Nařízení Evropského parlamentu a Rady (EU) 2024/2847 o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky, známé jako Cyber Resilience Act (CRA), dospělo k prvnímu prakticky významnému datu. Od 11. září 2026 jsou výrobci povinni oznamovat aktivně zneužívané zranitelnosti a závažné incidenty. Zbytek nařízení se použije od 11. prosince 2027. Co přesně se změnilo, koho se povinnost týká a jak je konstruován ohlašovací mechanismus?
Právní rámec a časová působnost
CRA vstoupil v platnost 10. prosince 2024 jako přímo použitelné nařízení; nevyžaduje tedy transpozici do národního práva. Použitelnost jednotlivých částí je odstupňována. Od 11. června 2026 běží notifikace subjektů posuzování shody podle kapitoly IV, od 11. září 2026 se použijí ohlašovací povinnosti podle článku 14 a od 11. prosince 2027 nastupuje plná aplikace včetně základních požadavků přílohy I, posuzování shody a označení CE.
Zásadní je přechodné ustanovení čl. 69 odst. 3. Zatímco většina povinností dopadne pouze na produkty uváděné na trh po 11. prosinci 2027 (u starších jen v případě podstatné změny), ohlašovací povinnost je z tohoto pravidla vyňata: vztahuje se i na produkty, které již na trhu Unie jsou. Výrobce tedy od 11. září 2026 monitoruje a hlásí události napříč celým portfoliem, včetně produktů v režimu pouhé údržby.
Věcná a osobní působnost
Produktem s digitálními prvky se rozumí software i hardware, včetně samostatně uváděných komponent, s přímým či nepřímým datovým spojením. Do působnosti tak spadají podnikové aplikace, mobilní software, firmware i řešení pro vzdálené zpracování dat, jsou-li nezbytná pro funkce produktu. Čistě cloudové služby zůstávají doménou směrnice NIS2, v ČR zákona č. 264/2025 Sb.
Adresátem povinností je primárně výrobce. Postavení výrobce však přebírá i subjekt, který produkt uvádí na trh pod vlastním jménem či ochrannou známkou, nebo který provede podstatnou změnu produktu. Nekomerční vývoj svobodného softwaru je z působnosti vyňat; správci open-source podléhají zvláštnímu, mírnějšímu režimu. Mimo CRA stojí sektory s vlastní úpravou, například zdravotnické prostředky, motorová vozidla či civilní letectví.
Konstrukce ohlašovací povinnosti
Článek 14 rozlišuje dvě kategorie událostí: aktivně zneužívanou zranitelnost, tedy takovou, u níž existují spolehlivé důkazy o zneužití bez souhlasu vlastníka systému, a závažný incident s dopadem na bezpečnost produktu. Pro obě platí třífázový režim počítaný od okamžiku, kdy se výrobce o události dozvěděl: včasné varování do 24 hodin, oznámení s podrobnostmi do 72 hodin a závěrečná zpráva, u zranitelností nejpozději 14 dnů po zpřístupnění nápravného opatření, u incidentů do jednoho měsíce.
Oznámení se podává jediným podáním prostřednictvím jednotné ohlašovací platformy zřizované agenturou ENISA a směřuje souběžně k ENISA a týmu CSIRT určenému podle hlavní provozovny výrobce. V České republice se s rolí příjemce počítá u NÚKIB; dozor nad trhem má vykonávat především Česká obchodní inspekce. Český adaptační zákon prošel připomínkovým řízením a míří do Poslanecké sněmovny, na použitelnost nařízení však jeho stav nemá vliv. Výrobce má vedle toho povinnost informovat bez zbytečného odkladu dotčené uživatele, včetně případných zmírňujících opatření.
Sankce a související režimy odpovědnosti
Porušení základních požadavků a klíčových povinností výrobce může být sankcionováno pokutou až 15 milionů eur nebo 2,5 % celkového celosvětového ročního obratu, podle toho, co je vyšší; pro ostatní povinnosti platí strop 10 milionů eur nebo 2 % a pro poskytnutí nesprávných informací 5 milionů eur nebo 1 %. Mikropodniky a malé podniky nemohou být pokutovány za nedodržení 24hodinové lhůty. Orgány dozoru mohou vedle pokut nařídit stažení produktu z trhu.
Kontext dotváří nová směrnice o odpovědnosti za vadné výrobky, použitelná od prosince 2026, která výslovně zahrnuje software a při posuzování vady zohledňuje i úroveň jeho zabezpečení, a od prosince 2027 zařazení CRA mezi předpisy vymahatelné zástupnými žalobami spotřebitelských organizací.
Praktická doporučení
Přípravu lze rozdělit do pěti kroků: sestavit inventář produktů dostupných na trhu Unie včetně starších verzí; interně vymezit, co představuje aktivně zneužívanou zranitelnost a závažný incident; určit odpovědné osoby a eskalační cestu s ohledem na nepřetržitý běh lhůt; zajistit registraci a přístup k ohlašovací platformě; a proces ověřit cvičným hlášením. Souběžně je vhodné budovat evidenci softwarových komponent (SBOM), která bude od prosince 2027 nezbytná pro prokázání souladu a již dnes výrazně urychluje posouzení, zda se výrobce zranitelnost třetí strany týká.
