Dla kogo
Opracowują Państwo oprogramowanie, firmware, aplikacje lub urządzenia połączone z siecią i sprzedają je w UE. Od 11 września 2026 r. muszą Państwo zgłaszać aktywnie wykorzystywane podatności i poważne incydenty zgodnie z Cyber Resilience Act, od 11 grudnia 2027 r. obowiązują wszystkie wymagania dla Państwa produktów. Complass prowadzi Państwa dla każdego produktu od klasyfikacji po oznakowanie CE i przez cały okres wsparcia.
W przypadku aktywnie wykorzystywanej podatności na wczesne ostrzeżenie zostaje 24 godziny, także dla produktów, które są na rynku od dawna. Uda się to tylko przy wyćwiczonym przebiegu postępowania.
Biblioteki, open source i komponenty od dostawców: bez aktualnego wykazu składników oprogramowania nie da się stwierdzić, którego produktu dotyczy nowa podatność.
Dyrektywa RED, CRA, Data Act i w stosownych przypadkach akt w sprawie sztucznej inteligencji wzajemnie się przenikają, z własnymi terminami i okresami przejściowymi.
Cyber Resilience Act dotyczy produktów z elementami cyfrowymi, które mogą łączyć się z urządzeniem lub siecią, czyli większości oprogramowania i prawie wszystkich urządzeń połączonych z siecią. Wyłączone są między innymi wyroby medyczne oraz pojazdy z własną homologacją typu.
Ramy regulacyjne: CRA · Dyrektywa w sprawie urządzeń radiowych · IEC 62443 dla producentów · Data Act · Akt w sprawie AI
Nie są Państwo pewni, jakie ramy regulacyjne Państwa obowiązują? Uruchom „Czy mnie to dotyczy?”
Koszty, nakład pracy i czas: tylko doradca, doradca z Complass czy wdrożenie własne z Complass? Otwórz kalkulator kosztów compliance
AI w produkcie. Jeżeli Państwa produkt zawiera system AI, należy sprawdzić klasyfikację wg aktu w sprawie sztucznej inteligencji. Jeżeli AI jest elementem zabezpieczającym produktu, który wg prawa UE wymaga oceny zgodności przez stronę trzecią, może być systemem wysokiego ryzyka. Obowiązki w zakresie przejrzystości, na przykład w przypadku chatbotów, obowiązują od 2 sierpnia 2026 r. Art. 6 AI ActArticle 6 AI Act Classification rules for high-risk AI systems1. Irrespective of whether an AI system is placed on the market or put into service independently of the products referred to in points (a) and (b), that AI system shall be considered to be high-risk where both of the following conditions are fulfilled: - (a) the AI system is intended to be used as a safety component of a product, or the AI system is itself a product, covered by the Union harmonisation legislation …Otwórz oryginał (EUR-Lex – consolidated version of 27.07.2026) ↗ Art. 50 AI ActArticle 50 AI Act Transparency obligations for providers and deployers of certain AI systems1. Providers shall ensure that AI systems intended to interact directly with natural persons are designed and developed in such a way that the natural persons concerned are informed that they are interacting with an AI system, unless this is obvious from the point of view of a natural person who is reasonably well-informed, observant and circumspect, taking into account the circumstances and the context of use. This …Otwórz oryginał (EUR-Lex – consolidated version of 27.07.2026) ↗
Informacja ogólna, nie porada prawna. Ta strona przedstawia sytuację prawną w uproszczeniu i nie zastępuje oceny Państwa indywidualnego przypadku. Rozstrzygające jest brzmienie przepisów i norm.
Oprogramowanie standardowe, aplikacje i firmware: wykaz składników oprogramowania, aktualizacje i zgłoszenia przez cały okres wsparcia.
Urządzenia smart home, IoT i przemysłowe z łącznością radiową: dziś dyrektywa RED, od grudnia 2027 r. CRA.
Sterowniki, bramy i komponenty sieciowe; routery i inne komponenty sieciowe są częściowo uznawane za produkt ważny z surowszą procedurą oceny zgodności. IEC 62443-4-1 i 4-2 są powszechnie stosowanymi ramami.
Produkty z wbudowaną AI: klasyfikacja wg aktu w sprawie sztucznej inteligencji dodatkowo do CRA.
Klasyfikacja, ocena ryzyka, wymagania wg załącznika I, dokumentacja techniczna i deklaracja zgodności, prowadzone w fazach.
Więcej o funkcjiImportować wykazy składników oprogramowania (CycloneDX, SPDX), przypisywać podatności i komunikaty producentów (CSAF) oraz eksportować SBOM i VEX dla klientów i organów.
Więcej o funkcjiAktywnie wykorzystywana podatność lub poważny incydent: Complass pokazuje trzy etapy zgłoszenia z terminem i wymaganymi danymi.
Więcej o funkcjiOsobne ramy regulacyjne dla producentów z szablonami dla procesu rozwoju, modelu zagrożeń i procesu PSIRT, powiązane z CRA.
Szablon branżowy „Producenci” wstępnie wybiera CRA, dyrektywę o urządzeniach radiowych oraz zarządzanie podatnościami z SBOM. Rozporządzenie o AI można dokupić w razie potrzeby.
dostępny
od 427 € miesięcznie plus VAT w pakiecie Start, wielkość S, płatność roczna
dostępny
od 79 € miesięcznie plus VAT w pakiecie Gabinet, wielkość S, płatność roczna
Wszystkie ceny dotyczą przedsiębiorstw, a nie konsumentów. Są to ceny netto plus VAT przy płatności rocznej; przy płatności miesięcznej obowiązuje dopłata w wysokości 15 %. Stan na 16/10/2026. Enterprise i grupy przedsiębiorstw na zapytanie.
Tak. Również oprogramowanie sprzedawane samodzielnie jest produktem z elementami cyfrowymi. Same usługi chmurowe bez związku z produktem z reguły nie podlegają CRA, lecz NIS2. Natomiast przetwarzanie danych na odległość, bez którego produkt nie może spełniać swojej funkcji, należy do produktu.
Muszą Państwo zgłaszać aktywnie wykorzystywane podatności i poważne incydenty bezpieczeństwa za pośrednictwem jednolitej platformy zgłoszeniowej, z wczesnym ostrzeżeniem w ciągu 24 godzin. Dotyczy to także produktów, które wprowadzili Państwo do obrotu przed tą datą.
Seria norm nie jest obowiązkowa, ale dla komponentów przemysłowych jest często wymagana. IEC 62443-4-1 opisuje wymagania dla bezpiecznego procesu rozwoju, IEC 62443-4-2 techniczne wymagania bezpieczeństwa dla komponentów. Complass łączy jedno i drugie z wymaganiami CRA.
Mogą Państwo samodzielnie założyć konto testowe, na życzenie z przykładowym projektem dla każdej regulacji. Jeśli wolą Państwo najpierw zobaczyć Complass, proszę umówić demo.
