Akt o kybernetickej odolnosti.
Bezpečne vyvíjajte produkty s digitálnymi prvkami, riešte zraniteľnosti a pripravte vhodný doklad o zhode.
- Nariadenie (EÚ) 2024/2847
- Autor: Derya Altinay
- Stav k: 22. 10. 2026
- Čas čítania: 7 min.
Stručná odpoveď.
Akt o kybernetickej odolnosti je nariadenie EÚ o kybernetickej bezpečnosti dotknutých produktov s digitálnymi prvkami. Výrobcovia zodpovedajú za bezpečnosť počas vývoja, sprístupnenia aj podpory. Oznamovacie povinnosti výrobcov platia od 11. septembra 2026; všeobecné povinnosti týkajúce sa produktov od 11. decembra 2027. Základom je nariadenie (EÚ) 2024/2847.
Akt o kybernetickej odolnosti a lehoty CRA.
Akt o kybernetickej odolnosti, skrátene CRA, upravuje kybernetickú bezpečnosť produktov. Nariadenie (EÚ) 2024/2847 spája požiadavky na návrh s povinnosťami počas životného cyklu produktu. Predmetom posudzovania je konkrétny produkt vrátane relevantných komponentov a súvisiaceho diaľkového spracúvania údajov. Celopodnikový bezpečnostný program môže túto prácu podporiť, sám však nezodpovedá otázky špecifické pre produkt.
Lehoty CRA sa uplatňujú postupne. Podľa čl. 71 ods. 2 CRA sa všeobecné požiadavky začínajú uplatňovať 11. decembra 2027; hlásenia výrobcov podľa čl. 14 platia už od 11. septembra 2026. Kapitola IV o notifikácii orgánov posudzovania zhody platí od 11. júna 2026. Tento inštitucionálny termín nie je skorším všeobecným termínom označenia CE pre všetky softvérové produkty.
Staršie produkty nie sú plošne oslobodené od hlásení výrobcov. Čl. 69 ods. 2 a 3 CRA odlišuje prechodné pravidlá zhody produktov od hlásení. Usmernenia Komisie C(2026) 5252, oddiel 9.1, vysvetľujú toto oddelenie aj pri produktoch uvedených na trh pred decembrom 2027. Usmernenia sú právne nezáväznou interpretačnou pomôckou; rozhodujúce zostáva nariadenie.
Na ktoré produkty a podniky sa CRA vzťahuje.
CRA sa týka dotknutých hardvérových a softvérových produktov sprístupňovaných na trhu EÚ, ktoré predpokladajú priame alebo nepriame dátové pripojenie k zariadeniu alebo sieti. Čl. 2 a 3 CRA stanovujú rozsah pôsobnosti a pojmy. Môžu sem patriť aj samostatne ponúkané komponenty. Pred jednotným zaradením celého portfólia preverte skutočnú funkciu a zákonom stanovené výnimky.
Rola podniku určuje jeho povinnosti. Výrobcovia, dovozcovia a distribútori majú rozdielne úlohy; rola výrobcu môže byť relevantná aj pri uvádzaní na trh pod vlastnou značkou. Pri softvéri s otvoreným zdrojovým kódom treba rozlišovať komerčné sprístupňovanie, príspevky jednotlivcov a osobitnú rolu správcu softvéru s otvoreným zdrojovým kódom. Slobodná licencia nezbavuje výrobcu komerčného produktu všeobecne jeho zodpovednosti.
Služba SaaS nespadá do CRA ani mimo neho iba na základe svojho obchodného označenia. Rozhodujúce sú hranice produktu a súvisiace diaľkové spracúvanie údajov. Usmernenia Komisie, oddiely 2 a 8, rozlišujú softvérové produkty od služieb poskytovaných na diaľku. Zaznamenajte odôvodnenie pre konkrétnu architektúru; všeobecné tvrdenie o všetkých cloudových ponukách by bolo príliš široké.
Hlavné oblasti požiadaviek CRA.
Požiadavky CRA spájajú bezpečnosť produktu založenú na rizikách s priebežnou zodpovednosťou. Čl. 13 a príloha I CRA tvoria základ povinností týkajúcich sa produktov; čl. 14 upravuje skôr uplatňované hlásenia výrobcov. Nasledujúce oblasti poskytujú orientáciu bez nahrádzania jednotlivých zákonných požiadaviek.
Porozumieť produktu a rizikám.
Posúdenie kybernetických bezpečnostných rizík podkladá bezpečnostné rozhodnutia počas životného cyklu. Výrobcovia zohľadňujú zamýšľané a rozumne predvídateľné použitie. Prakticky opíšte funkcie, rozhrania a závislosti produktu aj možné následky bezpečnostného problému pre jeho používateľov.
Zahrnúť bezpečnosť do produktu.
Bezpečný návrh a bezpečné predvolené nastavenia patria k sebe. Príloha I CRA zahŕňa vlastnosti produktu, ako sú ochrana prístupu, ochrana údajov a obmedzenie plôch útoku. Dodatočne napísaná smernica nemôže nahradiť technické vlastnosti; vývojové rozhodnutia a ich overovanie musia zodpovedať posúdeniu rizík.
Zodpovedne začleňovať komponenty.
Integrované komponenty zostávajú súčasťou posudzovania produktu. Výrobcovia potrebujú zrozumiteľné informácie o tom, čo dodávajú a ako zraniteľnosti v závislostiach ovplyvňujú ich produkt. Komisia výslovne opisuje náležitú starostlivosť voči komponentom tretích strán; samotné preposlanie informácie od dodávateľa nezodpovedá každú otázku týkajúcu sa produktu.
Riešiť zraniteľnosti a aktualizácie.
Riešenie zraniteľností je priebežnou úlohou počas príslušného obdobia podpory. Patria sem dostupné kanály hlásenia, hodnotenie, náprava a bezpečné poskytovanie bezpečnostných aktualizácií. Oddeľte technické spracovanie zistenia od právneho posúdenia, či sa na aktívne zneužívanú zraniteľnosť alebo závažný incident vzťahuje oznamovacia povinnosť.
Určiť podporu a informácie pre používateľov.
Obdobie podpory sa riadi kritériami čl. 13 ods. 8 CRA a očakávaným používaním. V zásade sa stanovuje najmenej päť rokov; pri kratšom očakávanom používaní platí jeho trvanie, pri dlhšom môže byť potrebné dlhšie obdobie. Usmernenia Komisie, oddiel 5, výslovne vysvetľujú, že päť rokov nie je všeobecným maximom.
Umožniť hlásenia výrobcov.
Čl. 14 CRA rozlišuje aktívne zneužívané zraniteľnosti od závažných bezpečnostných incidentov. Pre výrobcov platia postupné hlásenia: bezodkladne, najneskôr do 24 hodín včasné varovanie a do 72 hodín od zistenia ďalšie údaje. Záverečné lehoty sa líšia podľa spúšťajúcej udalosti. Samotné zistenie skenera preto nie je automaticky povinným hlásením ani dostatočným dôvodom na uzavretie udalosti.
Pripraviť zhodu a dokumentáciu.
Technická dokumentácia a posudzovanie zhody musia vysvetľovať ponúkaný produkt. Čl. 32 CRA a kategória produktu určujú prípustný postup. Uchovávajte zvolený základ posudzovania spolu so stavom produktu; všeobecný súbor dokumentov bez zrozumiteľnej väzby na overovanú verziu ako praktická stratégia preukazovania nestačí.
Zavádzanie CRA ako produktový proces.
Vymedziť portfólio a roly.
Ako praktický začiatok zachyťte ponúkané produkty, ich relevantné funkcie, zodpovednú právnickú osobu a rolu v každom distribučnom kanáli.
Rozlišovať fázy uplatňovania.
Oddeľte už platnú pripravenosť výrobcov na hlásenia od prípravy všeobecnej zhody produktov a preverte prechodné pravidlá pre existujúce produkty.
Premietnuť riziká do produktových rozhodnutí.
Prepojte posúdenie rizík s návrhom, výberom komponentov a overiteľnými bezpečnostnými kritériami pre vývoj aj uvoľnenie.
Odskúšať oznamovacie kanály.
Určte zodpovedné osoby a zástupcov a precvičte hodnotenie, eskaláciu a odoslanie s neúplnými informáciami v príslušných lehotách.
Určiť podporu a postup preukazovania.
Naplánujte údržbu podporovaných verzií produktu a podľa kategórie vyjasnite potrebné posudzovanie zhody a technickú dokumentáciu.
Označenie CE softvéru a preukázanie zhody produktu.
Preukázanie CRA je posudzovaním zhody konkrétneho produktu. Komisia pri čl. 32 CRA vysvetľuje, že pre štandardnú kategóriu je možné interné posudzovanie. Pre určité dôležité alebo kritické produkty platia prísnejšie postupy s notifikovanou osobou alebo inými príslušne prípustnými cestami preukazovania. O kategórii rozhoduje skutočná funkcia produktu; reklamný názov produktu nestačí.
EÚ vyhlásenie o zhode a označenie CE nasledujú podľa uplatniteľného postupu. Nie sú všeobecným certifikátom celého podniku ani prísľubom, že produkt nikdy nebude mať zraniteľnosť. Jednotná doba platnosti certifikátu preto nie je vhodným opisom CRA: dokumentáciu, riešenie zraniteľností a aktuálne platné povinnosti treba posudzovať počas príslušného životného cyklu.
Ďalšie rámce a samostatné povinnosti.
ISO 27001 organizuje systém manažérstva informačnej bezpečnosti; príslušný certifikát sám nepotvrdzuje súlad produktu s CRA. NIS2 posudzuje dotknuté subjekty a ich organizáciu bezpečnosti. GDPR chráni osobné údaje, takže produktová udalosť môže vyvolať ďalšie otázky ochrany osobných údajov. Súvisiace pracovné postupy možno koordinovať, ich právne spúšťacie podmienky a dôkazy však treba preveriť samostatne.
V Secani.
Secani obsahuje redakčne vytvorený pracovný katalóg CRA so zdrojmi, kontrolnými otázkami a príkladmi dôkazov. Profil podniku zachytáva okrem iného roly a dátum posúdenia; nevyjasnené predpoklady zostávajú viditeľné ako potreba preverenia. Pomôcka podporuje organizáciu posudzovania, nepotvrdzuje však právne zaradenie ani zhodu produktu.
Začnite s vymedzeným produktom.
Vyberte konkrétny produkt a najskôr vyjasnite jeho hranice, zodpovednú právnickú osobu a osoby zodpovedné za bezpečnostné hlásenia. Potom overte, ktoré súčasné a budúce povinnosti sa naň vzťahujú. Tento začiatok robí prípravu zvládnuteľnou a zabraňuje tomu, aby všeobecný projekt súladu zatienil už potrebnú pripravenosť na hlásenia.
Zdroje.
- Nariadenie (EÚ) 2024/2847 – akt o kybernetickej odolnosti
- Európska komisia: akt o kybernetickej odolnosti a dátumy uplatňovania
- Európska komisia: zhrnutie právneho aktu
- Európska komisia: povinnosti výrobcov
- Európska komisia: posudzovanie zhody
- Európska komisia: CRA a otvorený zdrojový kód
- Európska komisia: usmernenia C(2026) 5252 s prílohou
Časté otázky.
Áno, pre dotknutých výrobcov platia hlásenia podľa čl. 14 CRA od 11. septembra 2026. Všeobecné povinnosti týkajúce sa produktov sa začínajú uplatňovať 11. decembra 2027; osobitné roly a prechodné pravidlá treba preveriť samostatne.
Nie, označenie SaaS nerozhoduje o rozsahu pôsobnosti. Posúďte softvérový produkt, jeho funkcie a súvisiace diaľkové spracúvanie údajov podľa konkrétnej architektúry.
Nie, osobitné zaobchádzanie s predchádzajúcimi príspevkami do otvoreného zdrojového kódu nezbavuje výrobcu komerčného produktu všeobecne jeho povinností. Rolu výrobcu a prípadnú rolu správcu treba rozlišovať.
Nie, certifikát ISO 27001 sa týka vymedzeného systému manažérstva. CRA vyžaduje samostatné posúdenie produktu a príslušný doklad o zhode.
Organizujte bezpečnosť produktu preukázateľne.
So Secani pracujte s požiadavkami CRA a ich overovaním systematicky.
Táto stránka všeobecne vysvetľuje akt o kybernetickej odolnosti a nenahrádza právne posúdenie jednotlivého produktu. Rozhodujúce sú platné právne akty.