Přestože je Cyber Resilience Act (CRA) relativní novinkou, členské státy již řeší, jak nastavit jeho praktické uplatňování prostřednictvím adaptačních zákonů. Na rozdíl od směrnice NIS2 však není CRA předpisem, který by bylo nutné převádět do národní legislativy. Jako nařízení EU je přímo použitelné a závazné ve všech členských státech.
To znamená, že výrobci, dovozci, distributoři i další hospodářské subjekty se musí na nové povinnosti připravovat bez ohledu na stav národní legislativy.
Přesto mají adaptační zákony významnou roli. Určují totiž zejména:
který orgán bude vykonávat dozor nad trhem;
kdo bude přijímat oznámení o zranitelnostech a incidentech;
kdo bude ukládat sankce;
jak bude zajištěna koordinace s dalšími regulatorními rámci, jako jsou NIS2, DORA nebo AI Act.
Právě způsob nastavení těchto pravidel může mít v praxi pro hospodářské subjekty obdobný význam jako samotné požadavky CRA. Pro výrobce působící ve více členských státech tak bude důležité sledovat nejen samotné požadavky CRA, ale i rozdíly v organizaci dozoru, komunikaci s úřady a vymáhání povinností na národní úrovni.
Jak jsou na tom Česko a Slovensko?
Česká republika
V České republice je aktuálně projednáván návrh adaptačního zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky (připravuje ministerstvo průmyslu a obchodu). Podle návrhu by se na výkonu státní správy v této oblasti podílel Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) společně s orgány dozoru nad trhem.
Vedle České obchodní inspekce mají tuto roli plnit například:
Český báňský úřad;
Státní energetická inspekce;
Úřad pro technickou normalizaci, metrologii a státní zkušebnictví;
Ministerstvo dopravy;
další sektorové orgány.
Orgány dozoru nad trhem by podle návrhu vykonávaly rovněž dohled nad plněním povinností správců softwaru s otevřeným zdrojovým kódem podle čl. 24 CRA.
Specifický režim je navrhován pro výrobky s digitálními prvky, které budou zároveň představovat vysoce rizikové systémy umělé inteligence podle AI Act. Dozor nad těmito výrobky bude zohledňovat jak požadavky CRA, tak působnost orgánů příslušných podle právní úpravy umělé inteligence.
Návrh vychází z modelu rozděleného dozoru mezi více sektorových regulátorů, přičemž NÚKIB má vedle vlastních kompetencí plnit také koordinační a odbornou roli. Výhodou tohoto přístupu je využití odbornosti jednotlivých regulátorů, současně však vyvolává otázky týkající se jednotnosti výkladu právních povinností a koordinace jejich postupu.
V praxi mohou být největší výzvou zejména:
určení příslušného orgánu u komplexních produktů;
koordinace mezi CRA a AI Actem;
jednotný výklad regulatorních požadavků;
jazykové požadavky na technickou dokumentaci.
Například u produktů kombinujících telekomunikační, cloudové a AI funkce nemusí být na první pohled zřejmé, který orgán bude příslušný k výkonu dozoru.
Slovensko: centralizovaný přístup
Slovensko patří mezi členské státy EU, které v oblasti adaptace CRA postupují poměrně rychle. Sází přitom na centralizovaný model výkonu dohledu, kde klíčovou roli hraje Národný bezpečnostný úrad (NBÚ), dlouhodobá hlavní autorita pro kybernetickou bezpečnost v zemi.
Hlavní výhody tohoto přístupu představují především:
Jednotný orgán dohledu bez rizika kompetenčních sporů;
Jasně rozdělené pravomoci od počátku;
Minimální riziko rozdílných výkladů legislativy CRA;
Jednodušší komunikace pro výrobce i další hospodářské subjekty.
Legislativní vývoj a současný stav
Slovenský model se opírá o dva postupné legislativní kroky:
Určení klíčových úřadů: Prostřednictvím dřívějšího zákona č. 318/2025 Z. z. Slovensko s předstihem určilo NBÚ jako orgán dohledu nad trhem a Úrad pre normalizáciu, metrológiu a skúšobníctvo SR (ÚNMS SR) jako notifikační orgán pro účely CRA.
Komplexní adaptační zákon: Na tento krok navázala vláda 26. srpna 2026 schválením návrhu zcela nového zákona o kybernetické bezpečnosti produktů s digitálními prvky (označovaného též jako zákon o kybernetické odolnosti). Návrh z dílny NBÚ byl následně postoupen do Parlamentu jako parlamentní tisk č. 1450, kde nyní čeká na finální schválení.
Co nový návrh přináší?
Předložený zákon podrobně rozpracovává institucionální a procesní rámec. Definuje pravomoci NBÚ při dohledu nad trhem, práva a povinnosti hospodářských subjektů, pravidla pro provádění kontrol i sankční mechanismy za porušení povinností.
Zajímavým a praktickým prvkem slovenského návrhu je možnost zřízení regulatorního sandboxu pro malé a mikropodniky, který má těmto subjektům usnadnit bezpečné testování souladu jejich produktů s novými, přísnými požadavky CRA.
Shrnutí a výhled do budoucna
Cyber Resilience Act sice zavádí jednotná evropská pravidla pro kybernetickou bezpečnost produktů s digitálními prvky, způsob jejich praktického vynucování však bude do značné míry záviset na národních adaptačních zákonech. Srovnání českého a slovenského přístupu ukazuje, že členské státy volí odlišné modely dozoru, od centralizovaného výkonu jednou autoritou až po širší zapojení sektorových orgánů. Vedle nastavení dohledu bude důležité také to, zda státy nabídnou podnikům dostatečnou metodickou podporu a nástroje pro plnění nových povinností. Pro organizace je proto klíčové zahájit přípravy již nyní, protože CRA bude představovat dlouhodobou změnu v přístupu k vývoji, uvádění na trh a správě digitálních produktů.
