Czy inteligentne kamery to produkty ważne według CRA?

Podczas gdy podłączony toster może podążać podstawową ścieżką zgodności z CRA, inteligentne kamery monitorujące nie mają tego luksusu. UE umieściła je wprost w Załączniku III jako produkty ważne, Klasa I, o szczebel wyżej niż większość konsumenckiego IoT, z bardziej rygorystycznymi wymaganiami dotyczącymi oceny zgodności. Dotyczy to każdego, kto te urządzenia produkuje, importuje lub dystrybuuje.

Powszechnym nieporozumieniem jest przekonanie, że kamery to „produkty krytyczne". Tak nie jest. Ale Ważna Klasa I to już znaczące podwyższenie wymagań.

Co CRA faktycznie mówi o kamerach

Wokół kategorii produktów CRA narosło wiele nieporozumień, więc warto być precyzyjnym. Rozporządzenie tworzy trzy poziomy:

Dokładny tekst prawny

Załącznik III, Klasa I, pozycja 17 Rozporządzenia (UE) 2024/2847:

„Produkty inteligentnego domu z funkcjami bezpieczeństwa, w tym inteligentne zamki do drzwi, kamery monitorujące, elektroniczne nianie oraz systemy alarmowe"

Rozporządzenie wykonawcze Komisji (UE) 2025/2392 precyzuje zakres techniczny, używając sformułowania „systemy kamer", nieco szerszego niż „kamery monitorujące" w rozporządzeniu nadrzędnym.

Istotne zastrzeżenie: produkt musi posiadać „funkcje bezpieczeństwa" w kontekście inteligentnego domu. Zwykła kamera internetowa do wideokonferencji nie trafia automatycznie do Klasy I. Podłączona kamera monitorująca Twój dom lub firmę już tak.

Dlaczego UE wyróżniła kamery

To nie była arbitralna decyzja. Kamery IP wyrobily sobie reputację najsłabszego ogniwa bezpieczeństwa sieci, a dane to potwierdzają:

• Botnet Mirai (od 2016 r.) zbudował armię ponad 150 000 przejętych kamer i rejestratorów DVR do przeprowadzania masowych ataków DDoS (ENISA Threat Landscape 2020: Botnet Report)
• Ataki DDoS stanowiły 77% wszystkich zgłoszonych incydentów cybernetycznych w latach 2024-2025, w dużej mierze napędzanych przez przejęte urządzenia IoT (ENISA Threat Landscape 2025)
• Warianty Mirai są nadal aktywne. W kwietniu 2025 r. wykryto je przy eksploitacji kamer GeoVision
• Codziennie do sieci dołącza około 7,7 miliona nowych urządzeń IoT; tylko 1 na 20 działa za zaporą sieciową

Wzorzec jest wyraźny: kamery są stale włączone, stale podłączone, często słabo zabezpieczone i przechowują wrażliwe dane (nagrania wideo). To dokładnie ten profil ryzyka, do którego CRA jest adresowane.

Co Klasa I oznacza dla oceny zgodności

Zgodnie z Artykułem 32 ust. 2, producenci z Klasy I mają dwie ścieżki, a wybór zależy od czegoś, co wciąż pozostaje w fazie kształtowania.

Ścieżka 1: samoocena (Moduł A)

Producent może przeprowadzić wewnętrzną samoocenę, ale tylko jeśli stosuje normy zharmonizowane obejmujące wszystkie podstawowe wymagania z zakresu cyberbezpieczeństwa. Częściowe pokrycie nie wystarczy. Brak spełnienia choćby jednego wymagania kieruje producenta na Ścieżkę 2.

W tej chwili (luty 2026) normy zharmonizowane w ramach CRA są nadal finalizowane przez CEN/CENELEC. Do czasu ich publikacji w Dzienniku Urzędowym większość producentów nie będzie mogła skorzystać z tej ścieżki.

Ścieżka 2: ocena przez stronę trzecią

Bez pełnego pokrycia przez normy zharmonizowane producent potrzebuje:

• Modułu B + C: badanie typu UE przez jednostkę notyfikowaną, a następnie zgodność z typem
• Modułu H: pełny system zapewnienia jakości certyfikowany przez jednostkę notyfikowaną

Obie opcje są droższe i bardziej czasochłonne niż samoocena. Przepustowość jednostek notyfikowanych będzie się zmniejszać wraz ze zbliżaniem się do grudnia 2027 r. Wszyscy będą starali się zdążyć w tym samym czasie.

Podstawowe wymagania dla inteligentnych kamer

Każda podłączona kamera musi spełniać podstawowe wymagania cyberbezpieczeństwa CRA (Załącznik I), niezależnie od wybranej ścieżki oceny zgodności. Te, które najbardziej uderzają w producentów kamer:

1. Zakaz domyślnych haseł

Artykuł 13 i Załącznik I, Część I wymagają konfiguracji „bezpiecznej domyślnie". Mówiąc wprost:

• Koniec z dostarczaniem każdej jednostki z admin/admin lub admin/password
• Każde urządzenie potrzebuje unikalnego hasła lub musi wymuszać bezpieczną konfigurację danych uwierzytelniających przy pierwszym użyciu
• Uwierzytelnianie wieloskładnikowe tam, gdzie jest to technicznie wykonalne

Sam ten wymóg wymusi przeprojektowanie ogromnej liczby linii produktów kamer.

2. Obsługa podatności (minimum 5 lat)

Załącznik I, Część II oznacza, że producenci muszą:

• Wdrożyć politykę skoordynowanego ujawniania podatności (CVD)
• Zapewnić badaczom bezpieczeństwa wyraźną ścieżkę zgłaszania problemów
• Łatać podatności bez zbędnej zwłoki przez cały okres wsparcia
• Wspierać produkt przez co najmniej 5 lat od wprowadzenia na rynek
• Zgłaszać aktywnie wykorzystywane podatności jednocześnie do koordynującego CSIRT i do ENISA przez Single Reporting Platform w ciągu 24 godzin od powzięcia wiedzy (obowiązek ten wchodzi w życie 11 września 2026 r.)

Pięć lat obowiązkowego łatania to duża zmiana dla producentów kamer przyzwyczajonych do modelu „wyślij i zapomnij".

3. Software Bill of Materials (SBOM)

Każdy komponent oprogramowania w oprogramowaniu układowym kamery musi być udokumentowany: jądro Linux, biblioteki strumieniowania RTSP, framework interfejsu webowego, stos TLS, wszystko. SBOM musi:

• Używać formatu czytelnego maszynowo (CycloneDX lub SPDX)
• Obejmować co najmniej zależności najwyższego poziomu
• Stanowić część dokumentacji technicznej
• Być aktualizowany przez cały okres wsparcia

4. Bezpieczny mechanizm aktualizacji

Kamery wymagają bezpiecznych, uwierzytelnionych aktualizacji oprogramowania układowego:

• Dostarczanych za pośrednictwem zaszyfrowanych kanałów
• Z weryfikacją integralności oprogramowania przed instalacją
• Z włączonymi domyślnie automatycznymi aktualizacjami bezpieczeństwa (użytkownicy mogą zrezygnować)
• Z zalecaną możliwością cofnięcia aktualizacji

5. Minimalizacja danych i prywatność

Kamery zbierające dane wideo muszą:

• Przetwarzać wyłącznie dane niezbędne do funkcji produktu
• Szyfrować przechowywane i przesyłane dane
• Umożliwiać użytkownikom bezpieczne usunięcie ich danych
• Chronić dane w spoczynku przed fizycznym dostępem

Rola importerów i dystrybutorów

Importerzy: strażnicy unijnej granicy

Jeśli firma importuje kamery spoza UE (a większość inteligentnych kamer jest produkowana w Azji), Artykuł 19 czyni ją odpowiedzialną. Importer ponosi osobistą odpowiedzialność za weryfikację, czy producent dopełnił obowiązków dotyczących zgodności, zanim produkt trafi na rynek UE.

Lista kontrolna weryfikacyjna przed wprowadzeniem kamery na rynek UE:

• [ ] Producent przeprowadził odpowiednią ocenę zgodności (Klasa I)
• [ ] Deklaracja zgodności UE (DoC) istnieje i odnosi się do CRA
• [ ] Oznakowanie CE jest prawidłowo naniesione
• [ ] Dokumentacja techniczna jest dostępna i kompletna
• [ ] Dane kontaktowe producenta widnieją na produkcie lub opakowaniu
• [ ] SBOM jest dostępny jako część dokumentacji technicznej

Jeśli którykolwiek punkt nie jest spełniony, importer nie może legalnie sprzedawać produktu. Kropka. Musi poinformować producenta, a jeżeli istnieje ryzyko cyberbezpieczeństwa, powiadomić organy nadzoru rynku.

Kary dla importerów: do 10 000 000 EUR lub 2 % całkowitego rocznego światowego obrotu (Artykuł 64).

Dystrybutorzy: mniejsze obowiązki, realne konsekwencje

Dystrybutorzy mają mniej do zweryfikowania na podstawie Artykułu 20, ale obowiązki są nadal wiążące:

• Oznakowanie CE jest obecne na produkcie
• Nazwy i dane kontaktowe producenta i importera są widoczne
• Warunki przechowywania i transportu nie naruszają zgodności
• Dystrybutor nie sprzedaje produktów, co do których ma podstawy sądzić, że są niezgodne z przepisami

Kary dla dystrybutorów: do 10 000 000 EUR lub 2 % całkowitego rocznego światowego obrotu (Artykuł 64 ust. 3; obowiązki dystrybutorów na mocy Artykułu 20 mieszczą się w zakresie Artykułów 18-23).

Pułapka rebrandingu

Uwaga: jeśli firma importuje kamerę i sprzedaje ją pod własną marką, lub jeśli dokonuje istotnych modyfikacji oprogramowania układowego lub elementów cyfrowych, CRA traktuje ją jako producenta. Oznacza to pełen zakres obowiązków producenta: ocena zgodności, SBOM, 5 lat obsługi podatności i całą resztę.

Harmonogram zgodności

HARMONOGRAM CRA DLA INTELIGENTNYCH KAMER

11 wrz 2026 --- Zaczynają obowiązywać wymogi dotyczące zgłaszania podatności
                (Zgłaszanie jednocześnie do koordynującego CSIRT i ENISA w ciągu 24 h)

11 gru 2027 --- Pełna zgodność z CRA wymagana
                (Wszystkie podstawowe wymagania, ocena zgodności,
                 oznakowanie CE, SBOM, dokumentacja techniczna)

Jeśli firma produkuje lub importuje inteligentne kamery i jeszcze nie zaczęła prac nad zgodnością, już jest z opóźnieniem. Normy zharmonizowane są nadal opracowywane, miejsca w jednostkach notyfikowanych się zapełniają, a grudzień 2027 r. jest bliżej, niż się wydaje.

Oficjalne źródła

• Rozporządzenie (UE) 2024/2847: Cyber Resilience Act (pełny tekst)
• Rozporządzenie wykonawcze Komisji (UE) 2025/2392: Opisy techniczne kategorii z Załączników III/IV
• Ocena zgodności CRA: Unijna strategia cyfrowa
• ENISA Threat Landscape 2020: Botnet Report
• ENISA Threat Landscape 2025

Co zrobić teraz

Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. W celu uzyskania szczegółowych wskazówek dotyczących zgodności należy skonsultować się z wykwalifikowanym doradcą prawnym.