CRA dla polskich producentów: CSIRT NASK, KSC i PCA

Polscy producenci ponoszą te same obowiązki wynikające z aktu o cyberodporności co każdy inny producent w UE, plus jedno wyzwanie, którego inne państwa członkowskie nie mają w takiej skali: równoległy krajowy akt prawny w dziedzinie cyberbezpieczeństwa (znowelizowana ustawa o KSC), który wszedł w życie 3 kwietnia 2026 r. i w niektórych obszarach nakłada się na akt o cyberodporności, lecz go nie zastępuje. Poniżej znajduje się krajowy przewodnik dla Polski: jak powiadomienia o podatnościach i incydentach trafiają przez CSIRT NASK, gdzie w tym układzie mieści się PCA jako podmiot akredytujący, jak KSC plasuje się obok aktu o cyberodporności, jakie obowiązki językowe nakłada ustawa z 1999 r. oraz które z programów FENG, KPO i dedykowanych linii cyberbezpieczeństwa są realistycznym źródłem finansowania działań zgodności. Pełny zestaw obowiązków producenta omawia przewodnik klastra producenta.

Zakres stosowania przewodnika

Przewodnik jest skierowany do podmiotów, których główne miejsce prowadzenia działalności w Unii mieści się w Polsce. To znaczy: miejsce, w którym zapadają decyzje dotyczące cyberbezpieczeństwa produktów z elementami cyfrowymi. Polska spółka handlowa z inżynierami za granicą nie spełnia tego kryterium. Jeżeli zespół inżynierski, zarządzanie SDLC i osoby zatwierdzające wydania aktualizacji bezpieczeństwa działają w Polsce, ten przewodnik ich dotyczy.

Producent z głównym miejscem prowadzenia działalności poza Unią, który wysyła produkty wyłącznie do Polski, kieruje powiadomienia CRA przez CSIRT państwa członkowskiego swojego głównego miejsca prowadzenia działalności, nie przez CSIRT NASK. Wymóg języka polskiego dla informacji skierowanych do użytkowników obowiązuje jednak dla każdego produktu wprowadzonego na rynek polski.

NASK i CSIRT NASK: polska ścieżka CSIRT

Powiadomienia CRA trafiają do CSIRT wyznaczonego jako koordynator państwa członkowskiego, w którym producent ma główne miejsce prowadzenia działalności w Unii. Dla producenta z głównym miejscem prowadzenia działalności w Polsce tym CSIRT jest CSIRT NASK, krajowy CSIRT sektora cywilnego działający w ramach NASK (Naukowej i Akademickiej Sieci Komputerowej), krajowego operatora sieci badawczo-edukacyjnej i wieloletniego gospodarz CERT Polska.

Polska utrzymuje trzy krajowe CSIRT w ramach systemu KSC: CSIRT NASK dla sektora cywilnego (w tym komercyjnych producentów, samorządu terytorialnego i większości podmiotów publicznych), CSIRT MON dla sektora wojskowego oraz CSIRT GOV dla centralnej administracji rządowej. Dla komercyjnego producenta wprowadzającego produkt z elementami cyfrowymi na rynek UE właściwą ścieżką jest CSIRT NASK. Pozostałe dwa CSIRT-y nie wchodzą w grę.

Technicznym kanałem dla rytmu zgłaszania 24 godziny / 72 godziny / 14 dni jest platforma pojedynczego zgłaszania ENISA, która ruszy 11 września 2026 r. Polski producent składa zgłoszenie przez tę platformę z CSIRT NASK jako koordynatorem przyjmującym. Wyznaczenie CSIRT to routing. Platforma to kanał transportowy. CERT Polska to długoletnia marka operacyjna wewnątrz NASK, która publikuje polskojęzyczne komunikaty o podatnościach.

Jednostki notyfikowane: PCA akredytuje, wyznaczenie organu powiadamiającego oczekuje

Produkty Important Klasy I wymagają jednostki notyfikowanej (Moduł B+C lub Moduł H) wyłącznie w przypadku, gdy normy zharmonizowane, wspólne specyfikacje lub schemat certyfikacji nie pokrywają ich w pełni. Produkty Important Klasy II korzystają z jednostki notyfikowanej (Moduł B+C lub Moduł H) lub dostępnego i mającego zastosowanie schematu certyfikacji. Produkty Krytyczne (Załącznik IV) stosują Artykuł 32(4): ścieżkę certyfikacji z Artykułu 8(1) tam, gdzie Komisja ją uruchomiła, w przeciwnym razie te same ścieżki z Artykułu 32(3).

Polski łańcuch instytucjonalny wygląda następująco:

• PCA (Polskie Centrum Akredytacji) jest jedynym krajowym podmiotem akredytującym w Polsce, posiadającym status państwowej osoby prawnej nadzorowanej przez ministra właściwego do spraw gospodarki. PCA jest jedyną instytucją upoważnioną do udzielania akredytacji jednostkom oceny zgodności i aktywnie opracowuje schemat akredytacji i notyfikacji dla jednostek oceny zgodności CRA. Akredytacja zgodna z ISO/IEC 17065:2012 to krok techniczny poprzedzający notyfikację.
• Organ powiadamiający, który formalnie wyznacza polskie jednostki notyfikowane CRA wobec Komisji Europejskiej, nie został dotychczas potwierdzony w Dzienniku Ustaw. Ministerstwo Cyfryzacji jest wiodącym kandydatem na podstawie swojej roli w konsultacjach, a formalne wyznaczenie zostanie zawarte w polskim instrumencie wykonawczym.

Ramy CRA dla jednostek notyfikowanych stosują się od 11 czerwca 2026 r., od kiedy wyznaczone jednostki mogą wydawać certyfikaty oceny zgodności CRA. W połowie 2026 r. polskie struktury są budowane równolegle z instrumentem wykonawczym. Polski producent może korzystać z dowolnej unijnej jednostki notyfikowanej, nie tylko z jednostek wyznaczonych w Polsce. Wybór jednostki wyznaczonej w Polsce to preferencja zakupowa, nie wymóg CRA. Ostateczne wyznaczenia CRA są publikowane w bazie danych NANDO Komisji Europejskiej.

KSC i akt o cyberodporności: obszary nakładania się i różnice

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (ustawa o KSC) to polska transpozycja dyrektywy NIS2. Opublikowano ją w Dzienniku Ustaw 2 marca 2026 r., weszła w życie 3 kwietnia 2026 r. po miesięcznym vacatio legis, daje podmiotom objętym jej zakresem 12 miesięcy na dostosowanie się (do 3 kwietnia 2027 r.) i wymaga samoidentyfikacji oraz rejestracji w rejestrze KSC do 3 października 2026 r. Maksymalne kary sięgają 100 milionów PLN.

Oba reżimy nakładają się, lecz jeden nie zastępuje drugiego:

• KSC obejmuje organizację. Stosuje się do podmiotu jako podmiotu kluczowego lub podmiotu ważnego, jeśli mieści się on w jednym z sektorów wymienionych w ustawie. Obowiązki w zakresie zarządzania, zarządzania ryzykiem, zgłaszania incydentów i bezpieczeństwa łańcucha dostaw dotyczą organizacji.
• Akt o cyberodporności obejmuje produkt. Stosuje się do każdego produktu z elementami cyfrowymi wprowadzanego na rynek UE, niezależnie od tego, czy organizacja mieści się w zakresie KSC. Zasadnicze wymagania dotyczące cyberbezpieczeństwa, obsługa podatności, dokumentacja techniczna i oznakowanie CE dotyczą produktu.

Polski producent objęty zarówno zakresem KSC jako podmiot, jak i zakresem CRA jako producent produktów, prowadzi oba reżimy równocześnie. Powiadomienia o incydentach trafiają do CSIRT NASK w obu przypadkach, lecz same obowiązki są różne: KSC śledzi incydenty operacyjne na poziomie organizacji, akt o cyberodporności śledzi aktywnie wykorzystywane podatności i poważne incydenty na poziomie produktu. Termin samoidentyfikacji KSC przypadający na 3 października 2026 r. to zadanie na poziomie organizacji, odrębne od gotowości produktowej CRA. Rejestr KSC to nie platforma zgłaszania CRA.

Wymóg języka polskiego w praktyce

Akt o cyberodporności wymaga, aby informacje produktowe skierowane do użytkowników były w języku łatwo zrozumiałym dla użytkowników i krajowego organu nadzoru rynku. Dla produktów wprowadzanych na rynek polski jest to język polski. Art. 7 i 7a ustawy z dnia 7 października 1999 r. o języku polskim (Ustawa z dnia 7 października 1999 r. o języku polskim) niezależnie wymagają polskiego w nazwach produktów konsumenckich, warunkach gwarancji, fakturach, rachunkach, ostrzeżeniach, instrukcjach obsługi i informacjach o właściwościach produktu. Obowiązek wynikający z aktu o cyberodporności jest spójny z tym długotrwałym wymogiem krajowym.

Obowiązkowo po polsku:

• Instrukcje użytkowania i informacje o produkcie dołączone do produktu.
• Dane kontaktowe producenta, niezależnie od miejsca ich podania.
• Ujawnienie daty zakończenia wsparcia widoczne w punkcie sprzedaży.
• Warunki gwarancji i informacje o prawach konsumenta dołączone do produktu.

Dopuszczalne wielojęzycznie:

• Etykieta produktu i oznakowanie CE.
• Tekst na opakowaniu.
• Dokumentacja online, pod warunkiem dostępności wersji polskiej.

Język angielski jest zazwyczaj akceptowany w:

• Wewnętrznej dokumentacji technicznej. Krajowy organ nadzoru rynku może zażądać polskiego tłumaczenia na uzasadniony wniosek, dlatego warto zawczasu się na to przygotować.

Art. 7a ust. 1 ustawy z 1999 r. pozwala stosować czytelny wizualnie symbol lub znak, gdy charakter informacji na to pozwala. Art. 11 wyłącza nazwy własne, znaki towarowe, oznaczenia pochodzenia produktu oraz zwyczajowo stosowaną terminologię naukową lub techniczną z wymogu języka polskiego. Deklaracja zgodności UE musi być udostępniona w językach wymaganych przez państwo członkowskie, w którym produkt jest wprowadzany do obrotu lub udostępniany na rynku.

Sprzedaż transgraniczna z Polski

Polski producent sprzedający do Niemiec, Czech, Francji lub innego państwa członkowskiego UE podlega tej samej zasadzie pojedynczego routingu: powiadomienia nadal trafiają do CSIRT NASK, bo routing wynika z głównego miejsca prowadzenia działalności, nie z miejsca dostawy poszczególnych przesyłek. Zgłoszeń do CSIRT niemieckiego, czeskiego ani francuskiego nie składa się.

Obowiązek językowy rozgałęzia się natomiast na poszczególne rynki. Produkt wysyłany na rynek niemiecki wymaga treści skierowanych do użytkownika po niemiecku. Produkt wysyłany na rynek francuski wymaga treści po francusku. Jeden komplet materiałów w języku polskim nie pokrywa tych rynków.

Organ nadzoru rynku każdego państwa członkowskiego będącego odbiorcą może również zażądać dokumentacji technicznej w języku łatwo dla niego zrozumiałym. Producent działający szeroko na terenie całej UE powinien spodziewać się żądań w co najmniej jednym powszechnie stosowanym języku roboczym i traktować wcześniejsze tłumaczenie najczęściej wnioskowanych sekcji dokumentacji technicznej jako praktyczne zabezpieczenie.

Krajowe programy finansowania

W 2026 r. polska oferta finansowania inwestycji CRA obejmuje jeden wieloletni aktywny program, jeden zamykający się program oraz kilka dedykowanych linii cyberbezpieczeństwa.

• FENG (Fundusze Europejskie dla Nowoczesnej Gospodarki) to główny unijny program innowacji i wsparcia MŚP na lata 2021-2027, administrowany przez PARP. W maju 2025 r. Komisja zaakceptowała zmianę FENG wprowadzającą Priorytet 5 dla technologii obronnych zgodnych ze STEP i inwestycji podwójnego zastosowania, w tym cyberbezpieczeństwa. Odrębny Fundusz Transformacji Cyfrowej i Środowiskowej wewnątrz FENG otwiera nabór wniosków o pożyczki dla MŚP w III kwartale 2026 r. Narzędzia SBOM napędzane CRA, platformy obsługi podatności i infrastruktura bezpieczeństwa by design kwalifikują się tam, gdzie praca stanowi prawdziwą innowację lub cyfryzację procesu produkcyjnego.
• KPO (Krajowy Plan Odbudowy) to polski Plan Odbudowy i Zwiększania Odporności, z łączną pulą około 54,7 miliarda EUR (25,3 miliarda EUR dotacji, 29,4 miliarda EUR preferencyjnych pożyczek). Inwestycje KPO muszą być zrealizowane do 31 sierpnia 2026 r. zgodnie z wymogiem zachodu słońca NextGenerationEU, a ostateczne wnioski o płatność przypadają na 30 września 2026 r. KPO nie jest zatem realnym instrumentem planowania dla terminu CRA 11 grudnia 2027 r.
• Regionalne dotacje cyberbezpieczeństwa dla MŚP przez PARP i regionalne programy operacyjne mieszczą się zazwyczaj w przedziale od 20 000 do 200 000 PLN i obejmują audyty diagnostyczne, szkolenia z bezpiecznego wytwarzania i pilotaże narzędzi. Przydatne na etapie diagnozy wstępnej, niewystarczające dla pełnego programu CRA.

Dla inwestycji zgodności datowanych na termin 11 grudnia 2027 r. realistyczna publiczna oferta finansowania w Polsce to FENG (Priorytet 5 i Fundusz Transformacji Cyfrowej) oraz regionalne programy dla MŚP.

Artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. W celu uzyskania szczegółowych wskazówek dotyczących zgodności z CRA należy skonsultować się z wykwalifikowanym radcą prawnym.