Cyber Resilience Act (CRA): povinnosti výrobců softwaru a hardwaru

Přejít na nejčastější dotazy

Co je Cyber Resilience Act a odkdy platí?

Cyber Resilience Act (akt o kybernetické odolnosti) je první evropská regulace, která stanoví plošné bezpečnostní požadavky na hardware a software uváděný na trh EU.

Zjednodušeně: co se dosud řešilo u hraček nebo elektrospotřebičů (bezpečný výrobek, CE označení), platí nově i pro kybernetickou bezpečnost - a poprvé i pro samostatný software.

Kdy začínají jednotlivé povinnosti?

Nařízení vstoupilo v platnost 10. prosince 2024 a má dělenou použitelnost:

Klíčové datum pro většinu firem je 11. září 2026. Ohlašovací povinnost totiž není vázána na datum uvedení produktu na trh – dopadne i na produkty, které se prodávají už dnes. Z mého okruhu klientů vím, že právě tomuhle zatím skoro nikdo nevěnuje pozornost.

Koho se CRA týká?

CRA dopadá na výrobce hardwaru i softwaru bez rozdílu. Produktem s digitálními prvky je jakýkoli software nebo hardware, který se připojuje k datové síti – včetně komponent uváděných samostatně. Vývojář, který uvádí software na trh EU, je tedy výrobcem se všemi povinnostmi. A právě softwarových firem se CRA podle nás dotkne nejvíc, protože dosud žádnému režimu posuzování shody nepodléhaly.

Pozor na fikci výrobce

Necháte-li si aplikaci vyvinout dodavatelsky a distribuujete ji pod svou značkou, jste právně výrobcem vy, ne váš dodavatel. Nezáleží na tom, jestli produkt prodáváte, nebo ho poskytujete zdarma. Totéž platí pro dovozce nebo distributora, který produkt prodává pod vlastní značkou nebo ho podstatně změní.

A co SaaS a cloud?

Poskytovatelé čistě digitálních služeb pod CRA zásadně nespadají – jejich regulací je směrnice NIS2, v ČR nový zákon o kybernetické bezpečnosti. Více jsme rozebrali v článku o dopadech NIS2 a analýze regulovaných služeb.

Jedna zásadní výjimka ale existuje: cloud, bez kterého produkt neplní některou ze svých funkcí, je součástí produktu. Typický příklad? Chytrá domácí kamera bez vlastního úložiště, která streamuje video do cloudu výrobce. Bez cloudu se na záznam nepodíváte – cloud je proto součástí produktu a musí splňovat požadavky CRA.

Nevíte, jestli jste podle CRA výrobce? Uděláme vám vstupní analýzu v oblasti kybernetické bezpečnosti – projdeme vaše produkty, smlouvy s dodavateli i souběh s NIS2 a AI Actem a řekneme vám, co přesně na vás dopadá. Ozvěte se nám.

Co všechno je produkt s digitálními prvky?

Definičním znakem je datové připojení. Nařízení se vztahuje na produkty, jejichž zamýšlený účel nebo rozumně předvídatelné použití zahrnuje přímé nebo nepřímé připojení k zařízení nebo síti. Je to záměrně široká konstrukce. Pod regulací se tak potká:

• Spotřební elektronika – routery, chytré hodinky, dětské chůvičky, hračky s konektivitou, pračka s aplikací.
• Samostatný software – operační systémy, mobilní aplikace, pravděpodobně i videohry.
• Průmyslové systémy – řídicí systémy, chytré měřicí brány.

Evropská komise odhaduje, že do běžné (výchozí) kategorie spadne zhruba 90 % produktů na trhu. Nařízení pak režim odstupňovává podle rizikovosti: důležité produkty (např. správci hesel, firewally, hypervizory) podléhají přísnějším postupům posuzování shody a kritické produkty (např. čipové karty nebo hardwarová zařízení s bezpečnostními moduly) mohou podléhat povinné evropské certifikaci.

Které oblasti CRA nepokrývá

Výluky jsou taxativní a sektorové: zdravotnické prostředky, motorová vozidla, civilní letectví a lodní výstroj – tyto oblasti mají vlastní, často přísnější bezpečnostní režimy. Vyňat je i svobodný open source software, pokud není dodáván na trh v rámci obchodní činnosti.

Jaké povinnosti CRA přináší?

Základem je princip security by design a security by default – produkt musíte navrhnout a vyvinout tak, aby byl bezpečný od začátku. Konkrétně to podle článku 13 znamená:

• Posoudit bezpečnostní rizika ještě před uvedením produktu na trh a udržovat dokumentaci aktuální po celou dobu podpory.
• Dodat produkt bez známých zneužitelných zranitelností, s bezpečnou standardní konfigurací, šifrováním a minimalizovanou útočnou plochou.
• Vést softwarový kusovník (SBOM) – strojově čitelný seznam všech komponent produktu – a nastavit proces, jak zranitelnosti řešit: bezplatné aktualizace, politiku koordinovaného zveřejňování a kontaktní místo pro hlášení.
• Stanovit dobu podpory – typicky minimálně pět let.
• Projít posouzením shody a získat CE označení. U běžných produktů zpravidla interní kontrolou, u důležitých a kritických přísnějším postupem. Ano, čtete správně: CE označení bude muset mít i software.
• Vést technickou dokumentaci minimálně deset let od uvedení produktu na trh.
• Hlásit zranitelnosti a incidenty – o tom podrobně v další sekci.

Kdo nese odpovědnost při externím vývoji?

Pozor na jednu věc, na kterou se často zapomíná: povinnosti nese výrobce, i když vývoj dělá někdo jiný. CRA odpovědnost na dodavatele samo nepřenáší – musíte si to ošetřit ve smlouvě. Když nakupujete vývoj nebo komponenty, promítněte požadavky CRA do smluv s dodavateli, podobně jako to regulované firmy dělají při kontrole dodavatelů podle nového zákona o kybernetické bezpečnosti.

Ohlašování zranitelností od 11. září 2026: první ostrá povinnost

Od 11. září 2026 máte 24 hodin. Tolik času dostanete, když někdo aktivně zneužívá zranitelnost ve vašem produktu, na to, abyste podali včasné varování koordinačnímu týmu CSIRT a agentuře ENISA. Stejná pravidla (článek 14 nařízení) platí i pro každý závažný incident s dopadem na bezpečnost produktu. Hlášení se podává přes jednotnou evropskou platformu.

Lhůty pro hlášení

• Do 24 hodin od zjištění – včasné varování.
• Do 72 hodin – oznámení o zranitelnosti či incidentu.
• Do 14 dnů od dostupnosti nápravného opatření – závěrečná zpráva (u závažných incidentů do jednoho měsíce).

Znovu zdůrazňujeme: tahle povinnost se od 11. září 2026 vztahuje i na produkty, které jsou na trhu už dnes. Nečeká se na prosinec 2027.

Co řeší český adaptační zákon a proč na něj nečekat?

Česko připravuje adaptační zákon o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky. Návrh je aktuálně v legislativním procesu – a tady jedno důležité upozornění: na český zákon nečekejte. CRA je nařízení, tedy předpis závazný v celém rozsahu a přímo použitelný ve všech členských státech. Povinnosti vzniknou přímo z nařízení v evropských termínech, bez ohledu na stav českého legislativního procesu.

Adaptační zákon doplňuje jen vnitrostátní prvky, které nařízení členským státům ukládá.

Dozor rozdělený mezi 12 úřadů

Návrh svěřuje dozor nad trhem sektorovým orgánům podle typu výrobku – od České obchodní inspekce přes Státní energetickou inspekci po Puncovní úřad. NÚKIB stojí vedle nich jako oznamující orgán a odborná podpora. Model navazuje na stávající architekturu dozoru nad trhem, pro výrobce softwaru ale znamená nejistotu: vyrábíte chytrý termostat s aplikací a cloudem - je to výrobek pro energetiku, elektrické zařízení, nebo stanovený výrobek? S tím se bude muset praxe poprat.

Povinná čeština

Výrobce a dovozce uvádějící výrobek na trh v ČR musí uvést kontaktní údaje v českém jazyce a výrobce musí zajistit informace a pokyny pro uživatele v češtině (§ 9 návrhu). Zní to jako detail, ale porušení je přestupkem s horní hranicí pokuty 15 000 000 EUR nebo 2,5 % celosvětového obratu – stejnou sazbou jako dodání nebezpečného výrobku na trh. Pro softwarové firmy, které dnes vyvíjejí produkty jen v angličtině, je to zásadní zpráva.

Jaké sankce hrozí?

Sazby pokut určuje článek 64 nařízení. Vždy se uplatní ta vyšší hodnota – buď absolutní částka, nebo procento z obratu.

Do nejvyššího pásma spadá i „pouhé" neohlášení aktivně zneužívané zranitelnosti – tedy povinnost, která začne platit už v září 2026. Regulace je vstřícná k mikropodnikům a malým podnikům: za zmeškání 24hodinové lhůty pro včasné varování se jim pokuta neuloží.

A ještě jedna sankce, o které se mluví málo, ale bolí nejvíc: orgán dozoru může nařídit stažení produktu z trhu nebo zákaz jeho dodávání. Pokuta je jednorázová rána. Stopka pro produkt znamená nulové tržby a otevřené dveře pro konkurenci.

Jak se na CRA připravit? 5 kroků

1. Zjistěte, jestli na vás CRA dopadá. Zní to banálně, ale právě tenhle krok firmy nejčastěji přeskočí - a pak buď platí za compliance, kterou nepotřebují, nebo rok po termínu zjistí, že jsou výrobcem, aniž to tušily. Vstupní analýzu spojte s revizí dalších regulací (NIS2, AI Act, sektorové předpisy).
2. Zmapujte portfolio produktů – které produkty jsou s digitálními prvky, do jaké kategorie spadají (běžné / důležité / kritické) a co už je na trhu.
3. Nastavte proces hlášení zranitelností do 11. září 2026 – kdo zranitelnost zachytí, kdo do 24 hodin podá včasné varování, kdo komunikuje s CSIRT a ENISA.
4. Připravte se na prosinec 2027 – posouzení rizik, SBOM, bezpečnostní aktualizace, doba podpory, technická dokumentace, posouzení shody a CE.
5. Revidujte smlouvy s dodavateli – odpovědnost podle CRA nesete vy, smluvně si zajistěte součinnost, záruky a informační povinnosti dodavatelů.

Chcete mít CRA vyřešené dřív, než začnou platit sankce? V SEDLAKOVA LEGAL propojujeme kybernetickou bezpečnost s IT právem a právem TMT – pomůžeme s dopadovou analýzou, nastavením procesů i smlouvami s dodavateli. Napište nám.

Nečekejte na září

Do účinnosti povinnosti hlásit zranitelnosti zbývá jen pár měsíců a plná účinnost CRA v prosinci 2027 vyžaduje zásahy do vývoje, dokumentace i smluv – to se nestíhá za měsíc. V SEDLAKOVA LEGAL se specializujeme na kybernetickou bezpečnost a pomáhali jsme desítkám firem s přípravou na NIS2 – s CRA vám pomůžeme od vstupní analýzy, přes nastavení procesů hlášení až po smlouvy s dodavateli.

Potřebujete poradit s CRA? Ozvěte se nám.