Twoja pompa ciepła ma dostęp do internetu? Unijne prawo zaostrza wymagania dla producentów

Gdy ogrzewanie staje się częścią sieci domowej

Sterowanie pompą ciepła z poziomu smartfona przestało być ciekawostką dla entuzjastów nowych technologii - to dziś codzienność. Można zmienić temperaturę w domu, będąc jeszcze w drodze z pracy, serwisant zdiagnozuje usterkę zdalnie, a producent dośle aktualizację oprogramowania bez konieczności umawiania wizyty. Problem w tym, że każde urządzenie podpięte do sieci to jednocześnie potencjalna furtka dla cyberprzestępców. Unia Europejska postanowiła uregulować tę kwestię wprost, co w praktyce zmieni sposób, w jaki projektuje się i serwisuje sprzęt grzewczy w kolejnych latach.

Nowe przepisy obejmą także urządzenia HVAC/R

Chodzi o rozporządzenie Cyber Resilience Act (CRA) - unijny akt o cyberodporności, który ma wprowadzić jednolite, obowiązkowe standardy bezpieczeństwa dla produktów z elementami cyfrowymi. Innymi słowy, dotyczy to wszystkiego, co potrafi łączyć się z siecią lub innymi urządzeniami, bezpośrednio lub pośrednio. W zakresie przepisów znajdzie się więc cała branża HVAC/R, czyli ogrzewanie, wentylacja, klimatyzacja i chłodnictwo.

Wśród urządzeń, które mogą podlegać nowym wymaganiom, wymienia się między innymi:

• pompy ciepła z modułem zdalnego sterowania,
• inteligentne termostaty,
• sterowniki instalacji chłodniczych,
• systemy automatyki budynkowej.

Nie wszystkie urządzenia zostaną jednak potraktowane tak samo. O tym, w jakim stopniu dany sprzęt podlega rozporządzeniu, zdecyduje jego konkretna funkcjonalność oraz sposób komunikacji z innymi systemami.

Doba na reakcję - obowiązek zgłaszania zagrożeń już obowiązuje

Jeden z najważniejszych terminów już minął. Od 11 września 2026 roku producenci muszą zgłaszać aktywnie wykorzystywane podatności oraz poważne incydenty bezpieczeństwa dotyczące swoich produktów cyfrowych. Przepisy są restrykcyjne - gdy firma dowiaduje się, że luka w jej urządzeniu jest wykorzystywana przez hakerów, ma jedynie 24 godziny na przesłanie wstępnego ostrzeżenia. Na bardziej szczegółowe zgłoszenie przewidziano kolejne 72 godziny, a finalny raport trafia do odpowiednich instytucji w terminie uzależnionym od charakteru zdarzenia.

Wszystkie zgłoszenia przechodzą przez jednolitą platformę stworzoną przez europejską agencję ENISA. Co ważne, obowiązek ten obejmuje nie tylko nowe produkty, lecz także te, które trafiły na rynek jeszcze przed wejściem w życie głównych przepisów CRA.

Grudzień 2027: data, która zmieni projektowanie urządzeń

Kluczowy moment nadejdzie jednak 11 grudnia 2027 roku - wtedy zaczną obowiązywać zasadnicze wymagania cyberbezpieczeństwa wynikające z rozporządzenia. Od tej daty producenci będą musieli uwzględniać zagrożenia cyfrowe już na etapie projektowania, a nie dopiero po wykryciu problemu. W praktyce oznacza to konieczność przeprowadzenia formalnej oceny ryzyka, skutecznego zabezpieczenia dostępu do systemów sterowania oraz wdrożenia procedur reagowania na wykryte podatności.

Jednym z najistotniejszych wymogów jest zapewnienie aktualizacji bezpieczeństwa przez określony z góry okres wsparcia produktu - co do zasady minimum pięć lat. Dla urządzeń takich jak pompy ciepła, które montuje się z myślą o kilkunastu, a czasem kilkudziesięciu latach eksploatacji, długość tego wsparcia może stać się parametrem równie ważnym jak sprawność sezonowa czy poziom emitowanego hałasu.

Producentów czeka również obowiązek prowadzenia szczegółowej dokumentacji komponentów oprogramowania, między innymi w formie tzw. SBOM - wykazu wszystkich elementów składowych kodu. Spełnienie tych wymogów stanie się warunkiem uzyskania oznakowania CE, czyli elementem obowiązkowej procedury oceny zgodności.

Co to oznacza w praktyce dla już zamontowanych instalacji

Wielu właścicieli domów zada sobie pytanie: co z pompą ciepła, która od lat pracuje w kotłowni lub piwnicy? Odpowiedź jest uspokajająca - nowe rozporządzenie nie nakłada obowiązku wymiany wcześniej zainstalowanych urządzeń. Pełny zakres wymagań obejmie produkty wprowadzane na rynek po 11 grudnia 2027 roku. Starszy sprzęt co do zasady zostaje poza nowymi obowiązkami, chyba że po tej dacie zostanie poddany istotnej modyfikacji w rozumieniu przepisów CRA.

Producenci muszą jednak już teraz przestrzegać zasad zgłaszania poważnych incydentów bezpieczeństwa - także w odniesieniu do urządzeń wprowadzonych na rynek wcześniej.

Na co zwrócić uwagę przy wyborze nowej pompy ciepła

Dla osób planujących zakup urządzenia cyberbezpieczeństwo powinno dołączyć do listy kryteriów wyboru - obok sprawności, klasy energetycznej czy warunków gwarancji. Warto zapytać instalatora lub producenta o kilka kwestii:

• jak długo urządzenie będzie objęte wsparciem w zakresie aktualizacji bezpieczeństwa,
• w jaki sposób zabezpieczono dostęp zdalny do systemu sterowania,
• czy pompa ciepła działa poprawnie również bez stałego połączenia z internetem.

Rozbudowane systemy zdalnego sterowania realnie podnoszą komfort użytkowania i pomagają optymalizować zużycie energii. Nowe unijne regulacje mają zagwarantować, że ta wygoda nie będzie okupiona ryzykiem utraty kontroli nad własną instalacją grzewczą. W najbliższych latach bezpieczeństwo oprogramowania stanie się więc pełnoprawnym parametrem technicznym - obok tych, które od dawna znają inwestorzy w branży OZE.