IoT

Urządzenie wychodzi z fabryki razem z obowiązkiem wsparcia.

CRA wymaga, żeby produkt nie szedł na rynek z znaną podatnością do wykorzystania, miał bezpieczne ustawienia domyślne i aktualizacje w zadeklarowanym okresie. To boli bardziej przy sprzęcie z firmware niż przy SaaS.

Umów rozmowę

Urządzenie połączone wychodzi z fabryki z obowiązkiem, którego nie da się „włączyć w 2027”. CRA chce braku znanych podatności do wykorzystania przy wprowadzeniu, bezpiecznych ustawień domyślnych i aktualizacji przez zadeklarowany okres wsparcia. To boli bardziej przy firmware i radiu niż przy slajdzie o chmurze.

Najpierw trzeba rozstrzygnąć, co jest wyrobem: sama płytka, firmware, aplikacja mobilna, chmura towarzysząca. Jeden PDE albo kilka. Bez tej decyzji nie wiecie, który SBOM, który CSIRT i która data wsparcia idzie na opakowanie.

11 września 2026 art. 14 nie czeka, aż OTA „się samo wgra”. Aktywnie wykorzystywana podatność w stosie comms to 24 godziny. Crado AI trzyma katalog modeli, SBOM firmware i kolejkę on-premise, w waszej sieci, nie w cudzej chmurze urządzenia.

Co w IoT liczy się jako wyrób

Urządzenie z firmware

Model i rewizja sprzętu to tożsamość PDE. Ten sam radio chip pod trzema SKU to trzy wiersze albo udokumentowana wspólna baza z różnicą.

Aplikacja towarzysząca

Jeśli aplikacja jest wprowadzana na rynek pod waszym znakiem, nie chowa się za pudełkiem. Może być osobnym PDE albo częścią wyrobu - decyzja musi być w katalogu.

Aktualizacje OTA

Annex I chce aktualizacji, w tym automatycznych z jasnym opt-out. Kanał OTA, klucz i polityka rollbacku to dowód, nie feature marketingowy.

Okres wsparcia na zakupie

Miesiąc i rok, widoczne w momencie sprzedaży. Hasło „wspieramy urządzenie” bez daty nie zamyka pliku.

Typowe tarcia

Firmware, radio, chmura towarzysząca i aplikacja mobilna jako jeden wyrób albo kilka.
Aktualizacje automatyczne z jasnym opt-out.
Koniec daty wsparcia widoczny w momencie zakupu.

Co Crado AI trzyma

Katalog modeli i rewizji sprzętu.
SBOM firmware plus komponenty comms.
Kolejka podatności z zegarem zgłoszeń art. 14.

Co zwykle boli IoT

Firmware, radio, aplikacja i chmura towarzysząca: jeden wyrób czy cztery?
Aktualizacja OTA z domyślnym auto-update i legalnym opt-out.
Koniec wsparcia nadrukowany w momencie sprzedaży, nie w PDF-ie u prawnika.

Jak CRA pada na urządzenie połączone

Katalog modeli, rewizji i rynków, z datą wprowadzenia i końcem wsparcia.
SBOM firmware plus stos komunikacji, zgodny z buildem w urządzeniu, nie z brancha develop.
Bezpieczne defaulty: hasła, otwarte porty, diagnostyka zdalna wyłączona albo twardo uzasadniona.
Kolejka art. 14 na firmware, który już jest u klienta, nie tylko na następnym releasie.
Plik i CE zanim partia wyjdzie z linii, łącznie z instrukcją aktualizacji.

Co ma działać w fabryce i po wysyłce

01

Mapa modelu

SKU, rewizja, firmware, rynki, data wsparcia. Bez tego OTA i CVE nie mają do czego się przypiąć.
02

SBOM tej flashowanej wersji

To, co idzie do programatora, musi mieć ten sam digest co plik.
03

Domyślna konfiguracja

Wiersz Annex I na hasłach, interfejsach i powierzchni ataku, nie slajd „secure by design”.
04

Zegar na polu

Właściciel, który w 24h umie powiedzieć, które serie są objęte i czy idzie early warning.

Pytania od producenta IoT

Czy chmura towarzysząca jest w CRA?

CRA dotyczy produktu z elementami cyfrowymi. Usługa w chmurze to osobna ocena. Jeśli aplikacja albo oprogramowanie towarzyszące idzie na rynek pod waszym znakiem, nie zakładajcie wyłączenia bez wiersza w katalogu.

Co z urządzeniami już u klienta przed 2027?

Nowe wprowadzenie po 11 grudnia 2027 wymaga Annex I, oceny, deklaracji i CE. Istotna zmiana starszego modelu jest traktowana jako nowe wprowadzenie. Samo „już sprzedane” nie zamyka art. 14 od września 2026 dla wyrobów, które nadal wspieracie jako producent.

Czy auto-update jest obowiązkowy?

Annex I mówi o aktualizacjach, w tym automatycznych tam, gdzie to ma sens, z jasną rezygnacją. Brak kanału aktualizacji w okresie wsparcia jest luką pliku, nie decyzją produktową.

Dlaczego nie SaaS do IoT?

SBOM firmware i mapa serii opisują urządzenie w polu. Klienci przemysłowi i retailerzy nie chcą tego składu na cudzym tenancie.

Co naprawdę zaczyna się 11 września 2026 ->