CRA dla francuskich producentów: ANSSI, ANFR i CE

Francuscy producenci mają takie same obowiązki wynikające z aktu o cyberodporności jak każdy inny producent w UE. Ta strona to krajowy przewodnik dla Francji: routing powiadomień przez CERT-FR (operacyjny CSIRT wewnątrz ANSSI), podział zadań związanych z oceną zgodności między rolą notyfikacyjną ANSSI a rolą akredytacyjną COFRAC, rola ANFR, wskazanej przez ANSSI i Direction générale des entreprises jako organ nadzoru rynku CRA, bez znalezionego dotąd instrumentu w Journal Officiel (często mylnie przypisywana DGCCRF), wymogi języka francuskiego w praktyce oraz krajowe programy finansowania otwarte dla inwestycji w zgodność. Pełny zestaw obowiązków producenta zawiera przewodnik klastra producenta.

Kiedy ten przewodnik dotyczy danego producenta

Adresatem tego przewodnika jest producent, którego główne miejsce prowadzenia działalności w Unii znajduje się we Francji. Chodzi o miejsce, w którym podejmowane są decyzje dotyczące cyberbezpieczeństwa produktów z elementami cyfrowymi. Francuska filia sprzedażowa z inżynierią za granicą nie jest głównym miejscem prowadzenia działalności. Jeśli zespół inżynierski, zarządzanie cyklem wytwórczym oprogramowania (SDLC) i osoby zatwierdzające wydania aktualizacji bezpieczeństwa pracują we Francji, ten przewodnik jest właśnie dla tej firmy.

Producent z głównym miejscem prowadzenia działalności w innym państwie UE, który sprzedaje wyłącznie na rynek francuski, kieruje swoje powiadomienia CRA przez CSIRT macierzystego państwa członkowskiego, nie przez CERT-FR. Obowiązek języka francuskiego w informacjach skierowanych do użytkownika nadal dotyczy każdego produktu wprowadzanego na rynek francuski.

ANSSI i CERT-FR: francuska ścieżka CSIRT

Powiadomienia CRA trafiają do CSIRT wyznaczonego jako koordynator w państwie członkowskim, w którym producent ma główne miejsce prowadzenia działalności w Unii. Dla producenta z głównym miejscem prowadzenia działalności we Francji tym CSIRT jest CERT-FR, operacyjne ramię ANSSI (Agence nationale de la sécurité des systèmes d'information).

ANSSI podlega SGDSN i prowadzi francuskie krajowe schematy certyfikacji (CSPN, Visa de Sécurité) oraz akredytowane centra ewaluacji (CESTI). CERT-FR publikuje francuskojęzyczne komunikaty o podatnościach i prowadzi krajowy strumień koordynacji podatności.

Kontakt z CERT-FR: strona https://cert.cyber.gouv.fr/, e-mail cert-fr@ssi.gouv.fr. ANSSI: https://cyber.gouv.fr/.

Kanałem technicznym dla rytmu zgłaszania 24h / 72h / 14 dni jest platforma pojedynczego zgłaszania ENISA (dostępna od 11 września 2026 r.). Producent francuski składa zgłoszenia przez tę platformę z CERT-FR jako odbierającym koordynatorem. Wyznaczenie CSIRT to routing. Platforma to transport.

Jednostki notyfikowane: ANSSI notyfikuje, COFRAC akredytuje

Produkty Important Klasy I wymagają jednostki notyfikowanej (Moduł B+C lub Moduł H) wyłącznie w przypadku, gdy normy zharmonizowane, wspólne specyfikacje lub schemat certyfikacji nie pokrywają ich w pełni. Produkty Important Klasy II korzystają z jednostki notyfikowanej (Moduł B+C lub Moduł H) lub dostępnego i mającego zastosowanie schematu certyfikacji. Produkty Krytyczne (Załącznik IV) stosują Artykuł 32(4): ścieżkę certyfikacji z Artykułu 8(1) tam, gdzie Komisja ją uruchomiła, w przeciwnym razie te same ścieżki z Artykułu 32(3).

Francuski podział instytucjonalny jest następujący:

• ANSSI pełni funkcję organu notyfikującego, który formalnie wyznacza francuskie jednostki notyfikowane CRA Komisji Europejskiej. ANSSI ocenia, kontroluje i notyfikuje jednostki oceny zgodności.
• COFRAC (Comité français d'accréditation) jest francuską krajową jednostką akredytującą i ocenia kompetencje techniczne kandydata. Notyfikacja przez ANSSI co do zasady opiera się na tej akredytacji.

Ramy CRA dla jednostek notyfikowanych obowiązują od 11 czerwca 2026 r. ANSSI jako organ notyfikujący będzie oceniać, kontrolować i notyfikować jednostki na podstawie akredytacji COFRAC (ANSSI, wrzesień 2026 r.). Na 17 października 2026 r. baza NANDO wskazuje ANSSI jako francuski organ notyfikujący w ramach CRA, ale nadal nie wykazuje żadnej jednostki notyfikowanej wyznaczonej w całej UE w ramach CRA. Art. 1 Décret n° 2026-944 z 9 października 2026 r., obowiązującego od 12 października 2026 r., wyznacza ANSSI jako organ notyfikujący w ramach CRA, a dekret ten reguluje notyfikację jednostek oceniających zgodność w ramach CRA. Notyfikacja co do zasady opiera się na certyfikacie akredytacji COFRAC. CRA dopuszcza też notyfikację bez takiego certyfikatu, na podstawie dowodów w postaci dokumentów, a wówczas termin na zgłoszenie zastrzeżeń wynosi dwa miesiące zamiast dwóch tygodni. Wyznaczenie ANFR jako organu nadzoru rynku i krajowe zasady egzekwowania przepisów należy osobno sprawdzić w odpowiednich francuskich aktach prawnych.

Producent francuski może korzystać z dowolnej unijnej jednostki notyfikowanej, nie tylko z jednostek wyznaczonych przez Francję. Wybór jednostki wyznaczonej przez Francję (LNE, LCIE Bureau Veritas, SGS France oraz inne historycznie akredytowane podmioty) to preferencja zakupowa, nie wymóg CRA. Ostateczne wyznaczenia CRA są publikowane w bazie NANDO Komisji Europejskiej.

ANFR: organ nadzoru rynku CRA

Nadzór rynku CRA dla produktów z elementami cyfrowymi wprowadzanych na rynek francuski spoczywa na ANFR (Agence nationale des fréquences), nie na DGCCRF. ANSSI potwierdza to na swojej oficjalnej stronie CRA pod adresem cyber.gouv.fr (wrzesień 2026 r.), a sama ANSSI zapewnia ANFR wsparcie techniczne w ramach nadzoru rynku. Przed formalnym zgłoszeniem należy sprawdzić ostateczne wyznaczenie w Journal Officiel.

Francuska ścieżka wdrożenia przyznałaby ANFR uprawnienia sankcyjne do 15 milionów euro lub 2,5% globalnych rocznych przychodów za najpoważniejsze naruszenia CRA, w granicach wyznaczonych przez rozporządzenie na poziomie UE.

DGCCRF zachowuje ogólną rolę inspektora bezpieczeństwa produktów konsumenckich i nadal będzie wykrywać niezgodne towary na granicy lub w handlu detalicznym, lecz rola organu nadzoru rynku CRA dla produktów cyfrowych należy do ANFR. Należy planować pod ANFR, ale przed formalnym zgłoszeniem sprawdzić ostateczny tekst JO.

Wymóg języka francuskiego w praktyce

Akt o cyberodporności wymaga, aby informacje o produkcie skierowane do użytkowników były w języku zrozumiałym dla użytkowników i lokalnego organu nadzoru rynku. Dla produktów wprowadzanych na rynek francuski jest to język francuski. Loi Toubon (loi n° 94-665) niezależnie wymaga języka francuskiego we wszelkich informacjach konsumenckich, więc obowiązek CRA jest spójny z długoletnią regułą krajową.

Wymagane po francusku:

• Instrukcje obsługi i informacje o produkcie dostarczane wraz z produktem.
• Dane kontaktowe producenta (nazwa, adres, adres e-mail lub inny kontakt cyfrowy) wszędzie tam, gdzie się pojawiają, w tym na samym produkcie, opakowaniu lub dokumencie towarzyszącym.
• Informacja o dacie zakończenia wsparcia technicznego udostępniana w punkcie sprzedaży.

Dopuszczalne wielojęzykowo:

• Etykieta produktu i oznakowanie CE.
• Tekst opakowania.
• Dokumentacja online, pod warunkiem że dostępna jest wersja francuska.

Angielski jest na ogół akceptowany dla:

• Wewnętrznej dokumentacji technicznej. ANFR lub organ nadzoru rynku innego państwa członkowskiego może zażądać tłumaczenia na język francuski w uzasadnionym wniosku, dlatego producent powinien być na to przygotowany nawet bez proaktywnego tłumaczenia.

Deklaracja zgodności UE musi być udostępniona w językach wymaganych przez państwo członkowskie, w którym produkt jest wprowadzany lub udostępniany na rynku. Dla Francji należy zaplanować wersję francuską, zamiast traktować tłumaczenie wyłącznie jako ryzyko kontrolne.

Sprzedaż transgraniczna z Francji

Producenci francuscy sprzedający do Belgii, Hiszpanii, Niemiec, Włoch lub jakiegokolwiek innego państwa UE podlegają tej samej regule pojedynczego routingu: powiadomienia nadal trafiają do CERT-FR, ponieważ routing zależy od głównego miejsca prowadzenia działalności, a nie od miejsca dostawy. Producent nie składa zgłoszeń do belgijskiego, hiszpańskiego, niemieckiego ani włoskiego CSIRT.

Obowiązek językowy rozszerza się jednak proporcjonalnie do rynków. Produkt wysyłany na rynek hiszpański wymaga hiszpańskich informacji skierowanych do użytkownika. Produkt wysyłany na rynek niemiecki wymaga treści w języku niemieckim. Jeden pakiet w języku francuskim nie obejmuje tych rynków.

Organ nadzoru rynku każdego z przyjmujących państw członkowskich może zażądać dokumentacji technicznej w języku zrozumiałym dla tego organu. Producent prowadzący dystrybucję na szeroką skalę w UE powinien z wyprzedzeniem przetłumaczyć przynajmniej najczęściej wymagane sekcje dokumentacji technicznej na jeden z powszechnie stosowanych języków roboczych.

Krajowe programy finansowania

W odróżnieniu od hiszpańskiego Plan de Recuperación, który zamyka okno NextGenEU w 2026 r., francuskie krajowe programy cyberbezpieczeństwa pozostają otwarte i aktywne w 2026 r. i w kolejnych latach.

• Bpifrance prowadzi Diagnostic Cybersécurité (dofinansowany audyt cyberbezpieczeństwa dla MŚP) oraz program Cyber PME. Cyber PME, faza B, przyjmował wnioski do 26 listopada 2025 r. dla firm, których termin złożenia planu bezpieczeństwa przypada po 1 stycznia 2024 r. Faza A i kolejne nabory nadal się odbywają.
• France 2030 to krajowy plan inwestycyjny z naborami z obszaru cyberbezpieczeństwa prowadzonymi wspólnie przez SGPI (General Secretariat for Investment), Bpifrance i ANSSI. Nabory na produkty z zakresu cyberbezpieczeństwa są współfinansowane z unijnego Digital Europe Programme, a niedawne edycje oferowały do 2 milionów euro w łącznym wsparciu. Prace B+R w zakresie cyberbezpieczeństwa napędzane przez CRA kwalifikują się, gdy mają charakter innowacji produktowej.
• France Num oferuje regionalne bony diagnostyczne prowadzone przez izby handlowe i przemysłowe. Przydatne dla wstępnego Plan de Cybersécurité, lecz niewystarczające dla pełnej inwestycji w narzędzia CRA.
• Prêt Innovation oraz Aide pour le développement de l'innovation to linie pożyczek i dotacji Bpifrance, które mogą sfinansować narzędzia SBOM, budowanie zdolności obsługi podatności oraz opłaty za ocenę zgodności, gdy prace z zakresu cyberbezpieczeństwa mają rzeczywisty komponent innowacyjny.

Okna kwalifikowalności i limity budżetowe zmieniają się co roku. Przed ujęciem którejkolwiek z tych pozycji w planie budżetowym należy potwierdzić aktualną edycję naboru.

Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. W celu uzyskania konkretnych wskazówek dotyczących zgodności z aktem o cyberodporności należy skonsultować się z wykwalifikowanym doradcą prawnym.