Cyberbezpieczeństwo CRA

Czym jest moduł Cyberbezpieczeństwo CRA i do czego służy w firmie

Cyberbezpieczeństwo CRA to moduł eIntranet dla producentów sprzętu i oprogramowania, którzy muszą spełnić wymogi rozporządzenia (UE) 2024/2847, czyli Cyber Resilience Act. Prowadzą Państwo w nim rejestr produktów z elementami cyfrowymi, ich wersje i listę komponentów (SBOM), monitorują podatności i przygotowują zgłoszenia dla platformy ENISA. Moduł pilnuje też terminów: 24 godzin, 72 godzin i raportu końcowego.

Powstał z myślą o sytuacji, którą producent przeżywa raz na kilka lat, a musi ją opanować w ciągu jednego dnia: klient lub badacz bezpieczeństwa informuje, że w produkcie wykorzystywana jest podatność. Od 11.09.2026 obowiązek zgłaszania takich przypadków wynika z art. 14 rozporządzenia i dotyczy także produktów, które wprowadzili Państwo do obrotu na długo przed tą datą. Kto nie ma z góry wyznaczonych osób, przećwiczonej procedury i przeglądu komponentów, zaczyna organizować pracę w chwili, gdy zegar już tyka.

Moduł nie zastępuje prawnika ani jednostki notyfikowanej i niczego nie wysyła do urzędów. Zgłoszenie do platformy ENISA SRP składają Państwo ręcznie na jej portalu. Moduł przygotowuje do tego wartości w odpowiednich polach, pilnuje terminów i prowadzi zapis tego, co i kiedy zostało zgłoszone.

W firmie zazwyczaj korzystają z niego trzy role: osoba odpowiedzialna za produkt, która prowadzi rejestr i SBOM, decydent w sprawie stwierdzenia wykorzystania podatności wraz z zastępcą oraz przedstawiciele dla SRP, którzy faktycznie składają zgłoszenia. Zarząd i konsultant trafiają tu ze względu na analizę luk i dokumentację techniczną.

Jak działa Cyberbezpieczeństwo CRA w eIntranet krok po kroku

Praca w module przebiega dwiema ścieżkami, które spotykają się w sprawie według art. 14. Pierwsza to codzienna ewidencja, druga to procedura kryzysowa.

Ewidencja produktów i komponentów

Na zakładce Produkty z elementami cyfrowymi zakładają Państwo produkt z oficjalną nazwą, która trafi do zgłoszenia i do unijnej deklaracji zgodności. Odpowiadają Państwo, czy ma połączenie danych, czy podlega CRA i do jakiej kategorii należy (domyślny, produkt ważny klasy I lub II, krytyczny). Tryb CRA moduł ustala sam na podstawie tych odpowiedzi i nie można go ustawić ręcznie: produkt jest albo poza zakresem, albo obowiązuje go tylko zgłaszanie według art. 14, albo pełna CRA od 11.12.2027. Odpowiedź „Nie wiem” oznacza produkt żółtym znakiem zapytania jako niepewny.

Do produktu dodają Państwo wersję i wgrywają do niej SBOM w formacie CycloneDX 1.4 do 1.6 lub SPDX 2.2, 2.3 i 3.0.1. Import ma dwa kroki: najpierw podgląd z podsumowaniem, kontrolą jakości i różnicą względem poprzedniej wersji, dopiero potem przycisk Potwierdź import. Komponenty, których narzędzie nie widzi (RTOS, bootloader, biblioteki linkowane statycznie), uzupełniają Państwo ręcznie, a kolejny import ich nie rusza.

Od podatności do sprawy

Raz dziennie moduł porównuje komponenty z publicznym źródłem OSV i z katalogiem aktywnie wykorzystywanych podatności. Z każdego dopasowania powstaje ustalenie w stanie Oceniane. W zależności od wagi termin oceny wynosi od 60 dni dla niskiej do 7 dni dla krytycznej, a podatność oznaczona jako aktywnie wykorzystywana (KEV) jest oceniana w ciągu jednego dnia. Oceniają Państwo stanem Dotknięte, Niedotknięte (z uzasadnieniem i dowodami) lub Naprawione.

Dopasowanie w SBOM nie jest jeszcze ustaleniem w rozumieniu art. 14. Sprawę zakładają Państwo dopiero sami, czerwonym przyciskiem Załóż sprawę art. 14, gdy mają Państwo uzasadnioną pewność, że podatność w Państwa produkcie jest wykorzystywana. Podejrzenie może zgłosić także każdy z prawem odczytu modułu, przyciskiem Zgłoś podejrzenie w nagłówku.

Terminy i zgłoszenie

W szczegółach sprawy decydent wybiera Stwierdzono, Obserwujemy albo Nie zgłaszamy. Wybór Stwierdzono uruchamia odliczanie: wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie w ciągu 72 godzin. W przypadku podatności raport końcowy przysługuje w ciągu 14 dni od pierwszego dostępnego środka, w przypadku poważnego incydentu w ciągu miesiąca od powiadomienia. Przy każdej fazie klikają Państwo Przygotuj zgłoszenie, formularz wypełnia się danymi ze sprawy i produktów, kopiują Państwo pola do SRP, a w module rejestrują zgłoszenie z jego numerem.

Co potrafi moduł CRA

• Rejestr produktów z kategorią według załączników III i IV, procedurą oceny zgodności, okresem wsparcia i państwami, w których produkt jest na rynku. Moduł ostrzega, gdy okres wsparcia jest krótszy niż oczekiwany czas używania lub krótszy niż pięć lat.
• Baza zainstalowana: do produktu przypisują Państwo klientów z modułu CRM, a ich kraj jest używany przy propozycji państw członkowskich.
• Ustalenia dotyczące podatności z filtrem Aktywnie wykorzystywana (KEV), zbiorczą oceną wybranych wierszy i przejęciem oceny, gdy ten sam komponent w tej samej wersji został już rozpatrzony przy innej wersji produktu.
• Sprawy według art. 14 ze stanami od Sygnał – w ocenie do Zamknięto – zgłoszono, osią czasu i aktami w PDF dla nadzoru lub archiwum.
• Formularz zgłoszenia SRP według glosariusza SRP 1.3 z 25.09.2026: numery pól, liczniki znaków, kontrola pól obowiązkowych przed złożeniem i przycisk Kopiuj wszystko.
• Otrzymane zgłoszenia podatności (numery VR-…), publiczny formularz pod adresem /Security i szablon polityki skoordynowanego ujawniania podatności po czesku, angielsku i niemiecku.
• Analiza luk: 50 pytań w siedmiu obszarach od A do G, wynik na trzech poziomach, plan działań z przyciskiem Utwórz zadanie, mapa drogowa po kwartałach do 11.12.2027 i raport PDF.
• Zgodność i dokumentacja techniczna: wymagania załącznika I (I-1, I-2a do I-2m, II-1 do II-8), macierz ryzyka 5×5, załącznik VII, unijna deklaracja zgodności i informacje dla użytkownika według załącznika II.
• Zamrożone wyniki: końcowy raport analizy luk, załączniki zgłoszeń do SRP i zatwierdzone wersje dokumentów są zapisywane z odciskiem SHA-256 i nie można ich nadpisać ani usunąć.
• Historia i kosz: każda zmiana jest zapisywana z użytkownikiem, czasem oraz starą i nową wartością, także w przypadku odrzuconych prób bez uprawnień.

Gotowość do zgłaszania: przedstawiciele dla SRP, urlopy i procedura na 24 godziny

Najczęstsza porażka przy zgłaszaniu rzadko bywa techniczna. Do SRP zaloguje się tylko osoba, która zarejestrowała się na portalu przez EU Login z uwierzytelnianiem wieloskładnikowym i której związek z firmą zweryfikował koordynujący CSIRT. Rozpoczęte zgłoszenie widzi w SRP ponadto tylko jego autor. Gdy jedyny przedstawiciel jest na urlopie, nikt inny nie ma jak do niego dotrzeć.

Moduł pilnuje tego listą kontrolną Gotowość do zgłaszania (art. 14) na zakładce Przegląd CRA. Ma dziewięć punktów: zweryfikowany przedstawiciel główny i zastępczy, logowanie do SRP sprawdzone w ostatnich 90 dniach, decydent i jego zastępca (każdy to inna osoba), odbiorcy powiadomień, jasna klasyfikacja produktów, punkt kontaktowy z polityką CVD, ćwiczenie w ostatnich 12 miesiącach i dostępność ludzi w najbliższych 60 dniach. SRP dopuszcza jednego przedstawiciela głównego i najwyżej 20 zastępczych.

Jeśli włączony jest moduł Urlopy, Przegląd pokazuje żółte pasy w okresach, gdy nie ma kontaktu z żadnym przedstawicielem albo z decydentem i jego zastępcą. Liczą się tylko zatwierdzone urlopy, oczekujące i odrzucone nie. Raz dziennie rano przychodzi e-mail o okresach, które zaczynają się w ciągu 14 dni.

Na noc i weekend służy jednostronicowy PDF Procedura na 24 godziny: kontakty do decydenta i przedstawicieli z numerami telefonów z kart użytkowników, koordynujący CSIRT, osiem ponumerowanych kroków od sygnału po zgłoszenia równoległe oraz tabela pól, których SRP wymaga we wczesnym ostrzeżeniu. Warto go wydrukować. Raz w roku przećwiczcie całą procedurę jako sprawę ćwiczebną z etykietą ĆWICZENIE; ćwiczenie nie uruchamia żadnych prawdziwych terminów, a lista kontrolna go wymaga.

Jak wybrać narzędzie do CRA: o co pytać przed zakupem

Czy narzędzie odróżnia ewidencję od zgłaszania?

Wiele narzędzi potrafi tylko prowadzić listę komponentów. Zapytajcie, czy obsługują sprawę według art. 14 z trzema niezależnie biegnącymi terminami i czy liczą, od kiedy termin biegnie. W module CRA nic nie biegnie do chwili, gdy decydent wpisze ustalenie z datą i uzasadnieniem. Samo dopasowanie CVE ani wpis w katalogu KEV zegara nie uruchamiają.

Czy formularz odpowiada prawdziwej platformie?

Zgłoszenie składa się po angielsku w polach SRP. Sprawdźcie, czy narzędzie używa tych samych nazw i numerów pól co glosariusz platformy i ostrzega o brakującym polu obowiązkowym, zanim będziecie wypełniać je po raz drugi w portalu. Formularz w module odróżnia aktywnie wykorzystywaną podatność od poważnego incydentu oraz fazę zgłoszenia.

Czy po zgłoszeniu zostaje ślad, który da się obronić?

Złożone zgłoszenie jest zablokowane, załączniki blokują się przy zamknięciu sprawy, a korektę czasu stwierdzenia może wykonać tylko administrator z obowiązkowym uzasadnieniem; pierwotna wartość zostaje w aktach. Aktualizację na wniosek CSIRT według art. 14 ust. 6 ewidencjonują Państwo jako osobny zapis.

Co z produktami, które już są na rynku?

Zgłaszanie dotyczy także bazy zainstalowanej wprowadzonej do obrotu przed 11.12.2027 i trwa po zakończeniu sprzedaży, wsparcia, a nawet po wycofaniu z eksploatacji. Zapytajcie, czy narzędzie ustali tryb za Was i czy odróżni sprzęt z nowymi zamówieniami po 10.12.2027 od starszych egzemplarzy.

Ile kontroli dostaje osoba, która niczego nie konfigurowała?

Do modułu wchodzi każdy z prawem odczytu i może zgłosić podejrzenie. Edycja, finalizacja i usuwanie są rozdzielone na cztery poziomy uprawnień. Kto może zmieniać przedstawicieli dla SRP, określa osobny poziom Ustawienia modułu CRA.

Cyberbezpieczeństwo CRA dla małych producentów i firm z wieloma produktami

Mały producent urządzeń wbudowanych z trzema osobami w rozwoju nie potrzebuje certyfikowanego zespołu bezpieczeństwa, potrzebuje listy produktów, SBOM i jasności, kto zgłasza. Moduł daje mu stałą kolejność kroków i nie zmusza do pisania wewnętrznej instrukcji od zera. Wielkość przedsiębiorstwa ustawia się w module jako mikro (do 10 pracowników), małe (do 50), średnie (do 250) lub duże. Zgłaszać musi każdy bez względu na wielkość; moduł tylko ją ewidencjonuje i wstawia do zgłoszenia.

Firma programistyczna z dziesięcioma produktami i kilkudziesięcioma wersjami ma odwrotny problem: ilość. Pomagają zbiorcza ocena ustaleń, filtr według produktu, przejęta ocena tego samego komponentu i liczba przy pozycji w menu, która zlicza podejrzenia czekające na ocenę, sprawy w stanie Stwierdzono i ustalenia po terminie. Karta CRA na pulpicie podsumowuje otwarte sprawy, najbliższy termin i wynik ostatniej analizy luk.

Konsultant prowadzący analizę luk dla klienta otrzymuje poziom Zarządzanie CRA. Rozmowy zapisuje na zakładce Rozmowy, klientowi wysyła raport ze znakiem wodnym PROJEKT i go finalizuje. Kolejna runda powstaje jako kopia z przeniesionymi odpowiedziami.

Skąd moduł CRA bierze dane: SBOM, OSV, katalog KEV i otrzymane zgłoszenia

Wejście

Listę komponentów wgrywają Państwo jako plik SBOM. Jakość jest oceniana na trzech poziomach: minimum CRA (format czytelny maszynowo, komponent główny i zależności najwyższego poziomu), poziom BSI TR-03183-2 (CycloneDX 1.6 i nowszy lub SPDX 3.0.1, identyfikatory purl lub CPE, skrót SHA-512, licencje) i poziom uzupełniający. Ustalenia powstają tylko dla komponentów z purl z wersją lub z ważnym CPE, dlatego szczegóły wersji podają, ilu komponentów monitoring nie oceni.

Codzienne monitorowanie korzysta z publicznego źródła OSV i katalogu aktywnie wykorzystywanych podatności EUVD, a rezerwą jest amerykański katalog CISA. Komponenty z CPE są dodatkowo kolejno sprawdzane w źródle NVD, każdy mniej więcej raz w tygodniu. Zgłoszenia ze świata przychodzą też przez punkt kontaktowy: e-mailem, od klienta, od CSIRT albo z publicznego formularza /Security, który chroni captcha i limit 5 zgłoszeń na godzinę oraz 20 na dobę z jednego adresu IP.

Sprzęt

Żaden sprzęt nie jest potrzebny. Moduł działa w przeglądarce, a do generowania SBOM używają Państwo narzędzi, które już mają w procesie rozwoju.

Wynik

SBOM wybranej wersji eksportują Państwo w CycloneDX 1.6 (plik .cdx.json). Z analizy luk powstaje Raport PDF, Plan działań i mapa drogowa (XLSX) oraz Lista dokumentów źródłowych w XLSX i PDF. Przy sprawie jest to Akta (PDF), a z modułu Zadania mogą Państwo zlecić osobom odpowiedzialnym środki z planu działań. Plik security.txt według RFC 9116 moduł buduje sam z kontaktowego adresu e-mail; umieszczają go Państwo na stronie jako /.well-known/security.txt i odnawiają co roku, bo obowiązuje rok do przodu. Do SRP, urzędów ani klientów moduł niczego nie wysyła.

Ile kosztuje moduł Cyberbezpieczeństwo CRA

Moduł jest wliczony w cenę każdego planu eIntranet, osobna licencja na CRA nie istnieje. Płacą Państwo za użytkowników z dostępem do systemu, nie za produkty, wersje, komponenty ani liczbę spraw. Nie muszą więc Państwo liczyć, ile produktów można sobie pozwolić wpisać.

Przykład: zespół programistów i dwie osoby ze wsparcia, razem 8 użytkowników w planie Zaklad, płaci 8 × 2,4 € = 19,2 € miesięcznie bez VAT. Gdy firma urośnie o konsultanta i zarząd do 15 użytkowników, obowiązuje już stawka przedziału od 11 użytkowników: 15 × 2,1 € = 31,5 € miesięcznie. Plany Normal i Extra różnią się wielkością przestrzeni na użytkownika (0,5, 2 i 4 GB) oraz stawką; wszystkie moduły są wliczone w cenę każdego z nich. Pełny cennik znajduje się pod adresem /pl/pricelist.

Żaden sprzęt nie jest potrzebny. Jeśli chcą Państwo pomocy przy ustawieniu przedstawicieli i procedury, oferujemy konsultację i szkolenie w cenie 40 € za godzinę. Dostosowania na zamówienie, na przykład połączenie z Państwa systemem rozwojowym, to programowanie na zamówienie w cenie 52 € za godzinę. Za monitorowanie podatności ani za pomocników AI nie dopłacają Państwo nic; AI zużywa kredyty firmy i domyślnie jest wyłączona.

Rozwiązanie CRA za darmo: co da się zrobić bez płacenia i gdzie jest granica

Kto ma jeden produkt i przegląd jego komponentów, poradzi sobie na początek bez nas. SBOM potrafią wygenerować bezpłatne narzędzia, podatności monitoruje publiczna baza OSV, a katalog KEV jest publiczny. Arkusz w Excelu z kontaktami do osób zgłaszających i odnośnik do portalu SRP wystarczą na pierwszy miesiąc.

Granica pojawia się w trzech miejscach. Po pierwsze w dowodzeniu: Excel nie zarejestruje, kto i kiedy zmienił czas stwierdzenia, ani nie zablokuje złożonego zgłoszenia. Akta sprawy, których zażąda nadzór, składają Państwo wtedy ręcznie z e-maili. Po drugie w zastępowalności: arkusz nie ostrzeże, że obaj przedstawiciele dla SRP mają w piątek urlop. Po trzecie w liczbie produktów i wersji: gdy prowadzą Państwo dziesiątki SBOM, ręcznie nie znajdą Państwo, których wersji dotyczy nowa podatność w bibliotece.

Za darmo można wypróbować wszystko: 14 dni okresu próbnego bez zobowiązań, wraz ze sprawą ćwiczebną.

Jak wdrożyć moduł Cyberbezpieczeństwo CRA

Zacznijcie od ustawień: Ustawienia → Cyberbezpieczeństwo CRA → Ustawienia ogólne. Wartości zapisują się od razu po opuszczeniu pola, a każda zmiana trafia do historii. Przy pierwszym otwarciu modułu dane producenta są wstępnie wypełniane z karty firmy.

1. Dane producenta: firma, adres, e-mail dla użytkowników i strona internetowa. Zostaną użyte w deklaracji UE i w informacjach dla użytkownika.
2. Zgłaszanie według art. 14: państwo głównej siedziby (domyślnie Czechy), koordynujący CSIRT (domyślnie NÚKIB), wielkość przedsiębiorstwa, decydent i jego zastępca, cel wstępnej oceny sygnału (od 1 do 168 godzin, domyślnie 24) i przypomnienia przed terminem, na przykład 12;4;1.
3. Przedstawiciele dla SRP: dodajcie co najmniej jednego głównego i jednego zastępczego, uzupełnijcie datę weryfikacji przez CSIRT i zanotujcie sprawdzone logowanie.
4. Punkt kontaktowy: osobna skrzynka typu security@wasza-domena, polityka CVD z szablonu i w razie potrzeby publiczny formularz.
5. Uprawnienia: poziom Odczyt i zgłaszanie podejrzeń nadajcie całej firmie, Rozwiązywanie osobom z rozwoju, Zarządzanie CRA konsultantowi i przełożonemu.
6. Produkty i SBOM: załóżcie produkty, dodajcie wersje i wgrajcie SBOM. Tym uruchamia się codzienne monitorowanie.

Następnie otwórzcie Przegląd CRA: lista kontrolna pokaże, czego jeszcze brakuje, a odnośnik przy każdym punkcie prowadzi do miejsca poprawki. Analizę luk zalecamy założyć dopiero wtedy, gdy produkty są już w rejestrze.