CRA — Cyber Resilience Act: obowiązki producentów (CE)
Dwudniowe szkolenie z rozporządzenia Cyber Resilience Act (CRA): obowiązki producentów produktów z elementami cyfrowymi wprowadzanych na rynek UE, bezpieczeństwo by design, obowiązek zgłaszania aktywnie wykorzystywanych podatności w ciągu 24 godzin oraz oznakowanie CE.
CRA zmienia bezpieczeństwo produktu w wymóg wprowadzenia na rynek
Cyber Resilience Act wprowadza to, czego dotąd brakowało w prawie produktowym UE — obowiązkowe wymogi cyberbezpieczeństwa dla produktów z elementami cyfrowymi, warunkujące oznakowanie CE. Producent, który nie spełni tych wymogów, nie będzie mógł legalnie wprowadzić produktu na rynek unijny. Szkolenie zaczyna od jednoznacznego ustalenia, które produkty organizacji są objęte regulacją i do której kategorii ryzyka należą.
Bezpieczeństwo przez cały cykl życia, nie tylko przy premierze
CRA wymaga zarządzania podatnościami i wydawania aktualizacji bezpieczeństwa przez cały okres wsparcia produktu, a nie wyłącznie w momencie jego wprowadzenia na rynek. Warsztat prowadzi przez budowę procesu obsługi podatności zdolnego dotrzymać 24-godzinnego terminu zgłaszania aktywnie wykorzystywanych podatności — jednego z najbardziej wymagających elementów regulacji.
Od dokumentacji technicznej do oznakowania CE
Ostatni moduł szkolenia przekłada wymogi na konkretną ścieżkę zgodności: zawartość dokumentacji technicznej, wybór między samooceną a udziałem jednostki notyfikowanej oraz deklarację zgodności UE prowadzącą do oznakowania CE. Pokazujemy też, jak wykorzystać istniejący program AppSec/DevSecOps jako punkt wyjścia, zamiast budować zgodność od zera.
Korzyści
- Zrozumienie zakresu CRA i tego, które produkty organizacji są nim objęte
- Wdrożenie wymogów bezpieczeństwa by design i by default w cyklu życia produktu
- Zbudowanie procesu zgłaszania aktywnie wykorzystywanych podatności w ciągu 24 godzin
- Przygotowanie dokumentacji technicznej i procedury oznakowania CE dla produktu z elementami cyfrowymi
Dla kogo jest to szkolenie?
Wymagania wstępne
- Podstawowa znajomość procesu wytwarzania produktu lub oprogramowania
Program szkolenia
Zakres CRA i kategorie produktów
- Rozporządzenie (UE) 2024/2847 — cel i miejsce w unijnym prawie produktowym
- Produkty z elementami cyfrowymi objęte regulacją (sprzęt i oprogramowanie)
- Kategorie produktów: zwykłe, ważne (klasy I i II) i krytyczne
- Harmonogram: główne obowiązki producentów od grudnia 2027, obowiązek zgłaszania wcześniej
Bezpieczeństwo by design i wymogi zasadnicze
- Wymogi zasadnicze cyberbezpieczeństwa (essential requirements) z załącznika I
- Bezpieczeństwo domyślne (secure by default) i minimalizacja powierzchni ataku
- Zarządzanie podatnościami przez cały okres wsparcia produktu
- Ocena ryzyka cyberbezpieczeństwa produktu i jej dokumentowanie
Obowiązek zgłaszania podatności i incydentów
- Zgłaszanie aktywnie wykorzystywanych podatności w ciągu 24 godzin do ENISA/CSIRT
- Zgłaszanie poważnych incydentów wpływających na bezpieczeństwo produktu
- Proces obsługi podatności i wydawania aktualizacji bezpieczeństwa
- Koordynowane ujawnianie podatności (coordinated vulnerability disclosure)
Dokumentacja techniczna i oznakowanie CE
- Zawartość dokumentacji technicznej wymaganej przez CRA
- Ocena zgodności: samoocena vs udział jednostki notyfikowanej (produkty ważne/krytyczne)
- Deklaracja zgodności UE i oznakowanie CE dla produktu z elementami cyfrowymi
- Mapowanie istniejącego programu bezpieczeństwa produktu na wymogi CRA
Formy realizacji
Online
- Wygoda uczestnictwa z dowolnego miejsca
- Interaktywne sesje na żywo z trenerem
- Materiały dostępne przez 30 dni
- Brak kosztów dojazdu
Stacjonarnie
- Bezpośredni kontakt z trenerem i grupą
- Intensywne warsztaty praktyczne
- Networking z innymi uczestnikami
- Pełne skupienie na nauce
Najczęściej zadawane pytania
Które produkty podlegają Cyber Resilience Act?
CRA obejmuje produkty z elementami cyfrowymi wprowadzane na rynek UE — zarówno sprzęt (np. urządzenia IoT, routery), jak i oprogramowanie — których działanie obejmuje bezpośrednie lub pośrednie połączenie z siecią lub urządzeniem. Regulacja dzieli produkty na zwykłe, ważne (klasy I i II) i krytyczne, z rosnącymi wymogami oceny zgodności. Na szkoleniu ustalamy, do której kategorii należą produkty Twojej organizacji.
Od kiedy obowiązują wymogi CRA?
Rozporządzenie (UE) 2024/2847 weszło w życie, ale jego obowiązki są stosowane etapowo: obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów zaczyna obowiązywać wcześniej, natomiast główne obowiązki producentów (bezpieczeństwo by design, dokumentacja, oznakowanie CE) stosuje się od grudnia 2027 roku. Na szkoleniu omawiamy ten harmonogram i pokazujemy, jak wykorzystać czas na przygotowanie.
Co oznacza obowiązek zgłaszania podatności w ciągu 24 godzin?
CRA nakłada na producenta obowiązek zgłoszenia aktywnie wykorzystywanej podatności (czyli takiej, która jest już wykorzystywana w atakach) w ciągu 24 godzin od jej wykrycia — wczesne ostrzeżenie do właściwego CSIRT i ENISA, z późniejszymi bardziej szczegółowymi zgłoszeniami. Na warsztacie budujemy proces obsługi podatności zdolny dotrzymać tego terminu.
Czy każdy produkt wymaga udziału jednostki notyfikowanej w ocenie zgodności?
Nie — dla produktów zwykłych CRA dopuszcza samoocenę zgodności przez producenta, natomiast dla produktów ważnych klasy II i krytycznych wymagany jest udział jednostki notyfikowanej lub zastosowanie odpowiednich schematów certyfikacji. Na szkoleniu pomagamy zaklasyfikować produkt i dobrać właściwą ścieżkę oceny zgodności.
Jak CRA odnosi się do programu AppSec/DevSecOps, który już mamy?
Istniejący program bezpieczeństwa aplikacji (SAST/DAST/SCA, zarządzanie podatnościami) stanowi solidną podstawę pod wymogi CRA, ale CRA idzie dalej — dodaje formalne obowiązki dokumentacji technicznej, oceny zgodności i oznakowania CE oraz twardy termin zgłaszania podatności. Na szkoleniu pokazujemy, jak zmapować istniejący program na wymogi CRA i uzupełnić brakujące elementy.
Poproś o ofertę
Możliwości dofinansowania
Sprawdź możliwości dofinansowania dla Twojej firmy
Baza Usług Rozwojowych
Instrument dla mikro, małych i średnich firm — sprawdź, czy dotyczy Twojej organizacji
Sprawdź dostępnośćKrajowy Fundusz Szkoleniowy
Instrument dla pracodawców — pomagamy sprawdzić, czy da się go zastosować
Dowiedz się więcejZaufali nam
Szkolimy zespoły największych polskich firm
Zainteresowany tym szkoleniem?
Skontaktuj się z nami - przygotujemy ofertę dopasowaną do potrzeb Twojego zespołu.