Cyber Resilience Act w Holandii: co musi sprawdzić sklep z elektroniką

Najważniejsze daty i odpowiedź w skrócie

• 10 grudnia 2024: Cyber Resilience Act wszedł w życie.
• 11 września 2026: zaczynają być stosowane obowiązki producentów związane ze zgłaszaniem aktywnie wykorzystywanych podatności i poważnych incydentów bezpieczeństwa.
• 11 grudnia 2027: zaczyna być stosowana większość wymagań dotyczących produktów, dokumentacji, oceny zgodności, informacji dla użytkownika i obowiązków uczestników łańcucha dostaw.

CRA to rozporządzenie unijne, dlatego stosuje się je bezpośrednio również w Holandii. Holenderska Rijksinspectie Digitale Infrastructuur (RDI), czyli Inspekcja Infrastruktury Cyfrowej, publikuje praktyczne materiały dla producentów, importerów i dystrybutorów. Komisja Europejska opublikowała w lipcu 2026 dodatkowe, niewiążące wytyczne pomagające przedsiębiorcom interpretować zakres i wdrożenie rozporządzenia. Tekst rozporządzenia pozostaje jednak podstawowym źródłem obowiązków.

Nie każdy sklep musi sam zgłaszać incydenty i prowadzić pełną dokumentację techniczną. Zwykły dystrybutor ma węższy zakres zadań niż producent. Sytuacja zmienia się jednak, gdy sprzedawca importuje urządzenie spoza UE, umieszcza na nim własną markę albo wprowadza istotną modyfikację produktu.

Jakie produkty obejmuje Cyber Resilience Act

Rozporządzenie dotyczy sprzętu i oprogramowania z elementami cyfrowymi, których zamierzone lub racjonalnie przewidywalne użycie obejmuje bezpośrednie albo pośrednie połączenie z urządzeniem lub siecią. W praktyce katalog może obejmować zarówno gotowe produkty, jak i komponenty udostępniane osobno na rynku.

Przykłady istotne dla e-commerce

• routery, modemy, przełączniki sieciowe i urządzenia Wi-Fi;
• inteligentne kamery, wideodomofony, zamki i alarmy;
• smartwatche, opaski sportowe i inne urządzenia ubieralne;
• zabawki połączone z aplikacją lub usługą online;
• sprzęt smart home, w tym termostaty, oświetlenie i czujniki;
• aplikacje mobilne, programy komputerowe i wtyczki oferowane jako produkt;
• komponenty sprzętowe oraz biblioteki oprogramowania udostępniane na rynku.

Zwykły produkt elektryczny bez funkcji cyfrowych i bez połączenia z urządzeniem lub siecią nie staje się automatycznie produktem objętym CRA. Przykładowo tradycyjny czajnik i czajnik sterowany aplikacją wymagają odmiennej analizy. Niektóre grupy, takie jak wyroby medyczne, pojazdy, produkty lotnicze i wyposażenie morskie, mogą podlegać odrębnym przepisom sektorowym i być wyłączone z CRA. Zakres zawsze trzeba sprawdzić dla konkretnego produktu.

Jeżeli dopiero planujesz asortyment, zacznij od istniejącego poradnika o tym, jak sprzedawać elektronikę w Holandii. CRA nie zastępuje innych wymagań produktowych, konsumenckich, językowych ani środowiskowych — dochodzi do nich jako warstwa cyberbezpieczeństwa.

Producent, importer czy dystrybutor: rola sklepu decyduje o obowiązkach

Producent

Producentem jest podmiot, który opracowuje lub wytwarza produkt z elementami cyfrowymi albo zleca jego opracowanie lub wytworzenie i wprowadza go na rynek pod własną nazwą lub znakiem towarowym. Producent odpowiada między innymi za ocenę ryzyka cyberbezpieczeństwa, spełnienie wymagań zasadniczych, procedurę oceny zgodności, dokumentację techniczną, obsługę podatności, bezpieczne aktualizacje i informacje dla użytkownika.

Sklep może zostać potraktowany jak producent, gdy nakłada własną markę na urządzenie lub oprogramowanie albo dokonuje istotnej modyfikacji. Sama nazwa „white label” nie zmniejsza odpowiedzialności. Liczy się to, pod czyją nazwą produkt jest wprowadzany na rynek i kto faktycznie wpływa na jego właściwości.

Importer

Importer to podmiot mający siedzibę w UE, który wprowadza na rynek unijny produkt wytworzony przez firmę spoza UE. Polski przedsiębiorca prowadzący sklep w Holandii może być importerem, nawet gdy zamówienia realizuje magazyn lub operator logistyczny. Importer powinien upewnić się, że producent wykonał wymagane działania, przygotował dokumentację, zastosował właściwą procedurę oceny zgodności i umieścił oznakowanie CE. Musi także podać swoje dane oraz reagować, gdy ma powody sądzić, że produkt jest niezgodny lub podatny.

Dystrybutor

Dystrybutor udostępnia produkt w łańcuchu dostaw, ale nie jest producentem ani importerem i nie zmienia właściwości produktu. Jego obowiązki są węższe, lecz nie są zerowe. Powinien zachować należytą staranność, sprawdzić wymagane oznaczenia, dane producenta i importera, instrukcje oraz wskazany okres wsparcia. Jeżeli produkt może być niezgodny, nie powinien być dalej oferowany do czasu wyjaśnienia problemu.

W praktyce jeden sklep może występować w kilku rolach jednocześnie: być dystrybutorem markowych laptopów z hurtowni UE, importerem kamer z Azji i producentem aplikacji sprzedawanej pod własną marką. Rejestr produktów powinien zatem przypisywać rolę do każdej pozycji lub grupy SKU, a nie tylko do całej firmy.

Co sklep internetowy powinien sprawdzić przed sprzedażą

1. Oznakowanie i identyfikacja podmiotów

Sprawdź, czy produkt ma wymagane oznakowanie CE oraz czy dostępne są dane producenta, a przy imporcie także importera. Pamiętaj, że samo CE umieszczone obecnie z powodu innych przepisów nie dowodzi jeszcze zgodności z CRA. Od momentu stosowania nowych wymagań dokumentacja i deklaracja zgodności muszą obejmować właściwe podstawy prawne.

2. Informacje i instrukcje dla użytkownika

Użytkownik powinien otrzymać jasne informacje umożliwiające bezpieczną instalację, konfigurację i używanie produktu. Dla holenderskiego klienta instrukcje powinny być zrozumiałe językowo. Na stronie produktu warto przewidzieć pola na wersję oprogramowania, wymagania systemowe, sposób instalowania aktualizacji, punkt kontaktu do zgłaszania podatności i koniec okresu wsparcia.

3. Okres wsparcia i aktualizacje bezpieczeństwa

Producent określa okres wsparcia odpowiadający przewidywanemu użyciu produktu. Co do zasady wynosi on co najmniej pięć lat. Jeżeli produkt ma uzasadniony przewidywany czas użycia krótszy niż pięć lat, okres wsparcia może odpowiadać temu czasowi. Dla routera, systemu operacyjnego lub trwałego komponentu racjonalnie oczekiwany okres może być dłuższy. Bezpłatne aktualizacje bezpieczeństwa powinny być dostępne podczas okresu wsparcia.

4. Dokumenty dostawcy i procedura reagowania

Poproś dostawcę nie tylko o deklarację zgodności, lecz także o jednoznaczne wskazanie roli podmiotów, modelu produktu, wersji oprogramowania, okresu wsparcia, kanału aktualizacji oraz kontaktu bezpieczeństwa. Ustal, kto poinformuje sklep o podatności, wycofaniu produktu lub aktualizacji instrukcji. Przy zakupie partii o wartości na przykład 18 000 EUR brak tych danych może zamienić oszczędność zakupową w kosztowną blokadę sprzedaży.

5. Spójność informacji w każdym kanale

Dane o okresie wsparcia i wymaganiach produktu nie powinny znajdować się wyłącznie w jednym pliku PDF. Jeżeli sprzedajesz przez własny sklep, bol.com, Amazon.nl lub porównywarkę, zaplanuj jedno źródło danych i proces aktualizacji. Dotyczy to szczególnie asortymentu takiego jak AGD sprzedawane online w Holandii, gdzie podobne wizualnie urządzenia mogą znacząco różnić się funkcjami sieciowymi i okresem wsparcia.

Zgłoszenia podatności od 11 września 2026

Od 11 września 2026 producenci mają zgłaszać aktywnie wykorzystywane podatności i poważne incydenty wpływające na bezpieczeństwo produktu z elementami cyfrowymi. Zgłoszenie ma odbywać się przez unijną Single Reporting Platform. W Holandii właściwym punktem jest krajowy CSIRT, a NCSC publikuje informacje o holenderskiej ścieżce zgłaszania.

• wstępne ostrzeżenie powinno zostać przekazane w ciągu 24 godzin od uzyskania wiedzy o zdarzeniu;
• główne zgłoszenie następuje w ciągu 72 godzin;
• dla aktywnie wykorzystywanej podatności raport końcowy składa się nie później niż 14 dni po udostępnieniu środka naprawczego lub ograniczającego ryzyko;
• dla poważnego incydentu raport końcowy składa się w ciągu miesiąca od zgłoszenia 72-godzinnego.

Obowiązek raportowania jest skierowany przede wszystkim do producenta. Importer i dystrybutor nie powinni jednak ignorować zgłoszenia klienta o podatności. Potrzebują procedury szybkiego przekazania informacji producentowi, zabezpieczenia dowodów, zatrzymania sprzedaży w razie uzasadnionego ryzyka oraz współpracy z organem nadzoru. Nie należy też mylić zgłoszeń CRA z obowiązkami wynikającymi z holenderskiej Cyberbeveiligingswet, czyli ustawy wdrażającej NIS2. To dwa odrębne reżimy, choć w konkretnej organizacji mogą się spotkać.

Trzy praktyczne scenariusze dla sklepu w Holandii

Scenariusz 1: smart home kupowany od hurtowni w UE

Sklep kupuje markowe termostaty i czujniki od niderlandzkiej hurtowni. Nie zmienia produktu ani opakowania i nie używa własnej marki. Najczęściej działa jako dystrybutor.

Działanie: sprawdza CE, dane producenta i importera, instrukcje, okres wsparcia oraz kontakt bezpieczeństwa. W umowie z hurtownią ustala, jak otrzyma komunikat o podatności, aktualizacji lub wycofaniu partii. Nie deklaruje na karcie produktu okresu wsparcia dłuższego niż potwierdzony przez producenta.

Scenariusz 2: kamery z Chin sprzedawane pod marką sklepu

Sklep zamawia kamery u producenta spoza UE, umieszcza własne logo i sprzedaje je konsumentom w Holandii. Może zostać uznany za producenta, a nie tylko importera.

Działanie: przed zamówieniem produkcyjnym ustala pełen zakres odpowiedzialności, ocenę ryzyka, procedurę zgodności, dostęp do dokumentacji technicznej, zasady aktualizacji i obsługi podatności. Budżet obejmuje nie tylko zakup urządzeń, ale też wsparcie przez cały deklarowany okres. Brak reakcji fabryki nie zwalnia marki sklepu z jej obowiązków.

Scenariusz 3: własna aplikacja do urządzenia

Sprzedawca kupuje sprzęt od dostawcy UE, ale oferuje własną aplikację do konfiguracji i zdalnego sterowania. Aplikacja jest osobnym produktem cyfrowym lub istotnym elementem całego rozwiązania.

Działanie: rozdziela odpowiedzialność za sprzęt, aplikację, chmurę i komponenty zewnętrzne. Tworzy wykaz zależności, proces wydawania poprawek, punkt kontaktu do podatności i dokumentację wersji. Łączy zgodność produktu z podstawową ochroną samego sklepu internetowego, ale nie traktuje zabezpieczenia WordPressa jako substytutu obowiązków CRA.

Co można wdrożyć w 7 dni

1. Dzień 1: wyeksportuj katalog i oznacz produkty z połączeniem sieciowym, aplikacją, oprogramowaniem lub komponentem cyfrowym.
2. Dzień 2: przypisz do każdego produktu rolę sklepu: producent, importer lub dystrybutor.
3. Dzień 3: zbierz CE, deklaracje zgodności, instrukcje, dane podmiotów i potwierdzony okres wsparcia.
4. Dzień 4: wyślij dostawcom ujednolicony kwestionariusz dotyczący aktualizacji, podatności, kontaktu bezpieczeństwa i informowania o incydentach.
5. Dzień 5: dodaj do danych produktowych pola na okres wsparcia, wersję oprogramowania, wymagania systemowe i sposób aktualizacji.
6. Dzień 6: opisz procedurę: kto przyjmuje zgłoszenie klienta, kto kontaktuje producenta i kto może zatrzymać sprzedaż.
7. Dzień 7: wybierz trzy produkty wysokiego ryzyka i wykonaj próbny audyt od karty produktu aż do dokumentacji dostawcy.

Po tygodniu nie uzyskasz pełnej zgodności całego katalogu, ale będziesz wiedzieć, gdzie sklep jest tylko dystrybutorem, a gdzie przejmuje znacznie większą odpowiedzialność. To pozwala ustalić kolejność prac przed 11 grudnia 2027.

Najczęstsze błędy

• Założenie, że każdy sprzedawca jest tylko dystrybutorem. Import spoza UE, własna marka lub istotna modyfikacja mogą zmienić rolę.
• Traktowanie dowolnego oznakowania CE jako potwierdzenia CRA. Produkt może mieć CE na podstawie innych przepisów, ale nie mieć jeszcze wymaganej dokumentacji cyberbezpieczeństwa.
• Brak końcowej daty wsparcia na etapie zakupu. Ogólne zapewnienie „aktualizacje będą dostępne” nie wystarcza do planowania oferty i obsługi klienta.
• Automatyczne kopiowanie danych dostawcy. Stary feed może podawać nieaktualną wersję aplikacji, instrukcję lub okres wsparcia.
• Mylenie CRA z ochroną sklepu. Certyfikat SSL, kopie zapasowe i bezpieczny WordPress nie potwierdzają zgodności sprzedawanego urządzenia.
• Mylenie CRA z NIS2. Ustawa Cyberbeveiligingswet dotyczy bezpieczeństwa określonych organizacji i usług, natomiast CRA koncentruje się na produktach z elementami cyfrowymi.
• Brak procedury zatrzymania sprzedaży. Pracownicy powinni wiedzieć, kto może wyłączyć produkt we wszystkich kanałach, gdy pojawi się uzasadniona wątpliwość.
• Obietnica wsparcia bez pokrycia w umowie. Sklep nie powinien deklarować klientowi pięciu lub ośmiu lat aktualizacji, jeżeli dostawca nie potwierdził odpowiedzialności i terminów.

Checklista właściciela sklepu

• Czy produkt rzeczywiście ma element cyfrowy i połączenie z urządzeniem lub siecią?
• Czy znam rolę firmy dla konkretnego SKU?
• Czy produkt jest sprzedawany pod moją marką?
• Czy producent lub importer ma siedzibę i dane kontaktowe możliwe do zweryfikowania?
• Czy dostępne są właściwe oznakowanie, deklaracja zgodności i instrukcje?
• Czy znam koniec okresu wsparcia i sposób dostarczania aktualizacji?
• Czy opis w sklepie odpowiada dokumentacji dostawcy?
• Czy mam kontakt do zgłaszania podatności i incydentów?
• Czy potrafię wyłączyć produkt jednocześnie w sklepie i marketplace’ach?
• Czy umowa określa obowiązki producenta po wykryciu podatności?
• Czy zespół odróżnia obowiązki CRA od NIS2 i zwykłej ochrony sklepu?
• Czy dokumenty i decyzje są przypisane do konkretnego modelu oraz wersji?

FAQ: Cyber Resilience Act a sklep internetowy w Holandii

Czy każdy sklep internetowy musi zgłaszać incydenty od 11 września 2026?

Nie. Obowiązek raportowania aktywnie wykorzystywanych podatności i poważnych incydentów spoczywa przede wszystkim na producencie. Sklep będący importerem lub dystrybutorem potrzebuje jednak procedury przekazywania informacji, reagowania na ryzyko i współpracy z właściwymi podmiotami.

Czy CRA obejmuje zwykłe urządzenia elektryczne?

Nie każde. Kluczowe jest istnienie elementu cyfrowego oraz zamierzonego lub przewidywalnego połączenia z urządzeniem albo siecią. Prosty produkt bez takich funkcji może pozostawać poza CRA, podczas gdy jego wersja smart sterowana aplikacją może być objęta rozporządzeniem.

Czy importer z Polski sprzedający w Holandii podlega CRA?

Tak, jeżeli jako podmiot z UE wprowadza na rynek unijny objęty produktem towar wyprodukowany poza UE. Miejsce prowadzenia sklepu lub język witryny nie usuwa obowiązków importera.

Czy sprzedawca white label jest producentem?

Może nim być, jeżeli wprowadza produkt pod własną nazwą lub znakiem towarowym. Trzeba ocenić model umowny, oznakowanie i faktyczny sposób wprowadzenia produktu na rynek, a nie tylko nazwę współpracy z fabryką.

Jak długo mają być dostępne aktualizacje bezpieczeństwa?

Okres wsparcia powinien odpowiadać przewidywanemu czasowi użycia i co do zasady wynosić co najmniej pięć lat. Jeżeli uzasadniony czas użycia produktu jest krótszy, wsparcie może odpowiadać temu okresowi. Dla trwałych urządzeń i oprogramowania właściwy czas może być dłuższy.

Czy CRA dotyczy produktów wprowadzonych przed 11 grudnia 2027?

Główne wymagania odnoszą się do produktów wprowadzanych na rynek po rozpoczęciu stosowania rozporządzenia oraz do wcześniejszych produktów poddanych później istotnej modyfikacji. Obowiązki raportowania od 11 września 2026 obejmują jednak produkty z elementami cyfrowymi udostępnione na rynku UE także wcześniej. Dlatego producent nie powinien ograniczać procedury zgłoszeń wyłącznie do nowego katalogu.

Kto nadzoruje CRA w Holandii?

Materiały i wytyczne dla przedsiębiorców publikuje Rijksinspectie Digitale Infrastructuur. Szczegółowy podział zadań krajowych wynika z holenderskich przepisów wykonawczych, natomiast samo rozporządzenie CRA ma bezpośrednie zastosowanie w UE.

Czy wystarczy dodać informację o CRA do regulaminu sklepu?

Nie. Zgodność dotyczy produktu, procesu jego projektowania i utrzymania, dokumentacji, oznakowania, instrukcji, aktualizacji oraz reakcji na podatności. Regulamin sklepu nie zastąpi tych działań.

Podsumowanie

Cyber Resilience Act nie nakłada identycznych zadań na każdy sklep z elektroniką. Najważniejsze jest prawidłowe ustalenie roli przy każdym produkcie. Dystrybutor powinien weryfikować podstawowe elementy zgodności i reagować na ryzyko. Importer musi aktywnie sprawdzić działania producenta spoza UE. Sprzedawca oferujący produkt pod własną marką może przejąć obowiązki producenta, włącznie z dokumentacją, obsługą podatności i zapewnieniem aktualizacji.

Jeżeli budujesz lub rozwijasz sklep internetowy na rynek holenderski, przygotuj w systemie produktowym miejsce na rolę podmiotu, okres wsparcia, wersje oprogramowania i dokumenty dostawcy. Takie pola ułatwią nie tylko audyt CRA, lecz także obsługę pytań klientów, reklamacji i zmian w marketplace’ach. Przy planowaniu struktury katalogu, lokalizacji i integracji możesz zobaczyć przykładowe realizacje sklepów i omówić zakres wdrożenia po polsku.