Od 11 września 24 godziny na zgłoszenie luki do ENISA, kara do 15 mln euro

Od piątku 11 września 2026 firmy sprzedające produkty w krajach Unii Europejskiej mają 24 godziny na zgłoszenie do agencji ENISA aktywnie wykorzystywanej luki albo poważnego incydentu bezpieczeństwa w swoim produkcie. Za brak zgłoszenia grozi kara do 15 milionów euro. Obowiązek wynika z Cyber Resilience Act (CRA). Unia wprowadza go ponad rok wcześniej niż resztę rozporządzenia.

Pozostałe wymogi CRA, między innymi listy komponentów oprogramowania (SBOM), procedury obsługi podatności i oceny ryzyka, będą egzekwowane od grudnia 2027 roku. Zakres jest szeroki: rozporządzenie obejmuje sprzęt i oprogramowanie z jakąkolwiek łącznością sieciową, sprzedawane zarówno firmom, jak i osobom prywatnym. Wyłączone są tylko niektóre technologie objęte już innymi unijnymi regulacjami oraz oprogramowanie open source. Siedziba poza Unią nie zwalnia z obowiązku.

Jeśli Twoja firma sprzedaje w Unii oprogramowanie albo urządzenia łączące się z siecią, od 11 września zgłaszasz aktywnie wykorzystywane luki w swoich produktach w ciągu 24 godzin od wykrycia.