Cyber Resilience Act.
Vyvíjejte bezpečné produkty s digitálními prvky, řešte zranitelnosti a připravte odpovídající doklad o shodě.
- Nařízení (EU) 2024/2847
- Autor: Derya Altinay
- Stav k: 22. 10. 2026
- Doba čtení: 7 min
Stručná odpověď.
Cyber Resilience Act je nařízení EU o kybernetické bezpečnosti dotčených produktů s digitálními prvky. Výrobci odpovídají za bezpečnost během vývoje, dodávání i podpory. Ohlašovací povinnosti výrobců platí od 11. září 2026; obecné produktové povinnosti od 11. prosince 2027. Základem je nařízení (EU) 2024/2847.
Cyber Resilience Act a lhůty CRA.
Cyber Resilience Act, zkráceně CRA neboli nařízení o kybernetické odolnosti, upravuje kybernetickou bezpečnost produktů. Nařízení (EU) 2024/2847 spojuje požadavky na návrh s povinnostmi během životního cyklu produktu. Předmětem posouzení je konkrétní produkt včetně relevantních komponent a souvisejícího zpracování dat na dálku. Celopodnikový bezpečnostní program může tuto práci podpořit, sám však nezodpoví otázky specifické pro produkt.
Lhůty CRA se uplatňují postupně. Podle čl. 71 odst. 2 CRA se obecné požadavky použijí od 11. prosince 2027; hlášení výrobců podle čl. 14 platí již od 11. září 2026. Kapitola IV o oznamování subjektů posuzování shody se použije od 11. června 2026. Tento institucionální termín nepředstavuje dřívější obecné datum pro označení CE veškerého softwaru.
Starší produkty nejsou plošně vyňaty z hlášení výrobců. Čl. 69 odst. 2 a 3 CRA rozlišuje přechodná pravidla pro shodu produktu od hlášení. Pokyny Komise C(2026) 5252, oddíl 9.1, vysvětlují toto rozlišení i pro produkty uvedené na trh před prosincem 2027. Pokyny jsou právně nezávaznou výkladovou pomůckou; rozhodující zůstává nařízení.
Kterých produktů a podniků se CRA týká.
CRA se týká dotčených hardwarových a softwarových produktů dodávaných na trh EU, které předpokládají přímé nebo nepřímé datové připojení k zařízení nebo síti. Články 2 a 3 CRA určují působnost a pojmy. Patřit sem mohou i samostatně nabízené komponenty. Než zařadíte celé portfolio stejně, ověřte skutečnou funkci a zákonné výjimky.
Role podniku určuje jeho povinnosti. Výrobci, dovozci a distributoři mají různé úkoly; role výrobce může být relevantní také při uvádění na trh pod vlastní značkou. U open-source softwaru je třeba rozlišovat komerční dodávání, příspěvky jednotlivců a zvláštní roli správce open-source softwaru. Svobodná licence plošně nezbavuje výrobce komerčního produktu odpovědnosti.
Služba SaaS nespadá pod CRA ani z něj není vyňata pouze kvůli svému obchodnímu označení. Rozhodující jsou hranice produktu a související zpracování dat na dálku. Pokyny Komise, oddíly 2 a 8, rozlišují softwarové produkty od služeb poskytovaných na dálku. Zaznamenejte odůvodnění pro konkrétní architekturu; obecné tvrzení o veškerých cloudových nabídkách by bylo příliš široké.
Hlavní oblasti požadavků CRA.
Požadavky CRA spojují bezpečnost produktu založenou na rizicích s průběžnou odpovědností. Čl. 13 a příloha I CRA tvoří základ produktových povinností; čl. 14 upravuje dříve použitelné ohlašovací povinnosti výrobců. Následující oblasti poskytují orientaci, aniž by nahrazovaly jednotlivé zákonné požadavky.
Porozumět produktu a rizikům.
Posouzení kybernetických rizik je základem bezpečnostních rozhodnutí během životního cyklu. Výrobci zohledňují zamýšlené a rozumně předvídatelné použití. Prakticky popište funkce, rozhraní a závislosti produktu a možné následky bezpečnostního problému pro uživatele.
Navrhnout bezpečnost v produktu.
Bezpečný návrh a bezpečná výchozí nastavení patří k sobě. Příloha I CRA zahrnuje vlastnosti produktu jako ochranu přístupu, ochranu dat a omezení plochy útoku. Dodatečně napsaná směrnice nemůže nahradit technické vlastnosti; vývojová rozhodnutí a jejich ověření musí odpovídat posouzení rizik.
Odpovědně začlenit komponenty.
Integrované komponenty zůstávají součástí posouzení produktu. Výrobci potřebují dohledatelné informace o tom, co dodávají a jak zranitelnosti závislostí ovlivňují jejich produkt. Komise výslovně popisuje náležitou péči vůči komponentám třetích stran; pouhé předání informací od dodavatele nezodpovídá každou produktovou otázku.
Řešit zranitelnosti a aktualizace.
Řešení zranitelností je průběžným úkolem během příslušného období podpory. Patří sem dostupné ohlašovací cesty, hodnocení, náprava a bezpečné poskytování bezpečnostních aktualizací. Oddělujte technické zpracování nálezu od právního posouzení, zda aktivně zneužívaná zranitelnost nebo závažný incident podléhají hlášení.
Stanovit podporu a informace pro uživatele.
Období podpory se řídí kritérii čl. 13 odst. 8 CRA a očekávaným používáním. V zásadě je stanoveno nejméně pět let; při kratším očekávaném používání platí jeho délka, při delším může být nutné delší období. Pokyny Komise, oddíl 5, výslovně vysvětlují, že pět let není obecnou horní hranicí.
Umožnit hlášení výrobců.
Čl. 14 CRA rozlišuje aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty. Pro výrobce platí postupné hlášení: bez zbytečného odkladu, nejpozději do 24 hodin prvotní varování a do 72 hodin další údaje od okamžiku zjištění. Závěrečné lhůty se liší podle spouštěcí události. Samotný nález skeneru proto automaticky nepředstavuje povinné hlášení ani dostatečný důvod událost uzavřít.
Připravit shodu a dokumentaci.
Technická dokumentace a posouzení shody musí vysvětlovat nabízený produkt. Čl. 32 CRA a kategorie produktu určují přípustný postup. Zaznamenejte zvolený základ posouzení spolu s verzí produktu; obecná sbírka dokumentů bez dohledatelné vazby na posuzované provedení jako praktická strategie prokazování nestačí.
Zavedení CRA jako produktový proces.
Vymezit portfolio a role.
Jako praktický první krok zachyťte nabízené produkty, jejich relevantní funkce, odpovědnou právnickou osobu a roli v příslušné distribuční cestě.
Rozlišovat fáze použitelnosti.
Oddělte již platnou připravenost výrobců k hlášení od přípravy obecné shody produktu a prověřte přechodná pravidla pro existující produkty.
Promítnout rizika do produktových rozhodnutí.
Propojte posouzení rizik s návrhem, výběrem komponent a ověřitelnými bezpečnostními kritérii pro vývoj a uvolnění produktu.
Procvičit ohlašovací cesty.
Určete odpovědné osoby a zástupce a procvičte hodnocení, eskalaci a předávání neúplných informací v použitelných lhůtách.
Stanovit podporu a způsob prokazování.
Naplánujte údržbu podporovaných verzí produktu a podle kategorie vyjasněte požadované posouzení shody a technickou dokumentaci.
Označení CE softwaru a doklady produktu.
Dokladem CRA je posouzení shody konkrétního produktu. Komise k čl. 32 CRA vysvětluje, že pro standardní kategorii je možné interní posouzení. Pro určité důležité nebo kritické produkty platí přísnější postupy s oznámeným subjektem nebo jiné přípustné způsoby prokazování. O kategorii rozhoduje skutečná funkce produktu; reklamní název k tomu nestačí.
EU prohlášení o shodě a označení CE navazují na použitelný postup. Nejde o obecný certifikát pro celý podnik ani o příslib, že produkt nikdy nebude mít zranitelnost. Jednotná doba platnosti certifikátu proto CRA nevystihuje: dokumentaci, řešení zranitelností a aktuálně platné povinnosti je třeba posuzovat během příslušného životního cyklu.
Další rámce a samostatné povinnosti.
ISO 27001 organizuje systém řízení bezpečnosti informací; příslušný certifikát sám nepotvrzuje shodu produktu s CRA. NIS2 posuzuje dotčené subjekty a jejich organizaci bezpečnosti. GDPR chrání osobní údaje, proto událost týkající se produktu může vyvolat další otázky ochrany osobních údajů. Související postupy lze koordinovat, jejich právní spouštěče a důkazy je však třeba posuzovat samostatně.
V Secani.
Secani obsahuje redakční pracovní katalog CRA se zdroji, kontrolními otázkami a příklady důkazů. Profil podniku zachycuje mimo jiné role a datum hodnocení; nevyjasněné předpoklady zůstávají viditelné jako potřeba prověření. Pomůcka podporuje organizaci posuzování, nepotvrzuje však právní zařazení ani shodu produktu.
Začněte vymezeným produktem.
Vyberte konkrétní produkt a nejprve vyjasněte jeho hranice, odpovědnou právnickou osobu a osoby odpovědné za bezpečnostní hlášení. Poté ověřte, které současné a budoucí povinnosti se ho týkají. Tento začátek činí přípravu zvládnutelnou a předchází tomu, aby obecný projekt souladu zastínil již požadovanou připravenost k hlášení.
Časté dotazy.
Ano, pro dotčené výrobce platí hlášení podle čl. 14 CRA od 11. září 2026. Obecné produktové povinnosti začínají 11. prosince 2027; zvláštní role a přechodná pravidla je třeba posoudit samostatně.
Ne, označení SaaS o působnosti nerozhoduje. Posuďte softwarový produkt, jeho funkce a související zpracování dat na dálku podle konkrétní architektury.
Ne, zvláštní zacházení s předcházejícími open-source příspěvky plošně nezbavuje výrobce komerčního produktu jeho povinností. Roli výrobce a případnou roli správce open-source softwaru je třeba rozlišovat.
Ne, certifikát ISO 27001 se týká vymezeného systému řízení. CRA vyžaduje samostatné posouzení produktu a příslušný použitelný doklad o shodě.
Organizujte bezpečnost produktů dohledatelně.
V Secani pracujte s požadavky CRA a jejich ověřováním strukturovaně.
Tato stránka obecně vysvětluje Cyber Resilience Act a nenahrazuje právní posouzení jednotlivého produktu. Rozhodující jsou platné právní akty.