Cyber Resilience Act: klasy ryzyka dla urządzeń IoT w budynkach

Od dyrektywy do rozporządzenia: jak CRA zmienia zasady gry dla IoT w budynkach

Do tej pory bezpieczeństwo urządzeń podłączonych do sieci regulowały głównie dyrektywy unijne, a ich wdrożenie zależało od decyzji każdego kraju. Cyber Resilience Act zmienia ten model. To rozporządzenie, więc obowiązuje bezpośrednio i jednolicie w całej Unii, bez konieczności czekania na krajowe ustawy.

Dla budynków oznacza to jedno: producent nie może już wypuścić czujnika, sterownika czy bramki IoT bez uwzględnienia wymogów cyberbezpieczeństwa na etapie projektowania. Nie chodzi o naklejkę ani deklarację zgodności doklejoną na końcu procesu. Chodzi o cały cykl życia produktu.

Różnica między dyrektywą a rozporządzeniem brzmi technicznie, ale skutki są bardzo praktyczne. Poniżej zestawienie najważniejszych zmian z punktu widzenia inwestora i wykonawcy instalacji inteligentnego budynku.

Uważam, że to dobra zmiana, choć niepopularna wśród części dostawców. Jednolity rynek bez jednolitych wymogów bezpieczeństwa to fikcja, a rozdrobnione dyrektywy przez lata pozwalały producentom wybierać najłagodniejszą interpretację. Rozporządzenie zamyka tę furtkę.

Co to znaczy w praktyce? Zamawiając dziś osprzęt do budynku, warto pytać nie tylko o certyfikaty, ale i o deklarację wsparcia bezpieczeństwa. Bez tego za kilka lat część instalacji może okazać się trudna do utrzymania zgodnie z przepisami.

Klasy ryzyka produktów z dostępem cyfrowym według Cyber Resilience Act

Cyber Resilience Act (CRA) nie traktuje wszystkich urządzeń jednakowo. Rozporządzenie dzieli produkty z dostępem cyfrowym na kategorie według potencjalnego wpływu na bezpieczeństwo, zdrowie i funkcjonowanie społeczeństwa. Domyślnie obowiązują wymagania podstawowe. Część urządzeń trafia jednak do klasy wyższej, gdzie producent musi przejść ocenę zgodności w trybie bardziej rygorystycznym.

Dla branży budowlanej kluczowe są dwie kategorie: produkty ważne oraz produkty krytyczne. Pierwsza obejmuje m.in. niektóre systemy sterowania, bramy sieciowe i komponenty automatyki budynkowej. Druga, najostrzejsza, dotyczy urządzeń, których awaria lub przejęcie może zagrozić bezpieczeństwu fizycznemu lub infrastrukturze o znaczeniu publicznym.

Dla większości inwestorów budowlanych największym wyzwaniem będzie nie sama klasyfikacja, ale udokumentowanie jej w łańcuchu dostaw. Producent sterownika może twierdzić, że jego urządzenie należy do klasy podstawowej, a integrator systemu BMS wbuduje je w funkcję, która przesuwa całość do kategorii ważnej. Wtedy odpowiedzialność rozkłada się inaczej, niż zakładał przetarg.

Warto sprawdzić, czy deklaracja zgodności producenta wprost odnosi się do CRA, czy tylko do dyrektywy RED albo norm zharmonizowanych. Brak takiego odniesienia to sygnał ostrzegawczy. W praktyce rozbieżność między deklaracją a faktycznym zastosowaniem urządzenia jest jedną z częstszych przyczyn problemów przy odbiorach. Nie zawsze.

Mapowanie urządzeń smart building na klasy ryzyka CRA

Rozporządzenie CRA nie dzieli urządzeń po nazwach handlowych, tylko po funkcji i potencjale szkód. Klasyfikacja opiera się na tym, co się stanie, gdy ktoś przejmie kontrolę nad sprzętem. Produkt "ważny" (important) wymaga pełnej oceny zgodności i dokumentacji technicznej. Produkt "krytyczny" (critical) przechodzi dodatkowo audyt zewnętrzny. Reszta trafia do kategorii domyślnej, gdzie wystarczy samoocena producenta.

W budynkach granica między tymi kategoriami bywa płynna. Ten sam czujnik temperatury w mieszkaniu i w serwerowni szpitalnej ma zupełnie inne konsekwencje awarii. Kluczowe pytanie brzmi: czy urządzenie pełni funkcję bezpieczeństwa, czy tylko zbiera dane?

Największy problem to urządzenia "ważne", które producenci chcą wcisnąć do kategorii domyślnej. Sterownik klimatyzacji wygląda niewinnie, dopóki nie steruje wentylacją w sali operacyjnej. Wtedy zbieranie danych przestaje być jedyną funkcją. Warto sprawdzić dokumentację producenta pod kątem deklarowanej klasy, zanim trafi do projektu. Ostateczna kwalifikacja zależy od kontekstu instalacji, nie od karty katalogowej.

Granica między klasami nie jest sztywna. To producent deklaruje klasę, ale projektant i instalator ponoszą odpowiedzialność za to, gdzie urządzenie faktycznie pracuje.

Obowiązki producentów, integratorów i zarządców nieruchomości

Cyber Resilience Act nakłada obowiązki na cały łańcuch dostaw, nie tylko na producenta urządzenia. Producent odpowiada za zgodność produktu z wymaganiami bezpieczeństwa przez cały cykl życia, w tym za dostarczanie aktualizacji przez zadeklarowany okres wsparcia. Integrator systemu BMS czy automatyki budynkowej musi zweryfikować, czy wdrażane urządzenia mają aktualną deklarację zgodności i czy potrafi zarządzać ich aktualizacjami. Zarządca nieruchomości odpowiada za utrzymanie bezpieczeństwa eksploatowanego systemu.

Najsłabszym ogniwem będzie tu integrator. Producent dostarcza dokumentację i poprawki, zarządca pilnuje budżetu, a integrator często montuje sprzęt bez sprawdzenia, czy wsparcie producenta obejmie cały okres eksploatacji instalacji. To najczęstsze źródło późniejszych problemów z zgodnością.

W hipotetycznym scenariuszu, gdyby zarządca biurowca kupił tani system oświetlenia bez sprawdzenia deklaracji wsparcia, po dwóch latach mógłby zostać z nieaktualizowanym oprogramowaniem i bez możliwości łatania luk. Wtedy odpowiedzialność rozkłada się na wszystkie strony, które nie dopełniły weryfikacji na swoim etapie.

Zakres obowiązków warto potwierdzić z prawnikiem specjalizującym się w prawie nowych technologii, bo przepisy przechodzą jeszcze okresy przejściowe.

Terminy, kary i praktyczne przygotowanie inwestycji do zgodności z CRA

Cyber Resilience Act wprowadza harmonogram, który dla wielu inwestycji oznacza pracę pod presją czasu. Główne obowiązki związane z raportowaniem podatności i wsparciem bezpieczeństwa produktów zaczną obowiązywać w pełni od grudnia 2027 roku. Wcześniej, bo już od września 2026 roku, zaczną działać przepisy o zgłaszaniu aktywnie wykorzystywanych podatności i poważnych incydentów. To dwa różne terminy i łatwo je pomylić przy planowaniu.

Kary za niezgodność są ustalane na poziomie krajowym, ale ramy unijne przewidują górne pułapy sięgające kilkunastu milionów euro lub procentu obrotu, w zależności od wagi naruszenia. Dla inwestora oznacza to jedno: koszt zaniechania bywa wyższy niż koszt wdrożenia. Warto sprawdzić, czy dostawca systemów BMS lub sterowników HVAC ma już plan utrzymania zgodności, zanim podpisze się umowę.

Największym błędem jest traktowanie CRA wyłącznie jako obowiązku dostawcy. Inwestor, który nie wpisze wymagań zgodności do specyfikacji przetargowej, zostanie z systemem, którego producent nie będzie zobowiązany aktualizować przez cały cykl życia budynku. To nie abstrakcja. Przy budynkach komercyjnych eksploatowanych kilkanaście lat luka w aktualizacjach oznacza realne ryzyko dla całej infrastruktury.

Praktyczna rada: już na etapie projektu warto żądać od wykonawców deklaracji, że oferowane urządzenia spełniają wymogi CRA. Zapisy umowne o wsparciu bezpieczeństwa na minimum pięć lat to rozsądne minimum. Warto też skonsultować zakres obowiązków z prawnikiem specjalizującym się w zamówieniach publicznych lub kontraktach IT, bo interpretacja przepisów wciąż się doprecyzowuje.

Najczęściej zadawane pytania (FAQ)

Czy każdy czujnik temperatury albo oświetlenie w budynku trzeba klasyfikować osobno? Nie. Klasy ryzyka określa się na poziomie produktu z funkcją cyfrową, a nie na poziomie pojedynczego czujnika, jeśli ten działa wyłącznie jako element większego systemu. Producent deklaruje klasę dla całego wyrobu wprowadzanego na rynek.

Poniższe zestawienie porządkuje najczęstsze wątpliwości wykonawców i zarządców obiektów szerzej opisaliśmy to w artykule "Smart building i IoT: bezpieczeństwo urządzeń po Cyber Resilience Act".

Praktyka pokazuje, że największe zamieszanie dotyczy urządzeń pośrednich: sterowników rolet, modułów komunikacyjnych czy bramek sieciowych. Z pozoru „niewinne” elementy mogą wpływać na bezpieczeństwo całej instalacji, dlatego warto sprawdzić deklarację producenta zanim podpisze się protokół odbioru.

Zakres obowiązków jest tu jasno rozdzielony, ale odpowiedzialność za bezpieczeństwo budynku spoczywa na wszystkich uczestnikach procesu. Przy wątpliwościach dotyczących konkretnej instalacji najlepiej zweryfikować wymagania u producenta lub w aktualnych wytycznych branżowych.