Akt o cyberodporności: jakich dokumentów potrzebuje producent i jakie są terminy

Trzy terminy

Daty określa art. 71 ust. 2.

• 11 czerwca 2026 r.: rozdział IV o organach notyfikujących i jednostkach notyfikowanych (art. 35–51)
• 11 września 2026 r.: obowiązki zgłaszania przez producentów (art. 14), dla wszystkich produktów objętych rozporządzeniem
• 11 grudnia 2027 r.: wszystkie pozostałe obowiązki, także zestawienie podstawowych materiałów do produkcji oprogramowania

Kogo to dotyczy

Rozporządzenie stosuje się do udostępnianych na rynku produktów z elementami cyfrowymi, których przeznaczenie lub racjonalnie przewidywalne wykorzystanie obejmuje bezpośrednie lub pośrednie połączenie danych z urządzeniem lub siecią (art. 2 ust. 1). Może to być oprogramowanie, urządzenie podłączone do sieci albo maszyna ze sterowaniem i złączem danych. Niektóre produkty objęte własnymi przepisami, na przykład wyroby medyczne, są wyłączone (art. 2 ust. 2).

Produkty wprowadzone do obrotu przed 11 grudnia 2027 r. podlegają pozostałym wymaganiom tylko po istotnej modyfikacji (art. 69 ust. 2). Obowiązki zgłaszania stosuje się do nich mimo to (art. 69 ust. 3).

Jakie dokumenty muszą być gotowe od 11 grudnia 2027 r.

• Dokumentacja techniczna przed wprowadzeniem do obrotu, co najmniej z elementami z załącznika VII (art. 13 ust. 12, art. 31)
• W niej: opis ogólny, projekt i postępowanie z podatnościami, ocena ryzyka, podstawa ustalenia okresu wsparcia, zastosowane normy, sprawozdania z badań, kopia deklaracji
• Deklaracja zgodności UE według załącznika V (art. 28), dołączona do produktu albo jako uproszczona deklaracja zgodności UE według załącznika VI z dokładnym adresem strony internetowej (art. 13 ust. 20)
• Informacje i instrukcje dla użytkowników według załącznika II, w postaci elektronicznej lub papierowej (art. 13 ust. 18)
• Data zakończenia okresu wsparcia, co najmniej miesiąc i rok, jasno widoczna w momencie zakupu (art. 13 ust. 19)
• Zestawienie podstawowych materiałów do produkcji oprogramowania (SBOM) w powszechnie używanym formacie nadającym się do odczytu maszynowego, obejmujące co najmniej zależności najwyższego poziomu (załącznik I część II pkt 1)

Od kiedy obowiązuje SBOM

Źródła podają różne daty. Tekst jest jednoznaczny: art. 71 ust. 2 przyspiesza tylko art. 14 i rozdział IV. Zestawienie jest opisane w załączniku I część II, więc obowiązuje od 11 grudnia 2027 r. Rozporządzenie nie wymaga jego publikacji: gdy producent udostępnia je użytkownikom, podaje gdzie (załącznik II pkt 9). Organowi nadzoru rynku przekazuje je na uzasadniony wniosek (załącznik VII pkt 8). Format i elementy Komisja może określić aktem wykonawczym (art. 13 ust. 24).

Co warto dokumentować od 11 września 2026 r.

Aktywnie wykorzystywane podatności i poważne incydenty zgłasza się przez pojedynczą platformę sprawozdawczą: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe przy podatnościach najpóźniej 14 dni po udostępnieniu środka naprawczego, a przy incydentach w ciągu miesiąca (art. 14 ust. 2 i 4). Według Komisji platforma działa od 11 września 2026 r.

Warto więc zapisywać, kto zgłasza, kiedy producent dowiedział się o zdarzeniu i co zgłosił. Według wytycznych Komisji nie trzeba zgłaszać wstecz podatności, o których aktywnym wykorzystywaniu producent wiedział już przed 11 września 2026 r. Technicznego postępowania z podatnościami ta strona nie omawia.

Jak długo przechowywać

Dokumentację techniczną i deklarację przez co najmniej 10 lat po wprowadzeniu produktu do obrotu albo przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy (art. 13 ust. 13). To samo dotyczy informacji dla użytkowników (art. 13 ust. 18). Okres wsparcia wynosi co najmniej pięć lat, chyba że produkt ma być użytkowany krócej (art. 13 ust. 8). Importerzy przechowują kopię deklaracji równie długo (art. 19 ust. 6).

Na jakim etapie są firmy

ENISA przeprowadziła w 2026 r. ankietę wśród małych i średnich przedsiębiorstw (194 odpowiedzi z 31 krajów i regionów, według ENISA niereprezentatywna): 66 % znało akt przed ankietą. 42 % podało, że wymagane dokumenty rozumie tylko w ograniczonym stopniu albo wcale. Wzorów dokumentacji technicznej oczekiwało ponad 70 %.

Co zrobić teraz

• Sprawdzić dla każdego produktu, czy ma połączenie danych i czy podlega rozporządzeniu.
• Wskazać, kto zgłasza przez platformę, i zapisywać daty.
• Ustalić dla każdego produktu okres wsparcia i uzasadnić go.
• Zbudować układ dokumentacji technicznej według załącznika VII.
• Zaplanować, że deklaracja i informacje dla użytkowników będą dostępne pod stałym adresem.

Najczęstsze pytania