Producenci elektroniki muszą zgłaszać podatności

Od 11 września 2026 roku producenci sprzętu i softu z cyfrowymi elementami grają według nowych, ostrych reguł. Firmy muszą teraz raportować poważne incydenty oraz znalezione podatności w swoich produktach. Koniec z milczeniem.

Zgłoszenia idą przez platformę Single Reporting Platform (SRP), którą nadzoruje Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA). W naszym kraju proces ten koordynuje CSIRT NASK.

Co musi zgłosić producent?

Lista jest długa: aplikacje mobilne, oprogramowanie, urządzenia Internetu Rzeczy i inne cyfrowe towary. Producenci raportują aktywnie wykorzystywane luki oraz poważne awarie bezpieczeństwa. Bez wyjątków.

Kiedy incydent uznaje się za poważny?

Chodzi o sytuacje uderzające w poufność, integralność, autentyczność lub dostępność kluczowych funkcji i wrażliwych danych. Do tej grupy trafiają też przypadki uruchomienia złośliwego kodu w sieci, systemach użytkownika lub samym urządzeniu.

Kluczowe terminy zgłoszeń

Czas goni. Wczesne ostrzeżenie trzeba wysłać w ciągu 24 godzin od wykrycia problemu. Pełne zgłoszenie z opisem produktu, charakterem awarii i planem naprawczym ma trafić do systemu w 72 godzinach.

Przy podatnościach sprawozdanie końcowe składa się w 14 dni od udostępnienia poprawki. W razie poważnego incydentu termin ten wydłuża się do miesiąca. Koordynujący CSIRT może żądać dodatkowych raportów.

Rola CSIRT NASK w Polsce

Za krajowy punkt kontaktowy w ramach art. 14 CRA odpowiada CSIRT NASK. To tutaj spływają dane z platformy SRP. Ma to przyspieszyć wymianę informacji o zagrożeniach i ograniczanie ryzyka.

Producenci muszą też informować użytkowników o lukach i sposobach ochrony.

Źródło: Ministerstwo Cyfryzacji