RED i Data Act: dwa przepisy UE dla producentów urządzeń

W ciągu sześciu tygodni tego lata zaczęły obowiązywać dwa unijne akty prawne, które zmieniają sposób projektowania i sprzedaży urządzeń podłączonych do sieci w Europie. 1 sierpnia 2025 roku obowiązkowe stały się wymagania cyberbezpieczeństwa z dyrektywy RED (dyrektywy w sprawie urządzeń radiowych). 12 września 2025 roku, w ostatni piątek, zaczął być stosowany Data Act (akt w sprawie danych).

Oba przyjęto lata temu, a mimo to wielu producentów – zwłaszcza spoza UE – dopiero teraz ustala, co oznaczają w praktyce. Od początku 2024 roku pracujemy w EMBIQ z producentem urządzeń IoT spoza UE nad jego wejściem na rynek europejski, o czym pisaliśmy we wcześniejszym wpisie, a cyberbezpieczeństwo pojawiło się w tym projekcie na długo przed terminem ustawowym. Oto czego wymagają przepisy, co zobaczyliśmy w praktyce i co nas czeka.

Cyberbezpieczeństwo RED: co zmieniło się 1 sierpnia

Rozporządzenie delegowane Komisji (UE) 2022/30 uruchomiło trzy zasadnicze wymagania dyrektywy RED, które dotąd istniały tylko na papierze. Miało obowiązywać od sierpnia 2024 roku; rozporządzenie delegowane (UE) 2023/2444 przesunęło ten termin na 1 sierpnia 2025 roku.

• Art. 3 ust. 3 lit. d: urządzenie nie może szkodzić sieci ani nadużywać jej zasobów;
• Art. 3 ust. 3 lit. e: musi mieć zabezpieczenia chroniące dane osobowe i prywatność;
• Art. 3 ust. 3 lit. f: jeśli umożliwia przekazywanie pieniędzy, wartości pieniężnej lub waluty wirtualnej, musi obsługiwać funkcje chroniące przed oszustwami.

Dotyczą one urządzeń radiowych, które mogą komunikować się przez internet – bezpośrednio lub przez inne urządzenie; wymaganie dotyczące prywatności obejmuje też sprzęt do opieki nad dziećmi, zabawki radiowe i urządzenia noszone.

Normy zharmonizowane EN 18031-1, -2 i -3, po jednej na każde wymaganie, CEN i CENELEC opublikowały w sierpniu 2024 roku, a decyzja wykonawcza Komisji (UE) 2025/138 z 28 stycznia 2025 roku przywołała je w Dzienniku Urzędowym – z ograniczeniami. Najważniejsze dotyczy wszystkich trzech części: jeśli produkt korzysta z opcji z punktów 6.2.5.1 i 6.2.5.2, która pozwala użytkownikowi nie ustawiać ani nie używać żadnego hasła, norma nie daje domniemania zgodności. Pozostałe ograniczenia dotyczą kontroli rodzicielskiej w zabawkach i sprzęcie do opieki nad dziećmi (EN 18031-2) oraz bezpiecznych aktualizacji (EN 18031-3). Gdy ograniczenie ma zastosowanie albo norma jest stosowana tylko częściowo, producent potrzebuje jednostki notyfikowanej.

Każdy egzemplarz wprowadzony do obrotu w UE od 1 sierpnia 2025 roku musi spełniać te wymagania. Egzemplarzy wprowadzonych wcześniej nie dotyczy to wstecz, ale ten sam model wysłany dzisiaj – już tak.

Co zobaczyliśmy w praktyce

• Certyfikaty się starzeją. Certyfikat badania typu UE urządzenia według dyrektywy RED, wydany przez jednostkę notyfikowaną w połowie 2024 roku, obejmuje zdrowie, bezpieczeństwo, kompatybilność elektromagnetyczną i widmo radiowe. Nie mówi nic o art. 3 ust. 3 lit. d, e ani f, bo wtedy nic tego nie wymagało. Dla egzemplarzy wprowadzanych do obrotu po 1 sierpnia to już nie jest pełny obraz – a właśnie dokumentacji CE zażądali celnicy przy imporcie jednej z tegorocznych letnich dostaw.
• Partnerzy branżowi są pierwsi. Rok przed terminem ustawowym partner z branży motoryzacyjnej przysłał własne wymagania cyberbezpieczeństwa dla urządzenia, obejmujące typowe obszary: bezpieczny rozruch i aktualizacje, przechowywanie kluczy, interfejsy debugowania, parowanie bezprzewodowe, testy penetracyjne i obsługę podatności. Każde wymaganie potrzebowało jasnego stanowiska, a luki trafiły do oceny ryzyka. Partner ocenia też organizację dostawcy – przez TISAX albo ISO/IEC 27001.
• Sprzęt wyznacza granicę. Większość odmów i zastrzeżeń miała jedną przyczynę: mikrokontroler nie zapewniał wymaganej izolacji ani bezpiecznego środowiska wykonawczego. Firmware nie doda sprzętowych zabezpieczeń, których układ nie ma; najtaniej spełnić wymagania RED i CRA w momencie wyboru układu.

Data Act: użytkownicy dostają dostęp do danych z urządzeń

Rozporządzenie (UE) 2023/2854 weszło w życie 11 stycznia 2024 roku i jest stosowane od 12 września 2025 roku. Użytkownicy produktów skomunikowanych i usług powiązanych mają prawo dostępu do danych, które powstają podczas korzystania z nich, i mogą żądać ich udostępnienia wybranej osobie trzeciej. Posiadacz danych może wykorzystywać łatwo dostępne dane nieosobowe tylko na podstawie umowy z użytkownikiem. Liczą się dwie daty:

• 12 września 2025 roku: przejrzystość przed zawarciem umowy. Użytkownik musi wiedzieć, jakie dane wytwarza produkt, w jakim formacie i ilości oraz jak może uzyskać do nich dostęp; przy usługach powiązanych także kto korzysta z danych i w jakim celu.
• Po 12 września 2026 roku: dostęp już na etapie projektu. Produkty skomunikowane i usługi powiązane wprowadzane do obrotu po tej dacie muszą domyślnie udostępniać dane użytkownikowi – łatwo, bezpiecznie, bezpłatnie, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, a gdy ma to znaczenie i jest technicznie wykonalne – bezpośrednio.

Mikroprzedsiębiorstwa i małe przedsiębiorstwa są w dużej mierze zwolnione, a Data Act obejmuje też nieuczciwe warunki umów i zmianę dostawcy chmury. Przy usługach w subskrypcji trzeba przejrzeć regulamin, a stronę techniczną – od modeli danych, API i formatów eksportu po autoryzację osób trzecich i obsługę zgód obok RODO – warto już teraz wpisać w plan rozwoju.

Co dalej: Cyber Resilience Act

Cyber Resilience Act (akt o cyberodporności), rozporządzenie (UE) 2024/2847, wszedł w życie 10 grudnia 2024 roku i rozszerza wymagania cyberbezpieczeństwa na prawie wszystkie produkty z elementami cyfrowymi, także oprogramowanie. Przepisy o jednostkach notyfikowanych obowiązują od 11 czerwca 2026 roku. Od 11 września 2026 roku producenci muszą zgłaszać aktywnie wykorzystywane podatności i poważne incydenty; od 11 grudnia 2027 roku obowiązują wszystkie wymagania, w tym bezpieczeństwo już na etapie projektu i aktualizacje zabezpieczeń przez cały okres wsparcia. Praca wykonana teraz pod RED to bezpośrednia inwestycja w gotowość na CRA. A od 13 grudnia 2024 roku rozporządzenie GPSR (w sprawie ogólnego bezpieczeństwa produktów) wymaga dla każdego produktu konsumenckiego podmiotu gospodarczego z siedzibą w UE.

Krótka lista kontrolna

1. Sprawdź certyfikaty: czy obejmują art. 3 ust. 3 lit. d, e i f dla egzemplarzy wysyłanych po 1 sierpnia 2025 roku?
2. Udokumentuj ocenę ryzyka dla każdego produktu; dziś służy dokumentacji technicznej RED, jutro dokumentacji CRA.
3. Zamknij typowe luki: żadnych wspólnych haseł domyślnych, szyfrowana komunikacja, uwierzytelnione aktualizacje, bezpieczne przechowywanie kluczy, mało wystawionych usług; ograniczenia EN 18031 sprawdź wcześnie.
4. Zinwentaryzuj dane produktu, opublikuj informacje przedumowne i zaprojektuj dostęp do danych dla produktów wprowadzanych po 12 września 2026 roku.
5. Przygotuj obsługę podatności przed wrześniem 2026 roku: punkt kontaktowy, politykę ujawniania, wykaz komponentów oprogramowania (SBOM) i szybką ścieżkę wydawania poprawek.

Dla urządzeń IoT rok 2025 to moment, w którym zgodność z prawem UE stała się sprawą oprogramowania, danych i procesów, a nie tylko radia i bezpieczeństwa. Potraktuj RED, Data Act i CRA jako jeden program, a pracę wykonasz raz. Jeśli przygotowujesz produkt podłączony do sieci na te wymagania, zobacz nasze usługi Dostosowanie produktów do rynku UE i IoT albo napisz do nas.