Czym są normy zharmonizowane CRA? Status i tracker

Normy zharmonizowane to specyfikacje techniczne, które przekładają szerokie wymagania z Załącznika I aktu o cyberodporności na konkretne, sprawdzalne postanowienia. Ta strona wyjaśnia, czym są, i śledzi każdy projekt w ramach wniosku o normalizację M/606 Komisji Europejskiej: kategorię produktów, organizację, która go opracowuje, jego aktualny status oraz link do każdego publicznego projektu.

Czym jest norma zharmonizowana

Akt o cyberodporności określa swoje zasadnicze wymagania w zakresie cyberbezpieczeństwa w szerokich kategoriach prawnych. Norma zharmonizowana to specyfikacja techniczna, opracowana przez europejską organizację normalizacyjną na wniosek Komisji Europejskiej, która przekłada te wymagania na konkretne, sprawdzalne postanowienia.

Norma zharmonizowana nabiera mocy prawnej dopiero wtedy, gdy Komisja opublikuje odniesienie do niej w Dzienniku Urzędowym Unii Europejskiej (Dz.U. UE). Od tego momentu produkt zgodny z normą jest objęty domniemaniem spełnienia wymagań, które ta norma obejmuje. W praktyce daje to dwie rzeczy:

• daje producentom uznany, audytowalny sposób wykazania zgodności; oraz
• dla produktów ważnych w Klasie I zastosowanie opublikowanej normy zharmonizowanej pozwala producentowi przeprowadzić samoocenę w trybie wewnętrznej kontroli zamiast angażować jednostkę notyfikowaną. Nie usuwa to oceny przez stronę trzecią, której potrzebują produkty Klasy II i krytyczne, a zwykłe produkty spoza tych kategorii mogą już teraz przeprowadzić samoocenę samodzielnie.

Normy zharmonizowane to jedna z trzech ścieżek do tego domniemania. Kolejną jest certyfikat w ramach europejskiego programu certyfikacji cyberbezpieczeństwa, na podstawie art. 27 ust. 8, choć żaden program nie jest jeszcze uznany do celów CRA.

Status na 2 października 2026 r.: żadna norma zharmonizowana CRA nie ma opublikowanego odniesienia w Dzienniku Urzędowym. EN 40000-1-1 i EN 40000-1-2 przeszły głosowanie formalne CEN-CENELEC, a ich ratyfikacja jako EN jest zaplanowana na 2 listopada 2026 r. CEN-CENELEC nie oczekuje przywołania żadnej z nich w Dzienniku Urzędowym. 17 projektów produktowych ETSI jest w procedurze zatwierdzania ETSI, a każda inna norma w poniższych tabelach to wciąż projekt. Domniemanie zgodności oparte na normach, o którym mowa w art. 27 ust. 1, nie jest więc jeszcze dostępne. Zatwierdzenie, ratyfikacja jako EN i przywołanie w Dzienniku Urzędowym to osobne kamienie milowe, a domniemanie daje dopiero przywołanie. Korzystaj z projektów, aby wyprzedzić wymagania, nie jako z gotowej podstawy zgodności.

Normy horyzontalne i wertykalne

Komisja przyjęła podejście dwutorowe, dlatego każdy projekt normy należy do jednego z dwóch rodzajów:

• Normy horyzontalne tworzą wspólne ramy, metodologię i taksonomię, i mają zastosowanie do każdego produktu z elementami cyfrowymi.
• Normy wertykalne (zwane też produktowymi) obejmują specyficzne zagrożenia jednego typu produktu, na przykład routerów albo oprogramowania antywirusowego.

Trzy typy norm i ich terminy

Wniosek o normalizację M/606 porządkuje prace w trzy typy. Terminy w tabeli to terminy dostarczenia: data, do której dana organizacja normalizacyjna ma przekazać normę Komisji. Nie są to daty publikacji. Norma daje domniemanie zgodności z Artykułu 27 dopiero wtedy, gdy jej odniesienie pojawi się w Dzienniku Urzędowym, co następuje po dostarczeniu w terminie, którego Komisja jeszcze nie potwierdziła.

Kilka kwestii, których tabela nie wyjaśnia wprost:

• Typ A, ramowy: nadrzędna zasada Załącznika I brzmi: „Produkty z elementami cyfrowymi należy projektować, opracowywać i produkować tak, by zapewniały odpowiedni poziom cyberbezpieczeństwa stosownie do ryzyka." CEN-CENELEC nie oczekuje przywołania EN 40000-1-2 w Dzienniku Urzędowym. Norma wyznacza ramy i metodę zarządzania ryzykiem, nie dając domniemania zgodności.
• Typ B, obsługa podatności: oparty na dotychczasowych pracach ISO/IEC, obejmuje cały proces: od wykrycia i oceny wstępnej po usunięcie podatności.
• Typ C, produktowy: musi pozostawać spójny z typem A i typem B oraz ma zastosowanie zarówno do ważnych, jak i krytycznych kategorii produktów.

Typ A i typ B to horyzontalne części EN 40000-1. Typ C to każda norma produktowa w tabelach poniżej, w tym normy produktowe CEN EN 40000-10 i EN 40000-11.

Jak opracowywane są normy

Komisja zwróciła się do CEN, CENELEC i ETSI o opracowanie tych norm w drodze wniosku o normalizację M/606, wydanego decyzją wykonawczą Komisji C(2025) 618 final (3 lutego 2025):

• ETSI (Komitet Techniczny CYBER, CYBER-EUSR) opracowuje normy dla większości ważnych kategorii oprogramowania i produktów połączonych. Noszą one odniesienia EN 304 6xx i są najbardziej zaawansowane; ich projekty są publiczne w folderze otwartych konsultacji ETSI CYBER-EUSR, z historią prac w repozytoriach ETSI Labs STAN4CRA, i są linkowane pojedynczo poniżej.
• CEN i CENELEC opracowują normy horyzontalne (części EN 40000-1), profile technologii operacyjnej (seria EN 50770), normy dla platform układów scalonych i elementów bezpiecznych (EN 40001-3 do EN 40004-3) oraz prace nad tożsamością, skrzynkami zabezpieczającymi i kartami inteligentnymi w CEN/TC 224 (EN 40000-10, EN 40000-11 i EN 18330). Nie mają one jednego publicznego folderu; status śledzony jest poprzez macierz projektów normalizacyjnych DIN/DKE dotyczących CRA, wyszukiwarkę norm CEN/CENELEC oraz prace techniczne STAN4CRA.

Projekt przechodzi przez wersje grupy roboczej i publiczną ankietę CEN (w przypadku ETSI: otwarte konsultacje i głosowanie zatwierdzające), a następnie ratyfikację jako EN. CEN-CENELEC może pominąć osobne formalne głosowanie i opublikować normę bezpośrednio po pozytywnej ankiecie. Ratyfikacja wciąż nie jest metą: Komisja musi następnie przywołać odniesienie w Dzienniku Urzędowym, i dopiero to odniesienie uruchamia domniemanie zgodności. Na 2 października 2026 r. EN 40000-1-1 i EN 40000-1-2 przeszły głosowanie formalne, a ich ratyfikacja jest zaplanowana na 2 listopada 2026 r. 17 projektów ETSI dotyczących konkretnych produktów jest w procedurze zatwierdzania ETSI. Żadna norma na tej stronie nie została jeszcze ratyfikowana ani przywołana w Dzienniku Urzędowym. Komisja nie potwierdziła harmonogramu takich odniesień.

Jak czytać status

Poniższe tabele są pogrupowane według kategorii zgodności CRA. Normy horyzontalne mają zastosowanie do każdego produktu; normy wertykalne (produktowe) są podzielone na produkty ważne klasy I, produkty ważne klasy II i produkty krytyczne, ponieważ kategoria decyduje o ścieżce zgodności. Odniesienie normy pokazuje, kto ją opracowuje:

• EN 304 6xx: ETSI.
• EN 40000-1-x: CEN-CLC/JTC 13.
• EN 40000-10, EN 40000-11 i EN 18330: CEN/TC 224.
• EN 50770: profile technologii operacyjnej CLC/TC 65X, które działają równolegle do norm ETSI dla tych samych funkcji.
• EN 40001-3 do EN 40004-3: CLC/TC 47X. Zastępują one wcześniejsze oznaczenia projektowe EN 50765, EN 50766, EN 50764 i EN 50767, w tej kolejności.

Żadna norma nie osiągnęła jeszcze statusu "Zatwierdzona (ratyfikowana jako EN)" ani "Opublikowana w Dz.U. UE". EN 40000-1-1 i EN 40000-1-2 mają status "Zatwierdzona w głosowaniu formalnym", a ich ratyfikacja jest zaplanowana na 2 listopada 2026 r. Status odzwierciedla najnowsze publiczne dowody na dzień podany u góry tej strony.

Normy horyzontalne: seria EN 40000

Części EN 40000-1, opracowywane przez CEN-CLC/JTC 13, mają zastosowanie do każdego produktu z elementami cyfrowymi, na dodatek do każdej normy wertykalnej (produktowej) z sekcji poniżej. EN 40000-10 i EN 40000-11 to normy produktowe CEN/TC 224 i znajdują się w tabelach według kategorii.

Baza danych CEN-CENELEC odnotowuje „No citation expected for Directive 2024/2847" (nie oczekuje się przywołania) dla EN 40000-1-1 i EN 40000-1-2. Norma daje domniemanie zgodności dopiero po przywołaniu jej odniesienia w Dzienniku Urzędowym. Te dwie części ustalają więc wspólne słownictwo i metodę zarządzania ryzykiem, ale same nie otwierają ścieżki zgodności. EN 40000-1-3 figuruje z oczekiwanym przywołaniem.

Produkty ważne: Klasa I

Obejmują one kategorie z Załącznika III Klasy I. Zastosowanie opublikowanej normy zharmonizowanej pozwala producentowi z Klasy I przeprowadzić samoocenę w trybie wewnętrznej kontroli; bez niej zgodność trzeba wykazać w inny sposób.

Produkty ważne: Klasa II

Produkty Klasy II zawsze potrzebują oceny przez stronę trzecią (jednostkę notyfikowaną); norma zharmonizowana nie odblokowuje dla nich samooceny.

Produkty krytyczne

Produkty krytyczne (Załącznik IV) muszą stosować europejski program certyfikacji cyberbezpieczeństwa tam, gdzie jest on wymagany, albo w przeciwnym razie te same ścieżki oceny przez stronę trzecią co Klasa II. Norma zharmonizowana nie usuwa tego wymogu. Pozycje 39, 40 i 41 są opracowywane w trybie ograniczonego dostępu, ponieważ dotyczą wrażliwych produktów krytycznych. Dlatego ich projekty nie są publiczne.