Dla producentów urządzeń i oprogramowania
CRA i podatności Twoich produktów: pilnujemy tego za Ciebie. Ty tylko podejmujesz decyzje.
CRA (Cyber Resilience Act) to unijne prawo o bezpieczeństwie produktów z oprogramowaniem. Podatność to luka, przez którą można taki produkt zaatakować. Gdy przestępcy już ją wykorzystują, producent musi to zgłosić w 24 godziny; ten obowiązek działa od 11 września 2026 r. Techniczną część robimy za Ciebie.
Czy to dotyczy mojej firmy?
Tak, jeśli sprzedajesz w Unii Europejskiej coś, w czym działa oprogramowanie:
- urządzenie z oprogramowaniem, np. termostat, kasę, sterownik, kamerę, bramkę, zamek
- program instalowany u klientów albo aplikację do Twojego urządzenia
- także produkty, które już są w sprzedaży, nie tylko nowe
Małe firmy nie są zwolnione. Prawo nie obejmuje m.in. wyrobów medycznych, samochodów i usług działających wyłącznie w chmurze (SaaS): dla nich obowiązują inne przepisy. Nie masz pewności? Zapytaj na rozmowie, odpowiem w 5 minut.
Co się zmieniło i co grozi
- 11 września 2026To już obowiązuje: zgłaszanie luk, które przestępcy już wykorzystują. Pierwsze ostrzeżenie w 24 godziny.
- 11 grudnia 2027Pełne wymagania CRA. Bez nich produkt nie dostanie znaku CE i nie będzie można go sprzedawać w UE.
- do 15 mln euroalbo 2,5% rocznego obrotu: tyle mogą wynieść kary za niedopełnienie obowiązków.
Jak to działa, po ludzku
- Spisujemy, z czego składa się Twój produkt
W każdym urządzeniu pracują gotowe programy od innych firm, np. do szyfrowania czy łączności. Robimy ich listę, jak skład na etykiecie jogurtu. Fachowo to SBOM. Robię to ja, z Twoim programistą albo dostawcą; Ty nie musisz znać szczegółów.
- Codziennie sprawdzamy, czy ktoś znalazł w nich lukę
Luka bezpieczeństwa (podatność) to błąd, przez który przestępca może np. przejąć urządzenie albo wykraść dane. Każdego dnia publikuje się ich ponad sto. Meldora porównuje Twoją listę z publicznymi bazami luk i od razu daje znać, gdy coś pasuje.
- Oceniamy, czy to naprawdę grozi Twojemu produktowi
Często podatny fragment w ogóle nie działa w Twoim urządzeniu i wtedy nie ma problemu. Jeśli działa, dostajesz ocenę, jak groźna jest luka, i radę, co zrobić.
- Mówimy, czy trzeba to zgłosić, i przygotowujemy zgłoszenie
Dostajesz jasną odpowiedź: zgłaszać czy nie, i dlaczego. Jeśli trzeba, dostajesz gotowe teksty do wklejenia i przypomnienia o terminach.
Jak groźna jest luka?
Każda luka dostaje ocenę od 0 do 10 (międzynarodowa skala CVSS). Od niej zależy, jak szybko trzeba ją naprawić.
Czy trzeba zgłosić? Gdzie i jak?
O obowiązku nie decyduje sama ocena. Zgłaszasz, gdy luka w Twoim produkcie jest już wykorzystywana przez przestępców (fachowo: aktywnie wykorzystywana). Wtedy liczą się trzy terminy:
- Gdzie: na platformie zgłoszeń ENISA (unijnej agencji cyberbezpieczeństwa). Zgłoszenie trafia też do zespołu w Twoim kraju, w Polsce CERT Polska.
- Kto wysyła: Ty jako producent. Teksty po angielsku przygotowujemy my, Ty logujesz się i wklejasz.
- Gdy nikt luki nie wykorzystuje: nie zgłaszasz, tylko naprawiasz w aktualizacji. Dostajesz raport, który to dokumentuje.
Kto co robi
- lista składników Twoich produktów
- codzienne sprawdzanie baz luk
- ocena, czy luka dotyczy produktu
- raport i gotowe teksty zgłoszeń
- przypomnienia o terminach, SMS przy pilnych sprawach
- odpowiadasz na pytania o produkt (albo przekazujesz je programiście)
- decydujesz, co zlecić do oceny
- wysyłasz gotowe zgłoszenie i informujesz klientów
Nie przegapisz 24 godzin. Gdy coś pilnego dotyczy Twojego produktu, dzwonię albo wysyłam SMS, a portal odlicza czas.
Specjalista od bezpieczeństwa produktu to pełny etat. Tu płacisz stałą opłatę miesięczną i za oceny eksperta, które zlecisz.
Każda decyzja ma datę, autora i uzasadnienie. Gdy klient, audytor albo urząd zapyta o CRA, pokazujesz raporty i dziennik.
Jak wygląda współpraca
- Rozmowa, 30 minut. Sprawdzam, czy i jak CRA dotyczy Twoich produktów. Bez zobowiązań.
- Umowa i wdrożenie, zwykle 1–2 tygodnie. Spisujemy składniki produktów i zakładamy Ci konto w portalu.
- Codzienny monitoring. Odzywamy się tylko wtedy, gdy trzeba coś zrobić.
- Raporty i zgłoszenia. Dostajesz decyzję i gotowe teksty, gdy luka dotyczy produktu.
Ile to kosztuje
- Wdrożenie
- od 4 900 zł netto
- Jednorazowo, za pierwszy produkt: spisujemy jego składniki, zakładamy konto w portalu i pokazujemy, jak z niego korzystać. Każdy kolejny produkt jest tańszy.
- Stała opieka
- od 390 zł netto miesięcznie
- Portal, codzienne sprawdzanie baz luk i alerty. W wyższych pakietach oceny eksperta są w cenie.
- Ocena eksperta i zgłoszenie do ENISA
- tylko gdy są potrzebne
- Płatne osobno. Cenę widzisz w portalu, zanim cokolwiek zlecisz, więc faktura Cię nie zaskoczy.
Dokładną wycenę dla swoich produktów dostajesz na piśmie po bezpłatnej rozmowie. Niczego nie podpisujesz, dopóki nie znasz całej kwoty.
Bezpłatnie i bez zobowiązań: 30 minut wystarczy, żeby wiedzieć, co Was dotyczy i od czego zacząć. Możesz też napisać: kontakt@meldora.pl.
Kto za tym stoi
Konsultant cyberbezpieczeństwa z Wrocławia, twórca Meldory
Od ponad 10 lat zajmuję się cyberbezpieczeństwem. W dużych organizacjach budowałem i prowadziłem programy zarządzania podatnościami: wyszukiwanie luk, ocenę, które z nich są naprawdę groźne, i pilnowanie, żeby zostały usunięte. Tego samego CRA wymaga teraz od producentów wobec ich własnych produktów.
Wdrażałem też monitoring bezpieczeństwa i reagowanie na incydenty oraz prowadziłem audyty zgodne z ISO 27001. Mam certyfikat CEH (Certified Ethical Hacker), który potwierdza znajomość metod stosowanych przez atakujących.
W Meldorze to ja oceniam podatności Twoich produktów, piszę raporty i przygotowuję teksty zgłoszeń. Na pierwszej, bezpłatnej rozmowie też rozmawiasz ze mną, a nie z handlowcem.