Cyber Resilience Act (CRA) w praktyce producenta, importera i dystrybutora – klasyfikacja produktu, Załączniki I-VIII, SBOM, zgłoszenia do ENISA, ocena zgodności i oznakowanie CE, z blokiem poświęconym rozporządzeniu maszynowemu (UE) 2023/1230

Moduł I: Zakres CRA, klasyfikacja produktu i role w łańcuchu dostaw (08:00 – 09:15, 75 min; 1,5 godz. dyd.)

• Dlaczego powstał CRA — studium przypadku: udokumentowany przez CERT Polska atak destrukcyjny na polską energetykę z 29 grudnia 2025 r., obejrzany od strony producenta urządzeń; sześć urządzeń i sześć wad po stronie produktu
• Rozporządzenie (UE) 2024/2847 — charakter aktu, cztery filary regulacji, struktura i mapa artykułów, do których wraca się w praktyce
• Ujednolicona oś czasu: przyjęcie 23.10.2024, wejście w życie 10.12.2024, rozdział IV od 11.06.2026, art. 14 od 11.09.2026, pełne stosowanie od 11.12.2027
• „Produkt z elementami cyfrowymi” — definicja z art. 3 pkt 1, granice zakresu (oprogramowanie samo w sobie, komponent sprzedawany osobno, rozwiązania zdalnego przetwarzania danych) oraz wyłączenia z art. 2
• CRA w ekosystemie regulacji: NIS2 i ustawa o KSC, rozporządzenie maszynowe (UE) 2023/1230, dyrektywa RED, dyrektywa o odpowiedzialności za produkt, akt o cyberbezpieczeństwie, akt o sztucznej inteligencji
• Role: producent (art. 13), importer (art. 19), dystrybutor (art. 20), upoważniony przedstawiciel (art. 18), opiekun oprogramowania open source (art. 24) oraz zasada substytucji roli z art. 21
• Cztery klasy produktów wg Załączników III i IV oraz rozporządzenia wykonawczego (UE) 2025/2392; klasa a minimalna procedura oceny zgodności (Ćwiczenie 1: klasyfikacja produktu i ustalenie roli)

Efekt modułu: uczestnik potrafi samodzielnie ustalić, czy produkt podlega CRA, do której klasy trafia i jaką rolę pełni wobec niego organizacja.

Moduł II: Wymagania zasadnicze z Załącznika I, secure by design i ocena ryzyka (09:30 – 10:45, 75 min; 1,5 godz. dyd.)

• Architektura Załącznika I: część I — 13 wymagań dotyczących cech produktu (pkt 2 lit. a–m), część II — 8 obowiązków postępowania w przypadku wykrycia podatności
• Omówienie wszystkich trzynastu wymagań litera po literze, z przykładem dowodu zgodności dla każdego z nich
• Bezpieczna konfiguracja domyślna w praktyce urządzenia przemysłowego — zakaz poświadczeń fabrycznych, konta wbudowane, usługi zbędne, weryfikacja podpisu oprogramowania układowego
• Ocena ryzyka w cyberprzestrzeni (art. 13 ust. 2–4) — zakres, metodyka w sześciu krokach, aktualizacja w okresie wsparcia, uzasadnienie niestosowania wymagania
• Punkty styku z rozporządzeniem maszynowym: Załącznik III pkt 1.1.9 (zabezpieczenie przed uszkodzeniem) i pkt 1.2.1 (bezpieczeństwo i niezawodność układów sterowania), motyw 53 CRA
• Okres wsparcia — art. 13 ust. 8 i 9: minimum 5 lat, dostępność wydanych aktualizacji przez co najmniej 10 lat, publiczna deklaracja daty zakończenia wsparcia
• Informacje i instrukcje dla użytkownika wg Załącznika II oraz pięć błędów, które organ nadzoru rynku znajduje najszybciej (Ćwiczenie 2: analiza luk wobec Załącznika I)

Efekt modułu: uczestnik potrafi ocenić produkt wobec wymagań zasadniczych, wskazać dowód zgodności i udokumentować pominięcie wymagania.

Moduł III: Łańcuch dostaw, SBOM i zarządzanie podatnościami (11:00 – 12:30, 90 min; 2 godz. dyd.)

• Odpowiedzialność producenta za komponenty stron trzecich i open source — art. 13 ust. 5 i 6, w tym obowiązek zgłoszenia podatności podmiotowi utrzymującemu komponent
• Zestawienie składników oprogramowania (SBOM) — dokładne brzmienie wymagania z Załącznika I cz. II pkt 1: format powszechnie używany, odczyt maszynowy, co najmniej zależności najwyższego poziomu
• Formaty SPDX i CycloneDX, identyfikator komponentu PURL, dokumenty VEX i CBOM — funkcja każdego z narzędzi i kryteria wyboru
• Rodzaje SBOM (build-time, release, baseline) oraz pięć typowych defektów skanu automatycznego w systemach wbudowanych
• Proces zarządzania podatnościami w siedmiu krokach — od inwentarza wdrożeń po zapis dowodu (Ćwiczenie 3: budowa i ocena jakości SBOM)
• Polityka skoordynowanego ujawniania podatności (CVD) — wymagana zawartość, typowe błędy, powiązanie z terminem 24 h z art. 14
• Triage zgłoszenia: podatność niewykorzystywalna, wykorzystywalna i aktywnie wykorzystywana — konsekwencje każdej kwalifikacji (Ćwiczenie 4: obsługa zgłoszenia badacza)
• Aktualizacje bezpieczeństwa: bezpłatne, bezzwłoczne, oddzielone od funkcjonalnych, domyślnie automatyczne i bezpiecznie dystrybuowane; klauzule umowne wobec dostawców komponentów

Moduł rozszerzony do 2 godzin dydaktycznych ze względu na to, że zarządzanie łańcuchem dostaw i obsługa podatności są operacyjnie najtrudniejszą częścią regulacji.

Efekt modułu: uczestnik potrafi ocenić kompletność zestawienia składników i opisać proces obsługi podatności wymagany przez Załącznik I część II.

Moduł IV: Zgłoszenia do ENISA i CSIRT, nadzór rynkowy i sankcje (13:00 – 14:15, 75 min; 1,5 godz. dyd.)

• Art. 14 — dwa niezależne strumienie zgłoszeń: aktywnie wykorzystywana podatność (ust. 1–2) oraz poważny incydent mający wpływ na bezpieczeństwo produktu (ust. 3–5)
• Kaskada terminów: 24 h wczesne ostrzeżenie, 72 h zgłoszenie, sprawozdanie końcowe — 14 dni od udostępnienia środka naprawczego albo miesiąc od zgłoszenia 72-godzinnego
• Moment powzięcia wiedzy — pięć typowych źródeł informacji i rozstrzygnięcie dla każdego z nich; wymagana treść każdego ze zgłoszeń
• Pojedyncza platforma sprawozdawcza (art. 16), właściwość CSIRT wyznaczonego na koordynatora oraz kolejność ustalania właściwości dla producenta spoza Unii
• Obowiązek poinformowania użytkowników produktu (art. 14 ust. 8) i uprawnienie CSIRT do samodzielnego poinformowania w razie milczenia producenta
• Relacja do obowiązku zgłoszeniowego z ustawy o KSC — jedno zdarzenie, dwa niezależne obowiązki (Ćwiczenie 5: pierwsze 24 godziny)
• Nadzór rynkowy: uprawnienia organów, środki naprawcze, wycofanie i zakaz udostępniania. Sankcje z art. 64 — trzy progi do 15 mln EUR albo 2,5 % obrotu światowego oraz dwa wyłączenia z ust. 10

Efekt modułu: uczestnik potrafi zakwalifikować zdarzenie, wskazać moment startu terminu, adresata i treść zgłoszenia.

Moduł V: Ocena zgodności, CE, rozporządzenie maszynowe i plan wdrożenia (14:30 – 15:30, 50 min; 1 godz. dyd.)

• Moduły oceny zgodności A, B + C, H (art. 32 i Załącznik VIII) — zakres, czas, koszt i rozkład ryzyka każdej ze ścieżek
• Normy zharmonizowane: mandat M/606, seria EN 40000 opracowywana przez CEN/CENELEC JTC 13, normy ETSI serii EN 304 6xx; warunek domniemania zgodności z art. 27 i stan na dzień szkolenia
• Dokumentacja techniczna wg Załącznika VII, deklaracja zgodności UE wg Załącznika V, zasady nanoszenia oznakowania CE (art. 29–30)
• Rozporządzenie maszynowe (UE) 2023/1230 — zakres, definicja elementu bezpieczeństwa obejmująca oprogramowanie, kategorie z Załącznika I i procedury oceny zgodności z art. 25; stosowanie od 20 stycznia 2027 r.
• Co rozporządzenie maszynowe zmienia względem dyrektywy 2006/42/WE: cyberbezpieczeństwo w zasadniczych wymaganiach, maszyny o samozmieniającym się zachowaniu, istotna modyfikacja także cyfrowa, instrukcja w postaci cyfrowej
• Jeden projekt zgodności dla obu reżimów: wspólna ocena ryzyka (art. 13 ust. 4 CRA), jedna deklaracja zgodności UE i jedno oznakowanie CE (art. 21 ust. 3 rozporządzenia maszynowego), dwie dokumentacje techniczne
• Ścieżka wdrożenia w czterech horyzontach oraz decyzja o produktach, których nie da się doprowadzić do zgodności (Ćwiczenie 6: plan dojścia do zgodności na 11 grudnia 2027 r.)

Efekt modułu: uczestnik dobiera procedurę oceny zgodności, zna wymaganą dokumentację i wychodzi ze szkolenia z własnym harmonogramem wdrożenia.

Sesja końcowa (15:30 – 16:00, 30 min; 0,5 godz. dyd.)

• Podsumowanie, odpowiedzi na pytania zaparkowane w trakcie dnia, słowniczek pojęć, wskazanie źródeł i indywidualne rekomendacje wdrożeniowe (15:30 – 15:45)
• Walidacja: post-test wiedzy online, 20 pytań jednokrotnego wyboru, zaliczenie od 60 % (15:45 – 16:00)

Całkowity czas trwania szkolenia : 8 godzin zegarowych (5 godzin zegarowych przekazywania wiedzy + 1,5 godziny warsztatów + 15 min walidacji wiedzy + 75 min przerw)

Czas nauki oraz warsztatów: 6 godzin 30 minut

Czas walidacji wiedzy: 15 min

Czas przerw: 3 x 15 minut + 1 x 30 minut (razem 75 min)

· Egzamin wewnętrzny / walidacja jest wliczona w czas trwania szkolenia.

· Przerwy nie są wliczone w czas trwania szkolenia

• Prezentacja za szkolenia – pełna prezentacja szkoleniowa w formacie PDF
• kompendium – kompendium wiedzy CRA z rozszerzonym omówieniem każdego zagadnienia i odwołaniami do przepisów źródłowych,
• pakiet ćwiczeń – karta scenariusza wykorzystywanego przez cały dzień, sześć szablonów do wypełnienia (po jednym na ćwiczenie) oraz sześć ściągawek z odpowiedziami wzorcowymi,
• narzędzia wdrożeniowe – checklista audytowa CRA oraz roadmapa wdrożenia ze spisem dokumentów do przygotowania, w formacie arkusza kalkulacyjnego,
• wzory dokumentów – cztery edytowalne wzory na start wdrożenia: polityka skoordynowanego ujawniania podatności, procedura zgłaszania zgodnie z art. 14 CRA, szablon komunikatu dotyczącego bezpieczeństwa produktu (security advisory) oraz deklaracja zgodności UE wg Załącznika V,

• Podstawowa wiedza w zakresie kompetencji cyfrowych
• Logowanie się pełnym imieniem i nazwiskiem
• Warunkiem uzyskania zaświadczenia jest uczestnictwo w co najmniej 80%–100% zajęć usługi rozwojowej (w zależności od programu dofinansowania i podpisanej umowy z Operatorem)
• W ramach realizacji usług szkoleniowych Organizator utrwala wizerunek Uczestników w formie nagrań wideo, fotografii lub innych materiałów audiowizualnych wyłącznie w celach archiwizacyjnych, kontrolnych oraz dokumentacyjnych związanych z projektem dofinansowanym
• Uczestnik zapisując się na szkolenie wyraża zgodę na utrwalenie i wykorzystanie jego wizerunku w wyżej wymienionych celach

Usługa jest zwolniona z podatku VAT w przypadku, kiedy przedsiębiorstwo zwolnione jest z podatku VAT lub dofinansowanie wynosi co najmniej 70%. W innej sytuacji do ceny netto doliczany jest podatek VAT w wysokości 23%.

Podstawa: §3 ust. 1 pkt. 14 rozporządzenia Ministra Finansów z dnia 20.12.2013 r. w sprawie zwolnień od podatku od towarów i usług orazszczegółowych warunków stosowania tych zwolnień (Dz.U. z 2018 r., poz. 701).

Całe szkolenie jest rejestrowane w celach kontroli oraz audytu.

Wykorzystanie nagrania w innym celu niż kontrola czy audyt wymaga zgody trenera oraz uczestników.

Uczestnicy otrzymają zaświadczenie / certyfikat, potwierdzające ukończenie szkolenia.

Usługa zdalna w czasie rzeczywistym - prowadzona na żywo.

Uczestnik ma możliwość złożenia reklamacji po zrealizowanej usłudze, sporządzając ją w formie pisemnej na formularzu reklamacji i odsyłając na adres: biuro@legacyturn.com

Poniżej opisane są minimalne wymagania techniczne dotyczące uczestnictwa w szkoleniu przy pomocy platformy TEAMS:

1. Parametry urządzenia: komputer / laptop / tablet

• Procesor dwurdzeniowy 1–2 GHz minimalnie; zalecany dual‑core 2 GHz lub lepszy (Intel i3/i5 lub równoważny)
• 2 GB pamięci RAM (zalecane 4 GB lub więcej).
• System operacyjny: Windows 10/11, macOS 10.13+ (lub nowsze), Linux (nowsze dystrybucje wspierane), iOS 13+/Android 8+
  • • • • zainstalowany TEAMS (najświeższa wersja) oraz najnowsza wersja Chrome/Edge/Firefox;

1. Kamera i mikrofon

• TEAMS współpracuje z wbudowanymi kamerami w laptopach oraz większością kamer internetowych.
  • słuchawki z mikrofonem zalecane dla lepszej jakości dźwięku.
  • zaawansowane lub profesjonalne kamery/mikrofony, mogą wymagać zainstalowanie dodatkowego oprogramowania .

1. Urządzenia mobilne

• Jeżeli łączysz się z urządzenia mobilnego, pobierz i zainstaluj aplikację TEAMS z App Store (Apple) lub Google Play
• Aby korzystać z dźwięku i obrazu, użyj zestawu słuchawkowego z mikrofonem lub głośników podłączonych do urządzenia.
• Przed rozpoczęciem szkolenia sprawdź, czy urządzenie rozpoznaje wybrane urządzenie audio oraz czy nie jest ono jednocześnie zajęte przez inną aplikację
• Upewnij się, że aplikacja ma przyznane uprawnienia do korzystania z mikrofonu i kamery.

1. Wymagania dla łącza internetowego:

• min. 1,5 Mbps download i upload dla podstawowego udziału
• zalecane 3 Mbps+ dla stabilnego wideo HD i udostępniania ekranu
• najnowsza wersja używanej przeglądarki internetowej

1. Link do szkolenia oraz warunki / wymagania dodatkowe:
   • • • • • Link do szkolenia zostanie dosłany drogą elektroniczną przed rozpoczęciem usługi na adres email podany przez uczestnika szkolenia.

• Link do szkolenia będzie ważny w dniach i godzinach określonych w harmonogramie usługi.

1. Podczas szkolenia online zapewniamy:
   • • Wygodną formę szkolenia, gdzie wystarczy dostęp do urządzenia z internetem (komputer, tablet, telefon), słuchawki lub głośniki.

• Szkolenie zdalne w czasie rzeczywistym w wirtualnym pokoju konferencyjnym, w niewielkiej grupie uczestników.
• Możliwość pełnej interakcji z trenerem, który prowadzi zajęcia "na żywo" z włączoną kamerą w czasie trwania całego szkolenia.
• Możliwości zadawania pytań, omawiania indywidulanych zagadnień oraz aktywny udział w ćwiczeniach.

Przed szkoleniem:

• Upewnij się, że masz stabilne połączenie internetowe, które spełnia minimalne wymagane prędkości dla transmisji audio oraz wideo.
• Przetestuj dostęp i uruchomienie aplikacji TEAMS w wykorzystaniem kamery oraz mikrofonu.
• Rekomenduje się przygotowanie zapasowego zestawu awaryjnego sprzętu w celu zapewnienia ciągłości realizacji szkolenia. Powinien on obejmować kluczowe komponenty: komputer, kamerę, mikrofon/głośnik, klawiaturę, myszkę oraz alternatywne źródło dostępu do Internetu (np. modem Hot-Spot).

Podstawą do rozliczenia usługi jest wygenerowanie z systemu raportu, umożliwiającego identyfikację wszystkich uczestników oraz zastosowanego narzędzia.