Unijna agencja ENISA opublikowała 24 czerwca wyniki SME CRA Survey, badania przeprowadzonego w lutym i marcu 2026 roku. Raport obejmuje 194 odpowiedzi z 31 państw lub grup geograficznych, a 66% respondentów znało CRA przed badaniem. Dla polskich MŚP wytwarzających produkty cyfrowe to punkt wyjścia do przeglądu dokumentacji, reagowania i utrzymania produktu, choć wyniki nie oceniają zgodności żadnej konkretnej firmy.

Zapytaj na najbliższym spotkaniu zarządu, czy firma jest gotowa na CRA. Najłatwiejsza odpowiedź brzmi: „tak, znamy tę regulację”. Uspokaja i niczego nie rozstrzyga. Znajomość przepisu nie mówi, kto prowadzi dokumentację bezpieczeństwa produktu, kto uruchamia plan reagowania, gdy w produkcie pojawi się problem, i kto decyduje, jak długo produkt będzie utrzymywany. Według raportu ENISA 66% respondentów znało CRA przed badaniem. Gdyby podobny odsetek odpowiedział twierdząco w twojej firmie, nadal nie byłoby wiadomo, czy ktokolwiek ma te trzy zadania w kalendarzu i w budżecie. Odpowiedź „znamy regulację” otwiera więc rozmowę. Zamyka ją dopiero nazwisko osoby odpowiedzialnej, wskazany dokument i przyznane zasoby.

66% znało CRA przed badaniem: co mierzy ta liczba

ENISA udostępniła dwa materiały: kartę publikacji SME CRA Survey Report oraz pełny raport „Survey Results and Analysis”. Najłatwiej zacytować z nich odsetek respondentów, którzy znali CRA, zanim przystąpili do badania.

Ta liczba opisuje stan wiedzy respondentów. Z samej deklaracji znajomości regulacji nie wynika, czy ich firmy mają dokumentację bezpieczeństwa produktu, plan reagowania albo politykę obsługi produktu w całym cyklu życia. Każdy z tych elementów wymaga osobnej decyzji, konkretnych ludzi i pieniędzy. Znajomość regulacji jest warunkiem wstępnym, bo trudno planować pracę nad przepisem, o którym się nie słyszało. Na tym jej rola się kończy.

Wyniki badania wskazują, że planowanie bezpieczeństwa produktu wymaga zasobów, przypisanej odpowiedzialności i obsługi całego cyklu życia. To zdanie dobrze czytać jako listę kontrolną dla firmy, która uznała, że skoro zna CRA, temat ma za sobą.

Znajomość regulacji to punkt startu. O gotowości świadczy dopiero dokument, który ma właściciela, budżet i termin przeglądu.

Luka między wiedzą o CRA a codzienną praktyką

Nowe wyniki ENISA ujawniają konkretną lukę między znajomością regulacji a praktyką. W firmie wytwarzającej produkty cyfrowe taka luka może być niewidoczna z poziomu zarządu, bo na papierze wszystko się zgadza.

Wyobraź sobie firmę, w której kierownik produktu był na szkoleniu o CRA, w prezentacji dla zarządu jest slajd z harmonogramem, a ryzyko regulacyjne ma swoją pozycję w rejestrze. Jednocześnie opis zabezpieczeń produktu istnieje tylko w notatkach programistów, plan reagowania napisano dla firmowej sieci, a decyzji o tym, jak długo wspierać starszą wersję produktu, nikt nie podjął. To przykład wymyślony na potrzeby tekstu. Każda osoba z tej układanki zna CRA, a żadna nie ma przypisanego zadania.

Przy czytaniu wyników trzeba pamiętać o ich charakterze. To jednorazowy przekrój odpowiedzi z lutego i marca 2026 roku. Badanie nie pokazuje, czy luka między wiedzą a praktyką rośnie, czy maleje, i nie daje podstaw, by mówić o trendzie. Dla pojedynczej firmy to ograniczenie ma mniejsze znaczenie: pytanie o właściciela dokumentacji jest zasadne niezależnie od tego, w którą stronę zmierza średnia.

Trzy zadania, trzech właścicieli i jeden budżet

Dla zarządu największa wartość badania polega na tym, że pozwala rozdzielić trzy zadania i przypisać do każdego właściciela. Pierwsze to dokumentacja. Ktoś musi wiedzieć, gdzie się znajduje, i aktualizować ją razem ze zmianami w produkcie. Drugie to plan reagowania, w którym trzeba ustalić, kto go uruchamia i kto podejmuje decyzje, gdy w produkcie pojawi się problem bezpieczeństwa. Trzecie to polityka cyklu życia, czyli decyzja, jak długo produkt będzie utrzymywany i co dzieje się po zakończeniu tego okresu.

Ryzyko zarządcze zaczyna się tam, gdzie wszystkie trzy zadania trafiają do jednego worka z napisem „IT” albo „jakość”. Zadanie zespołowe łatwo przeoczyć przy planowaniu kwartału, bo nikt nie odpowiada za jego wykonanie przed zarządem. Druga sprawa to koszt. Wyniki badania mówią też o zasobach, a w małej firmie zasobem jest głównie czas tych samych osób, które rozwijają produkt. Jeśli zarząd przypisze właściciela bez czasu na pracę, dostanie kolejny dokument bez pokrycia.

Odpowiedzialność zarządu da się opisać w jednym zdaniu. Zarząd zatwierdza trzy przypisania, przyznaje na nie zasoby i wyznacza termin, w którym właściciele pokażą stan prac. Reszta to praca operacyjna.

Zadanie przypisane „zespołowi” nie ma właściciela. Przy CRA rozdzielmy trzy przypisania, nawet jeśli w małej firmie dwa z nich trafią do tej samej osoby.

Polskie MŚP: badanie unijne, bez obrazu krajowego rynku

Badanie unijnej agencji dotyczy praktyki MŚP na rynku UE. Nie dowodzi skali problemu w Polsce, a z łącznego wyniku dla 31 państw lub grup geograficznych nie da się wyprowadzić obrazu polskiego rynku. Badanie nie dowodzi też, że wyniki są reprezentatywne dla wszystkich MŚP albo dla polskich firm. Kto zacytuje 66% jako odsetek polskich przedsiębiorców znających CRA, powie więcej, niż mówi źródło.

Na 30 czerwca mamy do dyspozycji dwa materiały tego samego autora: kartę publikacji i pełny raport ENISA. Niezależnego potwierdzenia tych wyników w mediach na razie nie ma. Dla czytelnika z polskiej firmy z tych ograniczeń wynika jeden praktyczny wniosek: raport najlepiej traktować jako zestaw pytań do własnej organizacji. Ocena zgodności konkretnej firmy z CRA to osobne zadanie, którego badanie ankietowe nie wykona.

Osoba, która w firmie odpowiada za temat CRA, powinna przeczytać pełny raport, zanim streści go zarządowi jedną liczbą.

Co z tym zrobić w poniedziałek

  1. W 30 minut spisz produkty cyfrowe, które firma wytwarza, i przy każdym wpisz, gdzie leży jego dokumentacja bezpieczeństwa i kto odpowiada za jej aktualność. Puste pole zostaw puste, bo to też jest wynik przeglądu.
  2. Sprawdź, czy plan reagowania obejmuje produkty sprzedawane klientom, i wskaż osobę, która go uruchamia. Jeśli takiego planu nie ma, zapisz to jako zadanie z właścicielem i terminem.
  3. Ustal, kto decyduje o polityce cyklu życia każdego produktu, w tym o tym, jak długo produkt będzie utrzymywany. Wyniki trzech punktów przedstaw zarządowi razem z pytaniem o zasoby potrzebne do uzupełnienia braków.

Badanie ENISA na 194 odpowiedziach pokazuje lukę, którą łatwo przeoczyć: znajomość regulacji nie przydziela nikomu zadań ani pieniędzy. Firma, która po lekturze raportu potrafi wskazać właściciela dokumentacji, planu reagowania i polityki cyklu życia, wie o swojej gotowości więcej niż z jakiejkolwiek ankiety.

Źródła

Redakcja cyberinsight.pl.