Niemcy mają już krajową ustawę do egzekwowania unijnego Cyber Resilience Act (CRA), czyli aktu o cyberodporności. Ustala on obowiązkowe wymagania bezpieczeństwa dla produktów z elementami cyfrowymi, od inteligentnych gniazdek po aplikacje. Bundestag uchwalił ustawę wdrażającą w połowie października 2026. Federalny Urząd Bezpieczeństwa Informacji (BSI) ogłosił to 16 października i napisał, że głosowanie odbyło się „wczoraj”. Kancelaria Hogan Lovells Cadwalader w analizie z 20 października podaje jednak datę 14 października.

BSI pilnuje CRA

Ustawa czyni BSI organem odpowiedzialnym za CRA w Niemczech. Urząd dostaje kilka ról:

  • nadzór rynku: BSI może wyrywkowo albo celowo sprawdzać produkty, żądać poprawek, nakładać kary i wycofywać z rynku produkty niespełniające wymagań CRA;
  • organ notyfikujący: potwierdza, które laboratoria mogą oceniać zgodność produktów z CRA, a samą ocenę tych laboratoriów prowadzi krajowa jednostka akredytująca DAkkS;
  • CSIRT: od 11 września 2026 koordynuje zgłoszenia podatności i incydentów, które producenci muszą składać na mocy CRA;
  • punkt skarg: konsumenci mogą zgłaszać produkty, które ich zdaniem nie spełniają wymagań;
  • wsparcie: urząd pomaga małym i średnim firmom oraz opiekunom oprogramowania open source w spełnieniu przepisów, między innymi przez piaskownicę regulacyjną do testowania produktów przed premierą.

Wiceprezes BSI Thomas Caspers powiedział, że CRA po raz pierwszy wprowadza w całej Europie obowiązkowe wymagania cyberbezpieczeństwa, „od inteligentnego ekspresu do kawy, przez aplikacje mobilne, po chip bezpieczeństwa”. Dodał, że o bezpieczeństwie trzeba myśleć już od początku prac nad produktem.

Kary według unijnych pułapów

Według Hogan Lovells Cadwalader niemieckie kary odpowiadają progom z samego CRA. Za naruszenie zasadniczych wymagań bezpieczeństwa albo obowiązków zgłoszeniowych grozi do 15 mln euro lub 2,5% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Inne naruszenia kosztują do 10 mln euro lub 2%, a podanie organom fałszywych albo niepełnych informacji do 5 mln euro lub 1%.

Od kiedy

BSI przejmie nowe role dzień po publikacji ustawy w federalnym dzienniku ustaw. Bundesrat nie zgłosił sprzeciwu, więc publikacji można się spodziewać wkrótce. Większość obowiązków produktowych z CRA zacznie jednak obowiązywać dopiero 11 grudnia 2027. Od tego dnia znak CE obejmie też cyberbezpieczeństwo i dopiero wtedy BSI będzie mógł egzekwować przepisy i nakładać kary.

Dlaczego to ważne dla kupujących i producentów sprzętu smart home

CRA obejmuje większość podłączonych urządzeń konsumenckich: kamery, zamki, centralki, termostaty i aplikacje do ich obsługi. Producenci będą musieli łatać znane podatności, dostarczać aktualizacje bezpieczeństwa przez okres wsparcia i zgłaszać aktywnie wykorzystywane luki. Niemiecka ustawa przesądza, kto sprawdza to w Niemczech i do kogo można się poskarżyć.

Inne kraje UE są na różnych etapach. Hogan Lovells Cadwalader wymienia Finlandię, Węgry i Maltę jako państwa z gotowymi ustawami, Holandię z projektem w parlamencie i Włochy pracujące nad projektem. Źródła nie mówią, na jakim etapie jest Polska.