By Joanna Opolka

Posted

http://144.76.189.48/pdf-new.php?url=https://effect.edu.pl/szkolenia-ur-produkcja-bhp/cyberbezpieczenstwo-maszyn-szkolenie-cra

Cyberbezpieczeństwo maszyn i urządzeń w 2026–2027 roku – nowe przepisy, nowe wymagania. Cyber Resilience Act w praktyce.

– nowe obowiązki producentów, importerów, dystrybutorów, integratorów i użytkowników maszyn. Jak przygotować zakupy, umowy, odbiory, eksploatację i modernizacje do wymagań CRA?

Przygotuj firmę na nowe obowiązki dotyczące cyberbezpieczeństwa maszyn!
Brak zgodności może zablokować wprowadzenie maszyny do obrotu, wymusić kosztowną modernizację, a nawet doprowadzić do przejęcia obowiązków producenta.

Sprawdź trzy terminy, których nie można przeoczyć:

11 września 2026 roku – rozpoczęcie stosowania obowiązków dotyczących zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów;
20 stycznia 2027 roku – rozpoczęcie stosowania nowego rozporządzenia maszynowego;
11 grudnia 2027 roku – rozpoczęcie stosowania zasadniczych wymagań Cyber Resilience Act.

Od 11 grudnia 2027 roku produkt z elementami cyfrowymi, który nie spełnia wymagań CRA, nie będzie mógł zostać wprowadzony do obrotu w Unii Europejskiej.

CRA obejmuje m.in.:

maszyny i urządzenia przemysłowe połączone z siecią,
sterowniki oraz moduły wejść i wyjść,
panele operatorskie i bramki komunikacyjne,
systemy automatyki i zdalnego sterowania,
komponenty cyfrowe sprzedawane do zabudowy,
oprogramowanie układowe udostępniane osobno,
aplikacje służące do konfiguracji, diagnostyki i serwisowania urządzeń,
oprogramowanie udostępniane bezpłatnie w ramach działalności komercyjnej.

CRA dotyczy produktów komunikujących się bezpośrednio lub pośrednio z siecią albo innym urządzeniem.
Brak podłączenia do internetu nie wyłącza produktu z zakresu regulacji!

Przepisy uderzą nie tylko w producentów. Muszą się do nich przygotować także importerzy i dystrybutorzy.

Uważaj na modyfikacje!
Sprzedaż produktu pod własną marką lub jego istotna modyfikacja może spowodować przejęcie obowiązków producenta.

Oznacza to odpowiedzialność m.in. za:

ocenę ryzyka,
ocenę zgodności,
dokumentację techniczną,
deklarację zgodności UE,
oznakowanie CE,
zarządzanie podatnościami i aktualizacjami przez cały okres wsparcia.

Nie czekaj do 2027 roku. Błędy popełnione na etapie projektowania mogą zamknąć produktowi drogę na rynek. Platforma sprzętowa, mechanizm aktualizacji i okres wsparcia muszą od początku uwzględniać wymagania CRA.

Sprawdź na szkoleniu:

czy wiesz, które pozycje Twojego portfela są produktami z elementami cyfrowymi i do której z czterech kategorii trafiają,
czy Twoje wyroby są udostępniane w bezpiecznej konfiguracji domyślnej: bez wspólnych haseł fabrycznych, z wymuszeniem zmiany przy pierwszym uruchomieniu, z możliwością resetu do stanu pierwotnego,
czy potrafisz wskazać, z jakich komponentów zbudowane jest Twoje oprogramowanie układowe, i czy masz to zapisane w formacie nadającym się do odczytu maszynowego,
czy masz opublikowany adres, na który badacz bezpieczeństwa może zgłosić podatność, i osobę odbierającą takie zgłoszenie także poza godzinami pracy,
czy okres wsparcia, który deklarujesz klientom, jest możliwy do dotrzymania wobec okresów wsparcia komponentów pochodzących od dostawców,
czy dokumentacja techniczna zawiera ocenę ryzyka w cyberprzestrzeni, informacje o zabezpieczeniach oraz dane dotyczące aktualizacji i obsługi podatności,
czy Twój wyrób podlega równolegle rozporządzeniu maszynowemu i czy prowadzisz jeden projekt zgodności, czy dwa równoległe.

Błąd może ujawnić się dopiero podczas kontroli organu nadzoru rynku, przy pytaniu klienta o deklarację zgodności albo w chwili, gdy podatność zostanie wykryta w urządzeniu pracującym już u odbiorcy. Wtedy uzupełnienie dokumentacji, zmiana konstrukcji lub przeniesienie odpowiedzialności na dostawcę komponentu może być już niemożliwe.

Czy wiesz:

czy produkowana, importowana lub sprzedawana przez Twoją firmę maszyna, sterownik lub urządzenie przemysłowe podlega wymaganiom CRA?
w jakiej roli występuje Twoja firma wobec konkretnego wyrobu: producenta, importera, dystrybutora czy upoważnionego przedstawiciela?
kiedy naniesienie własnej marki albo istotna modyfikacja czyni z dystrybutora producenta – z pełnym zakresem obowiązków?
do której z czterech kategorii trafia Twój wyrób i jaka procedura oceny zgodności jest dla niej dopuszczalna?
które z trzynastu wymagań zasadniczych Załącznika I stosują się do Twojego produktu i jak udokumentować, że pozostałe nie mają zastosowania?
co dokładnie musi zawierać zestawienie składników oprogramowania i czego typowy skan automatyczny nie wykryje?
od którego momentu biegnie termin 24 godzin na wczesne ostrzeżenie i kto w firmie może to zgłoszenie wysłać?
co zrobić, gdy podatność zostanie wykryta w komponencie dostawcy, który nie wydaje poprawki?
jak dotrzeć z komunikatem o podatności do użytkownika urządzenia sprzedanego kilka lat temu przez pośrednika?
kiedy Twój wyrób wchodzi dodatkowo pod rozporządzenie maszynowe i dlaczego wtedy nadal wystawiasz jedną deklarację zgodności i jedno oznakowanie CE?

Podczas szkolenia dowiesz się, jak przygotować firmę do nowych obowiązków.
Zaproszony Ekspert z ponad 25-letnim doświadczeniem w obszarze cyberbezpieczeństwa i zarządzania IT wyjaśni, co nowe przepisy oznaczają w praktyce dla producentów, importerów i dystrybutorów maszyn, sterowników i urządzeń przemysłowych.
Pokaże, jak prawidłowo sklasyfikować produkt, ustalić rolę firmy, przypisać wymagania zasadnicze do konkretnego wyrobu, zbudować proces obsługi podatności i przygotować dokumentację, której zażąda organ nadzoru rynku.

Dowiesz się, jakie działania należy podjąć, aby spełnić wymagania CRA w zakresie oceny ryzyka w cyberprzestrzeni, dokumentacji technicznej, zarządzania podatnościami, reagowania na incydenty oraz bezpieczeństwa maszyn i systemów automatyki.

Nauczysz się rozpoznawać, kiedy pośrednik przejmuje obowiązki producenta, oraz budować harmonogram dojścia organizacji do zgodności na 11 grudnia 2027 roku.

Przeanalizujemy studium przypadku: destrukcyjny cyberatak na polską infrastrukturę energetyczną z 29 grudnia 2025 roku, udokumentowany przez CERT Polska.
Sprawdzimy, które zabezpieczenia urządzeń zawiodły, jakich błędów dopuścili się ich producenci i w jaki sposób takim sytuacjom mają zapobiegać wymagania Cyber Resilience Act.

Dodatkowa korzyść – praktyczny pakiet wdrożeniowy:

prezentacja i kompendium – pełna prezentacja szkoleniowa w formacie PDF oraz kompendium wiedzy CRA z rozszerzonym omówieniem każdego zagadnienia i odwołaniami do przepisów źródłowych,
pakiet ćwiczeń – karta scenariusza wykorzystywanego przez cały dzień, sześć szablonów do wypełnienia (po jednym na ćwiczenie) oraz sześć ściągawek z odpowiedziami wzorcowymi,
narzędzia wdrożeniowe – checklista audytowa CRA oraz roadmapa wdrożenia ze spisem dokumentów do przygotowania, w formacie arkusza kalkulacyjnego,
wzory dokumentów – cztery edytowalne wzory na start wdrożenia: polityka skoordynowanego ujawniania podatności, procedura zgłaszania zgodnie z art. 14 CRA, szablon komunikatu dotyczącego bezpieczeństwa produktu (security advisory) oraz deklaracja zgodności UE wg Załącznika V,
test wiedzy z kluczem – zestaw dwudziestu pytań wraz z kluczem odpowiedzi, do wykorzystania wewnętrznie jako narzędzie budowania świadomości w zespołach.

Weź udział w szkoleniu i upewnij się, że Twój system, dokumentacja i zabezpieczenia spełniają wymagania!

Opinie o trenerze:

Łączy umiejętność „tłumaczenia” skomplikowanych zagadnień technicznych na język korzyści biznesowych. Dzięki wieloletniej praktyce w zarządzaniu globalnymi kontraktami, jego szkolenia to nie tylko slajdy, ale przede wszystkim realne case studies i gotowe strategie działania w sytuacjach kryzysowych.

ORGANIZACJA

Wybierz termin szkolenia:

CELE I KORZYŚCI

Szkolenie cyberbezpieczeństwo maszyn – cele:

Celem szkolenia jest przygotowanie uczestników do stosowania wymagań Cyber Resilience Act oraz nowego rozporządzenia maszynowego w całym cyklu życia maszyny lub urządzenia – od projektowania i zakupu, przez wprowadzenie do obrotu i odbiór, aż po eksploatację, aktualizację i modernizację.

Podczas szkolenia uczestnicy:

ustalą, które maszyny, urządzenia, komponenty i programy podlegają CRA;
rozpoznają rolę swojej firmy oraz wynikające z niej obowiązki;
poznają wymagania dotyczące cyberbezpieczeństwa produktu, dokumentacji i oceny zgodności;
przygotują się do zarządzania podatnościami, aktualizacjami i incydentami;
nauczą się oceniać skutki modernizacji oraz istotnych modyfikacji maszyn;
zaplanują działania niezbędne do osiągnięcia zgodności z nowymi przepisami.

PROGRAM

Szkolenie cyberbezpieczeństwo maszyn – program:

Zakres CRA, klasyfikacja produktu i role w łańcuchu dostaw

Studium przypadku: destrukcyjny atak na polską energetykę z 29 grudnia 2025 r. udokumentowany przez CERT Polska – obejrzany od strony producenta urządzeń, które w nim padły
Sześć urządzeń, sześć wad po stronie produktu: domyślne poświadczenia fabryczne, wyłączona weryfikacja podpisu firmware, fabrycznie włączone zbędne usługi, brak logów
Rozporządzenie (UE) 2024/2847 – charakter aktu, cztery filary, struktura, ujednolicona oś czasu 2024–2027
„Produkt z elementami cyfrowymi” – definicja i granice zakresu; wyłączenia z art. 2; granica między produktem a usługą chmurową
Role: producent, importer, dystrybutor, upoważniony przedstawiciel, opiekun oprogramowania open source – obowiązki z art. 13, 18–21
Cztery klasy produktów wg Załączników III i IV oraz rozporządzenia wykonawczego (UE) 2025/2392; klasa a wymagana procedura oceny zgodności (art. 32)
Wątek branżowy: kiedy dystrybutor i importer stają się producentem – art. 21 i zasada substytucji roli.

Ćwiczenie: klasyfikacja pozycji katalogowej i ustalenie roli organizacji

Wymagania zasadnicze z Załącznika I, secure by design i ocena ryzyka

Architektura Załącznika I: 13 wymagań dotyczących cech produktu (cz. I pkt 2 lit. a-m) oraz 8 obowiązków obsługi podatności (cz. II pkt 1–8)
Bezpieczna konfiguracja domyślna w praktyce urządzenia przemysłowego – co to znaczy dla sterownika, serwera portów i urządzenia brzegowego
Ocena ryzyka w cyberprzestrzeni jako fundament dokumentacji technicznej – art. 13 ust. 2-4, metodyka w sześciu krokach
Okres wsparcia: minimum 5 lat, dostępność wydanych aktualizacji przez 10 lat, obowiązek publicznej deklaracji daty zakończenia wsparcia (art. 13 ust. 8–9)
Informacje i instrukcje dla użytkownika – Załącznik II, osiem obowiązkowych pozycji
Wątek branżowy: lista kontrolna wymagań, które warto przenieść wprost do specyfikacji zakupowej i do protokołu odbioru.

Ćwiczenie: analiza luk wobec Załącznika I

Łańcuch dostaw, SBOM i zarządzanie podatnościami

Odpowiedzialność za komponenty stron trzecich i open source – art. 13 ust. 5 i 6; dlaczego klauzula umowna nie zdejmuje odpowiedzialności wobec organu
SBOM – czego dokładnie wymaga CRA: format powszechnie używany, odczyt maszynowy, co najmniej zależności najwyższego poziomu
SPDX i CycloneDX, identyfikator PURL, dokumenty VEX i CBOM – po co jest każde z tych narzędzi
Jakość zestawienia: pięć typowych defektów skanu automatycznego i po co buduje się zestawienie wzorcowe
Proces zarządzania podatnościami w siedmiu krokach; polityka skoordynowanego ujawniania podatności (CVD) i triage zgłoszenia
Aktualizacje bezpieczeństwa: bezpłatne, bezzwłoczne, oddzielone od funkcjonalnych, domyślnie automatyczne, bezpiecznie dystrybuowane
Wątek branżowy: klauzule umowne wobec dostawcy maszyny i systemu – SBOM, okres wsparcia, terminy powiadomienia o podatności, bezpłatne poprawki, zasady dostępu serwisowego.

Zgłoszenia do ENISA i CSIRT, nadzór rynkowy i sankcje

14 – dwa niezależne strumienie zgłoszeń: aktywnie wykorzystywana podatność i poważny incydent mający wpływ na bezpieczeństwo produktu
Kaskada terminów: 24 h wczesne ostrzeżenie, 72 h zgłoszenie, sprawozdanie końcowe – 14 dni od udostępnienia środka naprawczego albo miesiąc od zgłoszenia 72-godzinnego
Moment powzięcia wiedzy – pięć typowych sytuacji i odpowiedź dla każdej; pojedyncza platforma sprawozdawcza i właściwość CSIRT koordynatora (art. 16)
Obowiązek poinformowania użytkowników produktu (art. 14 ust. 8) i konsekwencje milczenia
Nadzór rynkowy: uprawnienia organów, środki naprawcze, wycofanie z obrotu i od użytkowników, zakaz udostępniania
Sankcje z art. 64 – trzy progi (do 15 mln EUR lub 2,5 % obrotu światowego) oraz dwa wyłączenia
Wątek branżowy: co robić, gdy podatność dotyczy maszyny stojącej na hali – podział obowiązków między producenta, dystrybutora i użytkownika; relacja do NIS2 i ustawy o KSC.

Ocena zgodności, CE, rozporządzenie maszynowe i plan wdrożenia

Moduły oceny zgodności A, B + C i H – co realnie oznacza każda ścieżka; stan norm zharmonizowanych (mandat M/606, seria EN 40000, normy ETSI) na dzień szkolenia
Dokumentacja techniczna wg Załącznika VII, deklaracja zgodności UE wg Załącznika V i zasady nanoszenia oznakowania CE
BLOK MASZYNOWY: rozporządzenie (UE) 2023/1230 – zakres, definicja elementu bezpieczeństwa obejmująca oprogramowanie, kategorie z Załącznika I i procedury z art. 25
BLOK MASZYNOWY: cyberbezpieczeństwo w zasadniczych wymaganiach zdrowia i bezpieczeństwa – Załącznik III pkt 1.1.9 i 1.2.1; maszyny o samozmieniającym się zachowaniu; istotna modyfikacja także cyfrowa
BLOK MASZYNOWY: jak poprowadzić jeden projekt zgodności dla obu reżimów – wspólna ocena ryzyka (art. 13 ust. 4 CRA), jedna deklaracja zgodności i jedno oznakowanie CE (art. 21 ust. 3 rozp. maszynowego)
Ścieżka wdrożenia w czterech horyzontach oraz decyzja o produktach, których nie da się doprowadzić do zgodności.

Ćwiczenie: plan dojścia do zgodności

WYKŁADOWCA

Szkolenie cyberbezpieczeństwo maszyn poprowadzi:

Ekspert ds. cyberbezpieczeństwa i zarządzania IT | Project Manager | Trener

Ekspert z ponad 25-letnim doświadczeniem w obszarze cyberbezpieczeństwa, zarządzania IT i bezpiecznego wdrażania nowych technologii. Wspiera organizacje w identyfikowaniu ryzyk, zarządzaniu podatnościami, reagowaniu na incydenty oraz przygotowywaniu procesów i dokumentacji do wymagań prawnych.

Specjalizuje się w wyjaśnianiu złożonych regulacji i standardów bezpieczeństwa w sposób zrozumiały dla kadry zarządzającej, specjalistów IT, pracowników technicznych oraz osób odpowiedzialnych za zgodność. Pokazuje nie tylko, jakie obowiązki wynikają z przepisów, ale przede wszystkim, jak przygotować firmę do ich realizacji bez zakłócania bieżącej działalności.

W swojej pracy łączy wiedzę techniczną z doświadczeniem menedżerskim i projektowym. Pomaga firmom porządkować odpowiedzialność, oceniać ryzyka, przygotowywać procedury, zarządzać podatnościami oraz budować skuteczne systemy reagowania na incydenty.

Prowadzi szkolenia oparte na rzeczywistych przypadkach, audytach i incydentach. Uczy podejmowania decyzji pod presją czasu, szybkiego rozpoznawania zagrożeń oraz wdrażania zabezpieczeń, które działają w praktyce.

Podczas szkolenia wyjaśni, co wymagania Cyber Resilience Act i rozporządzenia maszynowego oznaczają dla producentów, importerów, dystrybutorów, integratorów oraz zakładów eksploatujących i modernizujących maszyny. Wskaże, jakie działania należy podjąć w zakresie oceny ryzyka, dokumentacji, zarządzania podatnościami, aktualizacji bezpieczeństwa i reagowania na incydenty.

Specjalizuje się w obszarach:

cyberbezpieczeństwa i odporności cyfrowej organizacji,
zarządzania podatnościami i incydentami,
audytu systemów informatycznych,
wymagań NIS2 i ustawy o krajowym systemie cyberbezpieczeństwa,
zarządzania ryzykiem i ciągłością działania,
przygotowywania procedur i dokumentacji bezpieczeństwa,
zarządzania usługami i projektami IT,
wdrażania zmian organizacyjnych i technologicznych.

Wykształcenie i certyfikaty:

CompTIA Security+,
ISO 27001 Audytor Wewnętrzny,
AgilePM® Foundation & Practitioner,
Change Management® Foundation,
ITIL® 4 Foundation,
Akademia Bezpieczeństwa Informacji EITCA/IS,
Akademia Kluczowych Kompetencji IT EITCA/KC.

METODY

Szkolenie cyberbezpieczeństwo maszyn – metody:

krótkie wprowadzenia eksperckie,
analizę rzeczywistego cyberataku na infrastrukturę przemysłową,
jedno spójne studium przypadku prowadzone przez wszystkie moduły,
sześć ćwiczeń praktycznych,
klasyfikację produktów i ustalanie roli firmy w łańcuchu dostaw,
analizę luk w stosunku do wymagań CRA,
pracę z checklistami, formularzami i wzorami dokumentów,
ocenę kompletności SBOM,
symulację obsługi zgłoszenia podatności,
ćwiczenie z pierwszych 24 godzin po wykryciu incydentu,
analizę modernizacji i istotnych modyfikacji maszyn,
przygotowanie planu dojścia organizacji do zgodności,
omawianie przykładów przedstawionych przez uczestników,
konsultacje z Ekspertem i odpowiedzi na pytania,

ADRESACI

Szkolenie cyberbezpieczeństwo maszyn kierujemy do:

dyrektorów technicznych, produkcyjnych, operacyjnych i inwestycyjnych,
kierowników utrzymania ruchu, produkcji, inwestycji i zakupów technicznych,
automatyków, mechatroników, inżynierów procesu i konstruktorów,
projektantów i integratorów systemów automatyki,
specjalistów ds. cyberbezpieczeństwa systemów IT i OT,
osób odpowiedzialnych za bezpieczeństwo maszyn i ocenę zgodności,
specjalistów ds. jakości, compliance i zarządzania ryzykiem,
pracowników działów prawnych i zakupowych,
osób przygotowujących zapytania ofertowe, umowy i specyfikacje techniczne,
pracowników prowadzących odbiory techniczne i dopuszczających maszyny do eksploatacji,
osób odpowiedzialnych za dokumentację techniczną, oznakowanie CE, aktualizacje i obsługę podatności.

Oceny uczestników wcześniejszej edycji szkolenia Cyberbezpieczeństwo maszyn:

POZIOM PRZYGOTOWANIA WYKŁADOWCY DO ZAJĘĆ:

98%

ZAANGAŻOWANIE WYKŁADOWCY W PROWADZENIE SZKOLENIA

98%

UMIEJĘTNOŚĆ PRZEKAZYWANIA WIEDZY PRZEZ WYKŁADOWCĘ:

95%

MIEJSCE SZKOLENIA

KARTA ZGŁOSZENIA

OŚWIADCZENIE ZW. Z VAT

Wypełnij formularz online

Zapytaj o szkolenie zamknięte

Pobierz ofertę PDF

KONSULTANT

JOANNA KUŚ
Specjalista ds. szkoleń otwartych

tel: +48 32 33 55 150
mobile: +48 608 577 231
e-mail: effect@effect.edu.pl

NATALIA TREFLER
Specjalista ds. szkoleń otwartych

tel: +48 32 33 55 153
mobile: +48 662 297 689
e-mail: effect@effect.edu.pl

OPINIE KLIENTÓW

"Szkolenie uświadomiło mi jakie, z pozoru mało istotne błędy popełniałem przy prowadzeniu KOB. Dokładniej zapoznałem się z regulacjami prawnymi. Dobre praktyki wykorzystam w swojej pracy".

Nestlé Polska S.A. Krzysztof
"Szkolenie zostało przeprowadzone w sposób profesjonalny. Wykładowca przekazywał wiedzę w sposób prosty i zrozumiały. Rozwiewał wszelkie wątpliwości uczestników szkolenia".

Sosnowiecki Szpital Miejski Sp. z o.o. Joanna

BĄDŹ NA BIEŻĄCO

z informacjami o naszych projektach rozwojowych, spotkaniach, ofertach specjalnych.

cyberbezpieczeństwo, cyberbezpieczeństwo maszyn