryzyka, która go obejmuje, i zaktualizowaną dokumentację techniczną zmienionej części.

Czego nie trzeba: doposażać sterowników ruchu, blokad bezpieczeństwa ani terminala operatora. Nie trzeba też odtwarzać zapisów projektowych i testowych z 2025 roku, które nigdy nie istniały w tej formie. Wytyczne mówią o tym wprost. Produkty zaprojektowane przed wejściem CRA nie wymagają przeprojektowania, jeśli aktualna ocena ryzyka pokazuje, że istniejące środki adresują zagrożenia, a odtworzenie historycznej dokumentacji i tak nie zwiększyłoby bezpieczeństwa produktu.

Importerzy ponoszą więcej niż strony trzecie

Wąski zakres dotyczy pierwotnego producenta oraz niepowiązanej strony trzeciej, która zarazem dokonuje modyfikacji i wprowadza zmodyfikowany produkt na rynek. Nie dotyczy importerów i dystrybutorów, których obejmuje osobna reguła bez takiego ograniczenia.

Warto przeczytać te wiersze jeszcze raz. Firma inżynieryjna pracująca na zlecenie, która modyfikuje maszynę i wprowadza ją na rynek, dostaje wąski zakres, o ile zmiana nie narusza cyberbezpieczeństwa całego produktu. Importer wykonujący identyczną modyfikację dostaje szeroki. Czynność jest ta sama. Ekspozycja już nie.

Przepisy traktują oba przypadki różnie już w samym tekście. W praktyce oznacza to, że importer, który modyfikuje produkt, ponosi więcej niż strona trzecia wykonująca tę samą modyfikację.

Pełny harmonogram i to, co obowiązuje kiedy, opisuje nasz harmonogram wdrożenia CRA.

Fraza, która o wszystkim decyduje, nie jest nigdzie zdefiniowana

Ulga zależy od tego, czy modyfikacja „negatywnie wpływa na cyberbezpieczeństwo produktu jako całości”. To sformułowanie decyduje, czy producent aktualizuje jeden podsystem, czy wszystkie naraz, i nie jest nigdzie zdefiniowane.

To zdanie będzie najbardziej prawdopodobnym punktem sporu z jednostką notyfikowaną.

Jak to się ma do projektu z marca

Komisja prowadziła konsultacje publiczne projektu tych wytycznych między 3 marca a 13 kwietnia 2026 roku. Ten projekt omówiliśmy już wcześniej w artykule co oznaczał projekt z marca 2026.

Dokument z lipca jest efektem tych konsultacji. Nie obejmuje całego CRA, co Komisja przyznaje wprost.

W punkcie 9 Komisja informuje, że może rozważyć wydanie dalszych wytycznych na podstawie art. 26. Jako przykłady wskazuje relację CRA z aktem o sztucznej inteligencji oraz z DORA. To możliwość, a nie zapowiedź kolejnej publikacji.

Ten artykuł służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. W celu uzyskania szczegółowych wskazówek dotyczących zgodności należy skonsultować się z wykwalifikowanym doradcą prawnym.