Co jest produktem z elementami cyfrowymi według CRA

Cyber Resilience Act nie zaczyna się od skanera, formatu SBOM ani warsztatu CE. Zaczyna się od definicji. Rozporządzenie (UE) 2024/2847 dotyczy produktu z elementami cyfrowymi (PDE) wprowadzanego na rynek Unii. Jeśli nie umiecie tych produktów wymienić, każdy kolejny artefakt wisi na złym obiekcie.

PDE to nie tylko pudełko z elektroniką. Samodzielne oprogramowanie sprzedawane pod waszą nazwą jest PDE. Komponent sprzedawany osobno jest PDE. Daty - 11 września 2026 i 11 grudnia 2027 - są te same.

Do kogo rozporządzenie mówi

Główny adresat to producent: osoba, która wprowadza produkt na rynek Unii pod własną nazwą lub znakiem. To rola prawna, nie stanowisko na LinkedIn. Jeśli stawiacie swój znak na urządzeniu złożonym przez kogoś innego, dla CRA jesteście producentem. Jeśli importujecie wyrób spoza UE i wprowadzacie go na rynek, ciągniecie obowiązki producenta.

Importerzy i dystrybutorzy mają własne sprawdzenia. Nie zastępują pliku producenta. Upoważniony przedstawiciel nie napisze za was oceny ryzyka.

Jednostką obowiązku jest produkt, nie podmiot raz. Dwa SKU to dwa pliki, nawet jeśli dzielą drzewo firmware. Istotna zmiana to nowe wprowadzenie na rynek: katalog dostaje kolejny wiersz, SBOM kolejną blokadę, deklaracja kolejną datę.

Urządzenie, oprogramowanie, komponent

Tekst jest horyzontalny celowo. Sprzęt z elementami cyfrowymi jest w środku. Oprogramowanie udostępniane na rynku Unii pod waszą nazwą jest w środku, w tym oprogramowanie wbudowane sprzedawane osobno. Biblioteka, SDK, runtime przemysłowy, aplikacja mobilna, którą wprowadzacie na rynek jako wyrób: jeśli nazwa na listingu jest wasza, zaczynacie od założenia, że to PDE, i dokumentujecie dlaczego nie, jeśli uważacie, że nie.

„Sprzedajemy tylko software” nie jest wyłączeniem. „To chodzi w chmurze” to inna rozmowa o tym, co faktycznie wprowadzacie na rynek jako produkt. „To komponent w cudzej maszynie” nadal ma znaczenie, jeśli ten komponent sprzedajecie osobno pod swoim znakiem.

Na każdym wierszu potrzebujecie rzeczy nudnych i konkretnych:

• nazwa i wersja,
• typ (urządzenie / samodzielne oprogramowanie / komponent),
• rynki, na których udostępniacie,
• data wprowadzenia na rynek albo udostępnienia,
• koniec wsparcia z miesiącem i rokiem, podany przy zakupie,
• kto jest producentem przy tym wierszu,
• czy była istotna zmiana.

Bez tych pól nie przypniecie SBOM, luki Annex I ani zgłoszenia z art. 14 do niczego, co organ uzna.

Zakres to decyzja przy produkcie

CRA nie jest odznaką firmy zdobywaną w 2027. Przy każdym PDE znaczycie, czy rozporządzenie dotyczy, kto jest producentem i czy ostatnia zmiana była istotna. Ta decyzja należy do katalogu, obok dowodów, nie do slajdu „jesteśmy w zakresie”.

Produkty udostępnione przed 11 grudnia 2027 nie są poza historią. Nowe wprowadzenie na rynek po tej dacie wymaga Annex I, oceny zgodności, deklaracji UE i znaku CE. Istotna zmiana starszego wyrobu jest traktowana jako nowe wprowadzenie. Plan „tylko nowe produkty” bez definicji istotnej zmiany to sposób, w który SKU z 2024 staje się problemem 2028.

Dlaczego katalog musi istnieć przed art. 14

11 września 2026 producent zgłasza aktywnie wykorzystywane podatności i poważne incydenty. Zgłoszenie wskazuje produkt. Jeśli produkt żyje w wątku mailowym, okno 24h spędzicie na szukaniu ciągu wersji.

Ten sam katalog zasila plik z 11 grudnia 2027: tożsamość, ryzyko, Annex I, SBOM, okres wsparcia, instrukcje, deklaracja, znak. Skaner nie tworzy tej tożsamości. Ją zużywa.

Co wstawić w pierwszym tygodniu

1. Wypiszcie każdą nazwę, którą wprowadzacie na rynek Unii, w tym oprogramowanie i komponenty sprzedawane osobno.
2. Dajcie każdej wersję, typ, rynki i koniec wsparcia z miesiącem i rokiem.
3. Oznaczcie producenta w dokumentach i ewentualną istotną zmianę.
4. SBOM i wiersz ryzyka Annex I przypnijcie do tej tożsamości, nie do firmy.
5. Katalog trzymajcie on-premise. To indeks pliku technicznego.

Crado AI jest zbudowany jako ten indeks: najpierw katalog PDE, potem ryzyko, SBOM, art. 14 i CE. Jeśli wiersza nie ma, reszta CRA nie ma gdzie usiąść.