cat ./cra/README.md
Cyber Resilience Act dla urządzeń IoT
Praktyczne narzędzia i konkretne odpowiedzi dla małych zespołów, które budują urządzenia IoT. Opieram się na rozporządzeniu, wytycznych Komisji z lipca 2026 i dokumentacji samej ENISA, a nie na artykułach, które sobie przeczą.
git log --oneline ./regulation
- 10 gru 2024Wejście w życie.
- 11 wrz 2026Obowiązek zgłoszenia w ciągu 24 godzin obejmuje każdy produkt na rynku UE, także starsze.
- 11 gru 2027Wymagania projektowe, dokumentacja i oznakowanie CE dla nowych produktów.
# 39 dni obowiązku zgłaszania · 417 dni do 11 gru 2027
cat ./cra/clock.txt
Zegar rusza, gdy się dowiesz
- T+0Dowiadujesz sięRozsądny stopień pewności po szybkiej wstępnej ocenie.
- T+24 hWczesne ostrzeżenieCo się stało i w których państwach członkowskich produkt jest sprzedawany.
- T+72 hZgłoszenieWstępna ocena, powaga i co użytkownicy mogą zrobić od razu.
- poprawka + 14 d · lub 72 h + 1 mies.Raport końcowyWykorzystywana podatność: 14 dni od udostępnienia poprawki. Poważny incydent: miesiąc od zgłoszenia.
Wszystkie trzy składasz przez Single Reporting Platform ENISA. Platforma nie ma API, więc każde zgłoszenie wpisuje ręcznie osoba z kontem EU Login.
ls -la ./cra/
Darmowe narzędzia
# działa w przeglądarce · nic, co wpiszesz, nie wychodzi poza nią
grep -i "myth" ./cra/notes.md
W czym mylą się artykuły
„Obowiązuje od grudnia 2027.”
Obowiązek zgłaszania działa od 11 września 2026 i obejmuje każdy produkt na rynku, także sprzedany przed laty i taki, którego okres wsparcia już się skończył.
„Trzeba zgłaszać każde CVE.”
Tylko podatności aktywnie wykorzystywane w twoim produkcie. Błąd w nieosiągalnym kodzie biblioteki trzeba naprawić, ale zgłaszać go nie musisz.
„Pięć lat wsparcia.”
Pięć lat to minimum. Licznik, który przez piętnaście lat wisi na ścianie, wymaga piętnastu lat wsparcia.
„Chmura nie podlega CRA.”
Backend, który sam rozwijasz i bez którego urządzenie nie spełnia swojej funkcji, jest częścią produktu, również jeśli chodzi o zgłoszenia.
./start_project.sh --scope=cra
Zegar 24-godzinny pod kontrolą bez działu compliance
SBOM do każdego wydania firmware, codzienne sprawdzanie floty pod kątem podatności i procedura zgłoszeń, którą zespół przeprowadzi o drugiej w nocy.
To wskazówki inżynierskie, a nie porada prawna. Swój konkretny przypadek sprawdź w rozporządzeniu i oficjalnych wytycznych.