[{"data":1,"prerenderedAt":358},["ShallowReactive",2],{"blog-posts-en":3,"blog-post-the-cra-clock-is-already-running":80},[4,17,28,34,44,53,64,72],{"path":5,"stem":6,"title":7,"description":8,"date":9,"tags":10,"readingTime":15,"lang":16},"/blog/what-cra-compliance-takes-for-a-small-hardware-team","blog/what-cra-compliance-takes-for-a-small-hardware-team","What CRA compliance actually takes for a small hardware team","I turned every Cyber Resilience Act obligation for device makers into one checklist. What it asks of a connected product, and what I would do first.","2026-10-04",[11,12,13,14],"cra","iot","security","compliance","8 min read","en",{"path":18,"stem":19,"title":20,"description":21,"date":22,"tags":23,"readingTime":27,"lang":16},"/blog/one-golden-certificate-for-the-whole-production-line","blog/one-golden-certificate-for-the-whole-production-line","One golden certificate for the whole production line","Give every device its own X.509 identity in AWS IoT Core without flashing certificates unit by unit, using a shared claim certificate and fleet provisioning.","2026-10-01",[12,24,13,25,26],"aws","provisioning","esp32","9 min read",{"path":29,"stem":30,"title":31,"description":32,"date":22,"tags":33,"readingTime":27,"lang":16},"/blog/the-cra-clock-is-already-running","blog/the-cra-clock-is-already-running","The CRA clock is already running on devices you shipped years ago","Since 11 September 2026 the CRA's 24-hour reporting duty covers every connected product on the EU market, old ones too. What it means for a small hardware team.",[11,12,13,14],{"path":35,"stem":36,"title":37,"description":38,"date":39,"tags":40,"readingTime":43,"lang":16},"/blog/updating-firmware-on-a-fleet-without-bricking-it","blog/updating-firmware-on-a-fleet-without-bricking-it","Updating firmware on fifty thousand ESP32s without bricking any","Over-the-air updates for a large ESP32 fleet: partition layout and rollback, signed images, staged rollouts and the cost of sending a megabyte to every device.","2026-09-30",[12,26,41,42],"firmware","ota","7 min read",{"path":45,"stem":46,"title":47,"description":48,"date":39,"tags":49,"readingTime":43,"lang":16},"/blog/where-the-battery-goes-on-an-lte-m-sensor","blog/where-the-battery-goes-on-an-lte-m-sensor","Where the battery goes on an LTE-M sensor","The power budget of a battery powered LTE-M sensor, why the radio dominates it, and the settings that decide whether a battery lasts one year or five.",[12,50,51,52],"embedded","lte-m","low-power",{"path":54,"stem":55,"title":56,"description":57,"date":58,"tags":59,"readingTime":63,"lang":16},"/blog/building-an-llm-trading-bot","blog/building-an-llm-trading-bot","So everyone is building LLM trading bots now","I kept hearing about language models that trade on their own, so I dug into how these bots work, where they fall apart and what I would build instead.","2026-09-29",[60,61,62],"ai","llm","trading","6 min read",{"path":65,"stem":66,"title":67,"description":68,"date":58,"tags":69,"readingTime":71,"lang":16},"/blog/jev-a-model-that-only-decides","blog/jev-a-model-that-only-decides","JEV: a model that only decides","TypeSafe AI's JEV returns typed answers with calibrated probabilities and never writes a word. What it is, where it fits, and what to be careful about.",[60,61,70],"jev","5 min read",{"path":73,"stem":74,"title":75,"description":76,"date":58,"tags":77,"readingTime":15,"lang":16},"/blog/storing-a-reading-a-minute-from-100k-devices","blog/storing-a-reading-a-minute-from-100k-devices","Storing a reading a minute from 100,000 devices","What it actually takes to ingest, deduplicate and keep a year of per-minute telemetry from a fleet of a hundred thousand devices, and where the costs hide.",[12,78,79],"data-engineering","timescaledb",{"original":81,"pl":223},{"id":82,"title":31,"author":83,"body":84,"date":22,"description":32,"extension":215,"lang":16,"meta":216,"navigation":217,"path":29,"readingTime":27,"seo":218,"sitemap":219,"stem":30,"tags":220,"updated":221,"__hash__":222},"blog/blog/the-cra-clock-is-already-running.md","Bartosz Szczepanik",{"type":85,"value":86,"toc":203},"minimark",[87,91,94,99,102,105,108,112,115,118,121,125,128,131,134,138,141,144,147,151,154,157,161,164,167,171,174,177,196,200],[88,89,90],"p",{},"Over the last few weeks I have read more articles about the Cyber Resilience Act than I would like to admit, and a surprising number of them contradict each other. One says the reporting platform is not live yet. Another says every known CVE in your firmware has to be reported within a day. A third says you only need to care from December 2027. Most of them were written before the Commission published its official guidance at the end of July, and some of them are simply wrong.",[88,92,93],{},"So I went back to the regulation itself, the Commission's guidance and ENISA's own documentation for the reporting platform, and tried to work out what actually applies today to a small company that makes connected hardware. This is what I found. I am an engineer and nothing here is legal advice, but everything below comes from the official texts and I have tried hard to keep my own opinions clearly separate from them.",[95,96,98],"h2",{"id":97},"the-part-that-is-already-in-force","The part that is already in force",[88,100,101],{},"The CRA has been law since December 2024, and most of it applies from 11 December 2027. That later date is the one most people remember, and it covers the big design obligations, the technical documentation and the CE marking.",[88,103,104],{},"The reporting duty in Article 14 is different. It has applied since 11 September 2026, and it covers every product with digital elements available on the EU market, including products that were placed on the market long before the CRA existed. If you sold a fleet of LTE trackers in 2021 and they are still out there, the reporting duty applies to them today. The Commission's guidance goes further and says it keeps applying after a product's support period has ended. The vulnerability handling requirements end with the support period, and the duty to report stays with the product for as long as it is in use.",[88,106,107],{},"This was the single most useful thing I learned, because it means every company with devices in the field needs to act now, including the ones that thought the CRA was a 2027 problem.",[95,109,111],{"id":110},"what-actually-has-to-be-reported","What actually has to be reported",[88,113,114],{},"There are exactly two triggers. The first is an actively exploited vulnerability, which the regulation defines as one where there is reliable evidence that a malicious actor has exploited it in a system without the owner's permission. The second is a severe incident, meaning something that affects or could affect the ability of the product to protect the availability, authenticity, integrity or confidentiality of sensitive or important data or functions, or that has led or could lead to malicious code running on the product or in the user's network. A stolen code signing key or a compromised update server would clearly count.",[88,116,117],{},"What does not have to be reported matters just as much. A CVE appearing in a database for a library you ship is not, by itself, an actively exploited vulnerability in your product. The guidance is explicit here. If a third-party component has a vulnerability that cannot be exploited in your product, for example because the vulnerable code is never reached, or that has not been exploited in your product, mandatory reporting does not apply. You still have to handle it, tell the maintainer of the component and fix it within your support period, but the 24-hour clock does not start.",[88,119,120],{},"The guidance also settles when the clock starts. You are considered aware when, after a prompt initial assessment, you have a reasonable degree of certainty that exploitation is happening. A vague email from a stranger does not start the clock. Sitting on that email for a week without looking at it is also exactly what the guidance warns against, since the emphasis is on assessing quickly. And there is no retroactive duty. Exploitation you already knew about before 11 September 2026 does not need to be reported now, although anything you learn about after that date does.",[95,122,124],{"id":123},"the-clock-itself","The clock itself",[88,126,127],{},"Once you are aware, the sequence is fixed. An early warning goes in within 24 hours, with little more than what happened and which EU countries the product is sold in. A fuller notification follows within 72 hours, with an initial assessment and any mitigations users can apply. The final report is due 14 days after a fix or mitigation is available for an exploited vulnerability, or one month after the 72-hour notification for a severe incident.",[88,129,130],{},"Alongside that, you have to inform the users who are affected. The guidance treats this in a sensible, risk-based way. It does not have to mean a public announcement with technical details, and for products used in sensitive environments it explicitly allows you to limit the information to the customers concerned until a fix is out. Once a security update exists, the vulnerability handling rules do expect you to publish information about the fixed vulnerability.",[88,132,133],{},"There is one detail in the penalties that I think will matter to many readers. Micro and small enterprises cannot be fined for missing the 24-hour early warning deadline. The other deadlines and the obligations themselves still apply in full, and for everyone else the fines for breaching Article 14 go up to fifteen million euros or two and a half percent of worldwide turnover, whichever is higher.",[95,135,137],{"id":136},"where-you-report-and-what-that-means-in-practice","Where you report, and what that means in practice",[88,139,140],{},"Reports go through ENISA's Single Reporting Platform, which has been live since 11 September. You submit once, to the national CSIRT of the country where your company has its main establishment, and the platform shares it with ENISA and the other countries involved.",[88,142,143],{},"Two practical details from ENISA's documentation surprised me. Access requires a personal EU Login account with multi-factor authentication, held by someone the company designates, and registration has a verification step. There can be one primary representative and up to twenty secondary ones. My strong advice is to do this now, on a quiet afternoon, and not at two in the morning with the 24-hour clock already running.",[88,145,146],{},"The second detail is that the platform has no API at launch. Every notification is typed into a web form by a person. Any tool that promises to submit your CRA reports automatically is promising something the platform does not currently support. What software can do is everything around the form, which is exactly where most of the time goes.",[95,148,150],{"id":149},"your-backend-is-part-of-the-product","Your backend is part of the product",[88,152,153],{},"This one matters a lot for IoT. The CRA defines a product to include its remote data processing, which the guidance explains as the server-side software the manufacturer designs, without which the product could not perform one of its functions. Its own worked example is a smart thermostat with an app and a cloud backend running on third-party infrastructure, and the conclusion is that the backend is part of the product for CRA purposes, reporting included.",[88,155,156],{},"For a typical connected device this means the Lambda functions, the MQTT rules, the provisioning service and the API behind the mobile app are all in scope. A managed service you only configure, such as a hosted MQTT broker, is treated more like a component you have to assess and choose carefully. In practice, if your provisioning service gets breached, that is a CRA incident for your device.",[95,158,160],{"id":159},"two-claims-i-keep-seeing-that-are-wrong","Two claims I keep seeing that are wrong",[88,162,163],{},"The first is that the support period is five years. The regulation sets five years as a minimum, unless the product is genuinely expected to be used for less, and the Commission's guidance says plainly that five years is not a default. A product expected to stay in use for longer needs a longer support period. Anyone shipping energy meters, industrial controllers or building sensors that stay on a wall for ten or fifteen years should read that sentence twice. The end date also has to be shown, at least as month and year, at the time of purchase.",[88,165,166],{},"The second is that you need a complete, perfect SBOM of everything down to the last transitive dependency. The text asks for a software bill of materials in a commonly used, machine-readable format covering at least the top-level dependencies. Going deeper is good practice and makes the vulnerability work much easier, but the legal floor is lower than many articles suggest. For ESP-IDF projects, Espressif already ships tooling that generates an SPDX SBOM and checks it against known vulnerabilities, which covers a large part of this for free.",[95,168,170],{"id":169},"what-a-small-team-actually-needs","What a small team actually needs",[88,172,173],{},"When I put all of this together, the work for a typical hardware company with a few thousand devices in the field turns out to be mostly about being able to answer a few questions quickly. Which firmware versions are running where, and what is inside each of them. Which of the vulnerabilities published this week touch a component you ship, and whether the vulnerable code is reachable in your build. Who in the company owns the decision that something is being actively exploited, and who has the EU Login account to file the early warning. How you will tell affected customers, and how you will prove later that the fleet actually took the fix.",[88,175,176],{},"None of these needs a large compliance platform. They need an SBOM per firmware release, a list of device versions from your fleet backend, a daily check of new vulnerabilities against those SBOMs, a short written procedure for the 24-hour decision, and a template for each of the three reports with the fields ENISA asks for. Most teams already have half of the data in their build system and their IoT backend. It just has never been joined up.",[88,178,179,180,185,186,190,191,195],{},"That joining up is the part I find most interesting as an engineer, and it is what I am building tooling for right now. The first pieces are free on this site already, a ",[181,182,184],"a",{"href":183},"/cra/reporting-clock","reporting clock"," that works out your deadlines and lists the fields ENISA asks for at each stage, a ",[181,187,189],{"href":188},"/cra/scope-check","scope check"," and a ",[181,192,194],{"href":193},"/cra/security-txt","security.txt generator",". If you make connected devices and are working through any of this, especially if you are a small team that suddenly has to own a 24-hour clock, I would be glad to talk.",[95,197,199],{"id":198},"a-note-on-what-is-still-moving","A note on what is still moving",[88,201,202],{},"Some of this will keep changing. The harmonised standards that will make the 2027 obligations easier to demonstrate are still being written, ENISA updates its platform guidance regularly, and the Commission described its July guidance as a first set. The core of the reporting duty is in the regulation itself, though, and that part is settled. If your devices are on the EU market, the clock has been running since September.",{"title":204,"searchDepth":205,"depth":205,"links":206},"",2,[207,208,209,210,211,212,213,214],{"id":97,"depth":205,"text":98},{"id":110,"depth":205,"text":111},{"id":123,"depth":205,"text":124},{"id":136,"depth":205,"text":137},{"id":149,"depth":205,"text":150},{"id":159,"depth":205,"text":160},{"id":169,"depth":205,"text":170},{"id":198,"depth":205,"text":199},"md",{},true,{"title":31,"description":32},{"loc":29},[11,12,13,14],null,"eN0J8M-Merk00boVHEbU9XaVSdeLEJgRy6zWQhZxQiw",{"id":224,"title":225,"author":83,"body":226,"date":22,"description":351,"extension":215,"lang":352,"meta":353,"navigation":217,"path":29,"readingTime":354,"seo":355,"stem":30,"tags":356,"updated":221,"__hash__":357},"blogPl/blog/the-cra-clock-is-already-running.md","Zegar CRA już tyka, także dla urządzeń sprzedanych lata temu",{"type":85,"value":227,"toc":341},[228,231,234,238,241,244,247,251,254,257,260,264,267,270,273,277,280,283,286,290,293,296,300,303,306,310,313,316,334,338],[88,229,230],{},"Przez ostatnie tygodnie przeczytałem o Cyber Resilience Act więcej artykułów, niż chciałbym się przyznać, i spora część z nich wzajemnie sobie przeczy. W jednym czytam, że platforma do zgłoszeń jeszcze nie działa. W innym, że każde znane CVE w firmware trzeba zgłosić w ciągu doby. W trzecim, że tematem wystarczy się zająć od grudnia 2027. Większość powstała, zanim Komisja opublikowała pod koniec lipca oficjalne wytyczne, a niektóre są po prostu błędne.",[88,232,233],{},"Sięgnąłem więc do źródeł: do samego rozporządzenia, do wytycznych Komisji i do dokumentacji platformy zgłoszeniowej przygotowanej przez ENISA. Chciałem ustalić, co dziś faktycznie obowiązuje małą firmę, która produkuje urządzenia IoT. Poniżej zebrałem wnioski. Jestem inżynierem, więc nic tutaj nie jest poradą prawną, ale wszystko, co piszę, opiera się na oficjalnych tekstach, a własne opinie starałem się wyraźnie od nich oddzielać.",[95,235,237],{"id":236},"co-obowiązuje-już-teraz","Co obowiązuje już teraz",[88,239,240],{},"CRA jest prawem od grudnia 2024, a większość jego przepisów stosuje się od 11 grudnia 2027. Tę późniejszą datę zapamiętała większość ludzi i to jej dotyczą główne obowiązki projektowe, dokumentacja techniczna i oznakowanie CE.",[88,242,243],{},"Z obowiązkiem zgłaszania z artykułu 14 jest inaczej. Stosuje się go od 11 września 2026 i obejmuje każdy produkt z elementami cyfrowymi udostępniony na rynku UE, także taki, który wprowadzono do obrotu długo przed powstaniem CRA. Jeśli w 2021 sprzedałeś flotę trackerów LTE, które nadal pracują u klientów, obowiązek zgłaszania dotyczy ich już dziś. Wytyczne Komisji idą jeszcze dalej: obowiązek ten trwa również po zakończeniu okresu wsparcia produktu. Wymagania dotyczące obsługi podatności wygasają razem z okresem wsparcia, natomiast obowiązek zgłaszania towarzyszy produktowi tak długo, jak długo ktoś go używa.",[88,245,246],{},"Dla mnie to najcenniejsza informacja z całej lektury, bo oznacza, że każda firma z urządzeniami w terenie musi działać już teraz, także ta, która uważała CRA za problem na 2027 rok.",[95,248,250],{"id":249},"co-właściwie-podlega-zgłoszeniu","Co właściwie podlega zgłoszeniu",[88,252,253],{},"Są dokładnie dwie sytuacje, które uruchamiają obowiązek. Pierwsza to aktywnie wykorzystywana podatność, czyli według definicji z rozporządzenia taka, co do której istnieją wiarygodne dowody, że złośliwy podmiot wykorzystał ją w systemie bez zgody jego właściciela. Druga to poważny incydent, czyli zdarzenie, które wpływa lub może wpłynąć na zdolność produktu do ochrony dostępności, autentyczności, integralności lub poufności wrażliwych albo ważnych danych lub funkcji, albo które doprowadziło lub może doprowadzić do uruchomienia złośliwego kodu w produkcie lub w sieci użytkownika. Skradziony klucz do podpisywania kodu czy przejęty serwer aktualizacji z pewnością się tu mieszczą.",[88,255,256],{},"Równie ważne jest to, czego zgłaszać nie trzeba. Wpis w bazie CVE dotyczący biblioteki, której używasz w firmware, sam w sobie nie oznacza aktywnie wykorzystywanej podatności w produkcie. Wytyczne mówią to wprost. Jeśli komponent zewnętrzny ma podatność, której nie da się wykorzystać w twoim produkcie (na przykład dlatego, że podatny kod nigdy się nie wykonuje) albo która nie została w nim wykorzystana, obowiązkowe zgłoszenie nie ma zastosowania. Nadal musisz się nią zająć, poinformować opiekuna komponentu i usunąć ją w okresie wsparcia, ale 24-godzinny zegar nie rusza.",[88,258,259],{},"Wytyczne rozstrzygają też, od kiedy liczy się czas. Uznaje się, że wiesz o problemie, gdy po szybkiej wstępnej ocenie masz rozsądny stopień pewności, że podatność jest wykorzystywana. Niejasny mail od nieznajomego nie uruchamia zegara. Z kolei odłożenie takiego maila na tydzień bez czytania to dokładnie to, przed czym wytyczne przestrzegają, bo kładą nacisk na szybką ocenę. Obowiązek nie działa też wstecz. Wykorzystania podatności, o którym wiedziałeś przed 11 września 2026, nie musisz teraz zgłaszać, natomiast wszystko, czego dowiesz się po tej dacie, już tak.",[95,261,263],{"id":262},"jak-biegnie-zegar","Jak biegnie zegar",[88,265,266],{},"Od chwili, w której wiesz o problemie, kolejność jest z góry ustalona. W ciągu 24 godzin składasz wczesne ostrzeżenie, które zawiera niewiele więcej niż opis tego, co się stało, i listę krajów UE, w których produkt jest sprzedawany. W ciągu 72 godzin wysyłasz pełniejsze zgłoszenie ze wstępną oceną i ewentualnymi środkami zaradczymi, które mogą zastosować użytkownicy. Raport końcowy składasz w przypadku wykorzystywanej podatności 14 dni po udostępnieniu poprawki lub środka zaradczego, a w przypadku poważnego incydentu miesiąc po zgłoszeniu 72-godzinnym.",[88,268,269],{},"Równolegle trzeba poinformować użytkowników, których sprawa dotyczy. Wytyczne podchodzą do tego rozsądnie i uzależniają zakres informacji od ryzyka. Nie musi to być publiczny komunikat ze szczegółami technicznymi, a przy produktach używanych we wrażliwych środowiskach wytyczne wprost pozwalają ograniczyć informację do zainteresowanych klientów do czasu wydania poprawki. Kiedy aktualizacja bezpieczeństwa jest już dostępna, zasady obsługi podatności wymagają opublikowania informacji o usuniętej podatności.",[88,271,272],{},"W przepisach o karach jest jeden szczegół, który moim zdaniem zainteresuje wielu czytelników. Mikroprzedsiębiorstw i małych przedsiębiorstw nie można ukarać za przekroczenie 24-godzinnego terminu na wczesne ostrzeżenie. Pozostałe terminy i same obowiązki obowiązują jednak w pełni, a wszystkim innym za naruszenie artykułu 14 grożą kary do piętnastu milionów euro lub dwóch i pół procent światowego obrotu, w zależności od tego, która kwota jest wyższa.",[95,274,276],{"id":275},"gdzie-zgłaszać-i-co-to-oznacza-w-praktyce","Gdzie zgłaszać i co to oznacza w praktyce",[88,278,279],{},"Zgłoszenia przechodzą przez Single Reporting Platform prowadzoną przez ENISA, która działa od 11 września. Zgłoszenie składasz raz, do krajowego CSIRT-u państwa członkowskiego, w którym firma ma główną siedzibę, a platforma przekazuje je ENISA i pozostałym zainteresowanym państwom.",[88,281,282],{},"W dokumentacji ENISA zaskoczyły mnie dwie praktyczne kwestie. Pierwsza: dostęp wymaga osobistego konta EU Login z uwierzytelnianiem wieloskładnikowym, które należy do osoby wyznaczonej przez firmę, a rejestracja obejmuje etap weryfikacji. Firma może mieć jednego głównego przedstawiciela i maksymalnie dwudziestu dodatkowych. Bardzo radzę załatwić to teraz, w spokojne popołudnie, a nie o drugiej w nocy, gdy 24-godzinny zegar już tyka.",[88,284,285],{},"Druga: platforma na starcie nie ma API. Każde zgłoszenie ktoś musi ręcznie wpisać w formularz na stronie. Narzędzie, które obiecuje automatyczne wysyłanie zgłoszeń CRA, obiecuje więc coś, czego platforma obecnie nie obsługuje. Oprogramowanie może natomiast przejąć wszystko, co dzieje się wokół formularza, a właśnie tam schodzi najwięcej czasu.",[95,287,289],{"id":288},"backend-też-jest-częścią-produktu","Backend też jest częścią produktu",[88,291,292],{},"W IoT ma to ogromne znaczenie. CRA zalicza do produktu również zdalne przetwarzanie danych, a wytyczne wyjaśniają, że chodzi o zaprojektowane przez producenta oprogramowanie po stronie serwera, bez którego produkt nie mógłby realizować którejś ze swoich funkcji. Wytyczne omawiają to na przykładzie inteligentnego termostatu z aplikacją i backendem w chmurze działającym na infrastrukturze zewnętrznego dostawcy. Wniosek: w rozumieniu CRA backend jest częścią produktu, także jeśli chodzi o zgłoszenia.",[88,294,295],{},"Dla typowego urządzenia IoT oznacza to, że regulacja obejmuje funkcje Lambda, reguły MQTT, usługę provisioningu i API, z którego korzysta aplikacja mobilna. Usługę zarządzaną, którą tylko konfigurujesz, na przykład hostowany broker MQTT, traktuje się raczej jak komponent, który trzeba ocenić i starannie wybrać. W praktyce włamanie do usługi provisioningu to incydent CRA dotyczący twojego urządzenia.",[95,297,299],{"id":298},"dwa-popularne-twierdzenia-które-są-błędne","Dwa popularne twierdzenia, które są błędne",[88,301,302],{},"Pierwsze głosi, że okres wsparcia wynosi pięć lat. Rozporządzenie ustala pięć lat jako minimum, chyba że produkt rzeczywiście ma być używany krócej, a wytyczne Komisji wprost stwierdzają, że pięć lat nie jest wartością domyślną. Jeśli produkt ma działać dłużej, potrzebuje dłuższego okresu wsparcia. Kto produkuje liczniki energii, sterowniki przemysłowe albo czujniki budynkowe, które wiszą na ścianie po dziesięć czy piętnaście lat, powinien przeczytać to zdanie dwa razy. Datę zakończenia wsparcia trzeba też podać w momencie zakupu, co najmniej z dokładnością do miesiąca i roku.",[88,304,305],{},"Drugie głosi, że potrzebny jest kompletny, idealny SBOM obejmujący wszystko, aż do ostatniej zależności przechodniej. Przepisy wymagają zestawienia komponentów oprogramowania (SBOM) w powszechnie stosowanym formacie nadającym się do odczytu maszynowego, które obejmuje co najmniej zależności najwyższego poziomu. Schodzenie głębiej to dobra praktyka, która bardzo ułatwia pracę z podatnościami, ale prawne minimum jest niższe, niż sugeruje wiele artykułów. W projektach na ESP-IDF Espressif udostępnia już narzędzia, które generują SBOM w formacie SPDX i sprawdzają go pod kątem znanych podatności, więc dużą część tej pracy masz za darmo.",[95,307,309],{"id":308},"czego-naprawdę-potrzebuje-mały-zespół","Czego naprawdę potrzebuje mały zespół",[88,311,312],{},"Kiedy złożyłem to wszystko w całość, wyszło mi, że w typowej firmie sprzętowej z kilkoma tysiącami urządzeń w terenie cała praca sprowadza się głównie do tego, żeby umieć szybko odpowiedzieć na kilka pytań. Które wersje firmware działają gdzie i co jest w każdej z nich? Które z podatności opublikowanych w tym tygodniu dotyczą komponentu używanego w twoim produkcie i czy podatny kod jest osiągalny w twoim buildzie? Kto w firmie decyduje, że coś jest aktywnie wykorzystywane, i kto ma konto EU Login, żeby złożyć wczesne ostrzeżenie? Jak poinformujesz klientów, których to dotyczy, i jak potem udowodnisz, że poprawka faktycznie trafiła na urządzenia we flocie?",[88,314,315],{},"Do żadnej z tych rzeczy nie potrzeba dużej platformy compliance. Wystarczy SBOM dla każdego wydania firmware, lista wersji urządzeń z backendu floty, codzienne porównywanie nowych podatności z tymi SBOM-ami, krótka spisana procedura podejmowania decyzji w ciągu 24 godzin i szablon dla każdego z trzech zgłoszeń z polami, o które pyta ENISA. Większość zespołów ma już połowę tych danych w systemie budowania i w backendzie IoT. Tyle że nikt ich dotąd ze sobą nie połączył.",[88,317,318,319,323,324,328,329,333],{},"Właśnie to łączenie najbardziej mnie jako inżyniera ciekawi i właśnie do tego buduję teraz narzędzia. Pierwsze z nich są już bezpłatnie dostępne na tej stronie: ",[181,320,322],{"href":321},"/pl/cra/reporting-clock","zegar zgłoszeń",", który wylicza terminy i wypisuje pola, o które ENISA pyta na każdym etapie, ",[181,325,327],{"href":326},"/pl/cra/scope-check","sprawdzenie zakresu"," oraz ",[181,330,332],{"href":331},"/pl/cra/security-txt","generator security.txt",". Jeśli robisz urządzenia IoT i właśnie mierzysz się z którymś z tych tematów, zwłaszcza w małym zespole, który nagle musi pilnować 24-godzinnego zegara, chętnie porozmawiam.",[95,335,337],{"id":336},"co-jeszcze-może-się-zmienić","Co jeszcze może się zmienić",[88,339,340],{},"Część tych informacji będzie się jeszcze zmieniać. Normy zharmonizowane, które ułatwią wykazanie zgodności z obowiązkami od 2027, są wciąż w przygotowaniu, ENISA regularnie aktualizuje wytyczne dotyczące platformy, a Komisja określiła swoje lipcowe wytyczne jako pierwszy zestaw. Rdzeń obowiązku zgłaszania jest jednak zapisany w samym rozporządzeniu i ta część jest przesądzona. Jeśli twoje urządzenia są na rynku UE, zegar tyka od września.",{"title":204,"searchDepth":205,"depth":205,"links":342},[343,344,345,346,347,348,349,350],{"id":236,"depth":205,"text":237},{"id":249,"depth":205,"text":250},{"id":262,"depth":205,"text":263},{"id":275,"depth":205,"text":276},{"id":288,"depth":205,"text":289},{"id":298,"depth":205,"text":299},{"id":308,"depth":205,"text":309},{"id":336,"depth":205,"text":337},"Od 11 września 2026 CRA wymaga zgłoszeń w ciągu 24 godzin dla każdego urządzenia IoT na rynku UE, także starego. Co to znaczy dla małej firmy sprzętowej?","pl",{},"9 min czytania",{"title":225,"description":351},[11,12,13,14],"dgXGkkTqozB9jY8NcTT6mwsZnc8SuKr2iogniVdb4m8",1792141329387]