- Bezprawnik -
- Prawo -
- Masz w domu kamerę albo apkę na telefonie? Od teraz producent musi cię ostrzec, gdy coś pójdzie nie tak
Masz w domu kamerę albo apkę na telefonie? Od teraz producent musi cię ostrzec, gdy coś pójdzie nie tak
Od 11 września 2026 roku producenci aplikacji, urządzeń internetu rzeczy i systemów informatycznych mają nowy obowiązek: aktywnie wykorzystywane luki w zabezpieczeniach oraz poważne incydenty muszą zgłaszać ekspresowo. Wczesne ostrzeżenie w ciągu 24 godzin, pełne zgłoszenie w ciągu 72 godzin od chwili, w której dowiedzieli się o problemie. To skutek wejścia w życie kluczowego przepisu unijnego aktu o cyberodporności, a dla użytkowników, zarówno konsumentów, jak i firm, oznacza realnie większą ochronę.
Akt o cyberodporności (CRA): kogo dotyczą nowe przepisy
Rozporządzenie 2024/2847, znane jako akt o cyberodporności (Cyber Resilience Act, CRA), obejmuje tak zwane produkty z elementami cyfrowymi. Pod tą techniczną nazwą kryją się rzeczy, z których korzysta praktycznie każdy: aplikacje mobilne, sprzęt internetu rzeczy w rodzaju domowych kamer czy inteligentnych urządzeń, a także systemy informatyczne instalowane na infrastrukturze konkretnej firmy lub instytucji.
Nie wszystkie przepisy rozporządzenia obowiązują już teraz. Od 11 września 2026 roku stosowany jest art. 14, który dotyczy zgłaszania podatności i incydentów. Zasadnicza część regulacji, w tym wymogi dotyczące projektowania i wprowadzania produktów na rynek, zacznie obowiązywać dopiero od 11 grudnia 2027 roku (art. 71 ust. 2 CRA). Producenci dostają więc czas na dostosowanie, ale obowiązek reagowania na zagrożenia ciąży na nich już dziś.
Zgłaszanie podatności: liczą się godziny
Art. 14 CRA nakłada dwa podstawowe obowiązki: zgłaszanie aktywnie wykorzystywanych podatności oraz poważnych incydentów wpływających na bezpieczeństwo produktu. Kluczowe są terminy. Producent ma 24 godziny na przekazanie wczesnego ostrzeżenia i 72 godziny na złożenie właściwego zgłoszenia, licząc od momentu, w którym dowiedział się o luce lub incydencie.
Nie chodzi przy tym o teoretyczne ryzyko. Jak można przeczytać na stronie CERT Polska poświęconej dobrym praktykom związanym z CRA, „Obowiązkowemu zgłaszaniu podlegają wszystkie podatności, co do których istnieją wiarygodne przesłanki, że są aktywnie wykorzystywane". Normatywną miarą jest istnienie wiarygodnych dowodów, że ktoś działający w złych zamiarach wykorzystał lukę bez zgody właściciela systemu (art. 3 pkt 42 CRA). Skala problemu nie jest abstrakcyjna: o tym, jak łatwo przejąć zwykłą kamerę w domu, ostrzegały już wcześniej instytucje zajmujące się bezpieczeństwem w sieci.
Co CRA zmienia dla konsumentów i przedsiębiorców
Najważniejsza zmiana z perspektywy zwykłego użytkownika polega na tym, że informacja o zagrożeniu ma do niego trafić. Podobnie jak w RODO, także na gruncie CRA obowiązuje zasada równoległego powiadamiania: producent zawiadamia właściwe organy, ale też użytkowników produktu. Dla firmy korzystającej z takiego oprogramowania czy sprzętu jest to punkt wyjścia do oceny, czy doszło do naruszenia ochrony danych osobowych, które trzeba zgłosić Prezesowi UODO i osobom, których dane dotyczą (art. 33 i 34 RODO).
To istotne również dlatego, że pytanie o odpowiedzialność za wyciek danych bywa w praktyce trudne, a poszkodowani coraz częściej dochodzą swoich praw, w tym odszkodowania za wyciek danych osobowych. Im wcześniej administrator dowie się o luce w produkcie, z którego korzysta, tym większa szansa, że ograniczy szkody, zanim te w ogóle powstaną.
CRA domyka też lukę, której RODO nie regulowało. Chodzi o sytuację, w której producent dostarcza administratorowi oprogramowanie lub sprzęt, ale sam nie występuje ani jako administrator, ani jako podmiot przetwarzający dane w tym produkcie. Do tej pory administrator często w ogóle nie dostawał w takich razach informacji o podatnościach czy incydentach dotyczących narzędzia, na którym przetwarza dane. Teraz mechanizm monitorowania pojawia się niezależnie od tego, czy strony łączy umowa powierzenia. Na to, jak istotne jest podstawowe bezpieczeństwo kamer internetowych i innych podłączonych do sieci urządzeń, praktyka wskazywała od lat, ale dopiero teraz pojawia się twardy obowiązek raportowania.
CRA a RODO: jedno zgłoszenie nie zastąpi drugiego
Regulator ocenia nowe przepisy przychylnie. „Choć akt o cyberodporności nie jest bezpośrednio związany z ochroną danych osobowych, to wpływa na poprawę bezpieczeństwa systemów teleinformatycznych" komentuje Mirosław Wróblewski, Prezes Urzędu Ochrony Danych Osobowych. Jak dodaje: „Uważam, że to dobre rozwiązanie, które wymusza na producentach oprogramowania branie pod uwagę kwestii związanych z bezpieczeństwem i ochroną danych – w tym osobowych – już na etapie projektowania rozwiązań. O takie podejście UODO apeluje od dawna".
Zbieżność obu regulacji nie oznacza jednak, że wystarczy jedno zgłoszenie. Jeżeli producent w rozumieniu CRA odpowiada równocześnie na gruncie RODO, na przykład jako podmiot przetwarzający, obowiązki informacyjne z obu aktów realizuje równolegle, z uwzględnieniem różnic w rozumieniu samego pojęcia incydentu. Zgłoszenie na podstawie CRA nie zwalnia więc z obowiązków wynikających z RODO, w tym z poinformowania administratora o naruszeniu ochrony danych. Potwierdza to zresztą motyw 32 CRA, zgodnie z którym rozporządzenie nie narusza przepisów o ochronie danych. Dla podmiotów, które te obowiązki lekceważą, konsekwencją wciąż pozostaje kara RODO nakładana przez Prezesa UODO.
Wpływ nowych przepisów na standard ochrony danych ma monitorować Społeczny Zespół Ekspertów przy Prezesie UODO, na co zwraca uwagę jego przewodniczący Mirosław Gumularz, zapowiadając wsparcie regulatora podobne do tego przy ustawie o krajowym systemie cyberbezpieczeństwa.
Gdzie zgłaszać luki: platforma ENISA i biznes.gov.pl
Zgłoszenia trafiają na jedną platformę sprawozdawczą (SRP), utworzoną na podstawie art. 16 CRA i prowadzoną przez unijną Agencję ds. Cyberbezpieczeństwa (ENISA). W praktyce producent składa je za pośrednictwem krajowego zespołu CSIRT wyznaczonego na koordynatora w państwie swojej głównej unijnej siedziby, a zgłoszenie jest jednocześnie dostępne dla ENISA (art. 14 ust. 7 CRA).
Przedsiębiorca, który nie ma pewności, czy jego produkt w ogóle podlega nowym przepisom, może to zweryfikować. Odpowiednie narzędzie udostępniono na rządowym portalu biznes.gov.pl, gdzie da się ustalić, czy akt o cyberodporności dotyczy konkretnego produktu.
Na pełny obraz skutków CRA trzeba jednak poczekać. Krótkie, 24- i 72-godzinne terminy są wymagające, a zasadnicza część rozporządzenia zacznie obowiązywać dopiero pod koniec 2027 roku. O tym, czy przełoży się to na mniej wycieków i sprawniejsze ostrzeganie użytkowników, zdecyduje egzekwowanie przepisów w kolejnych miesiącach.
