Pokud vaše firma uvádí na trh EU hardware nebo software, který se přímo či nepřímo připojuje k zařízení nebo síti, Cyber Resilience Act byste měli řešit už teď. A ne až za rok a půl.

Většina firem má v hlavě jediné datum: 11. prosinec 2027. První vymahatelná povinnost ale začíná platit už 11. září 2026 a vztahuje se i na produkty, které máte na trhu dnes.

Tento článek je přehled celého nařízení: co CRA je, koho se týká, jaké povinnosti přináší a v jakém pořadí je řešit. Ohlašovací povinnost podle článku 14 rozebíráme detailně v samostatném článku.

Co je CRA a proč vzniklo

Cyber Resilience Act je nařízení Evropského parlamentu a Rady (EU) 2024/2847 z 23. října 2024 o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky. V platnost vstoupilo 10. prosince 2024.

Nařízení samo pojmenovává dva problémy, které řeší: nízkou úroveň kybernetické bezpečnosti produktů s digitálními prvky, projevující se rozšířenými zranitelnostmi a nedostatečným a nekonzistentním dodáváním bezpečnostních aktualizací - a nedostatek informací, který uživatelům brání vybrat si bezpečný produkt a bezpečně jej používat.

Pro české firmy je důležitý jeden formální detail. CRA je nařízení, ne směrnice. Nepřekládá se do českého zákona tak, jako se NIS2 promítla do zákona č. 264/2025 Sb. Platí přímo a ve stejném znění ve všech členských státech. Nečekáte tedy na nic, co by ještě muselo projít Parlamentem.

CRA versus NIS2: jedna věta, která stačí

CRA reguluje produkt. NIS2 reguluje organizaci.

NIS2 se v Česku promítla do zákona č. 264/2025 Sb. o kybernetické bezpečnosti, účinného od 1. listopadu 2025, který nahradil dosavadní zákon č. 181/2014 Sb. a je doplněn prováděcími vyhláškami č. 408, 409 a 410/2025 Sb. Podle odhadů NÚKIB dopadá na zhruba 6 000 až 9 000 organizací. Říká provozovatelům v regulovaných sektorech, jak mají řídit rizika svých sítí a informačních systémů.

CRA naproti tomu říká výrobcům, jaké vlastnosti musí mít produkt, který uvádějí na trh EU. Jsou to dva různé režimy s různými adresáty.

Potkávají se v dodavatelském řetězci. Organizace regulovaná podle zákona o kybernetické bezpečnosti musí řídit rizika svých dodavatelů - a stále častěji to znamená, že se bude ptát právě na to, co po vás chce CRA. I když vaše firma sama pod regulaci nespadá, tlak na soulad s CRA k vám může přijít dřív od zákazníka než od úřadu.

Co je „produkt s digitálními prvky“

Nařízení se vztahuje na produkty dodávané na trh, jejichž zamýšlené nebo rozumně předvídatelné použití zahrnuje přímé nebo nepřímé logické či fyzické datové připojení k zařízení nebo síti. Hardware i software, bez rozdílu.

V praxi sem patří připojené stroje a průmyslová zařízení, řídicí systémy, IoT zařízení, směrovače a síťové prvky, mobilní i desktopové aplikace, operační systémy, embedded software, ale také komponenty, které jiný výrobce zabuduje do svého produktu.

Slovo nepřímé je důležitější, než se zdá. Pokud se vaše komponenta nepřipojuje k internetu sama, ale je součástí sestavy, která se připojuje, do rozsahu spadá také.

Vztahuje se CRA na cloud a SaaS?

Zpravidla ne - ale s podstatnou výjimkou. Do rozsahu CRA patří takzvaná řešení dálkového zpracování dat: software navržený a vyvinutý výrobcem produktu nebo jeho jménem, jehož absence by produktu znemožnila vykonávat některou z jeho funkcí.

Cloudová služba, přes kterou uživatel ovládá vaše zařízení na dálku, tedy do rozsahu spadá. Samostatná SaaS platforma, která není nezbytná pro fungování žádného produktu, pod CRA nepatří. Mohou se na ni ale vztahovat jiná pravidla EU - například NIS2, pokud poskytovatel splňuje její sektorová a velikostní kritéria. Webová stránka, která funkčnost produktu nepodporuje, do rozsahu CRA také nepatří.

Role: kdo je výrobce, dovozce a distributor

Povinnosti se liší podle role a většina z nich dopadá na výrobce. Pozor na dvě situace, ve kterých se z dovozce nebo distributora stává výrobce se všemi povinnostmi podle článků 13 a 14:

• Uvede produkt na trh pod svým jménem nebo ochrannou známkou - typicky white label a privátní značky.
• Provede podstatnou modifikaci produktu, který je už na trhu.

Stejně tak může podstatnou modifikaci provést úplně jiný subjekt - integrátor, systémový dodavatel - a tím se sám stane výrobcem.

Co do rozsahu CRA nespadá

Nařízení se nevztahuje na produkty, které už řeší jiná sektorová legislativa, ani na některé další kategorie:

• Zdravotnické prostředky podle nařízení (EU) 2017/745 a 2017/746.
• Motorová vozidla a jejich systémy a komponenty podle nařízení (EU) 2019/2144 - tedy oblast pokrytá typovým schvalováním a UN R155.
• Letecké produkty certifikované podle nařízení (EU) 2018/1139.
• Produkty vyvinuté nebo upravené výlučně pro účely národní bezpečnosti nebo obrany a produkty určené ke zpracování utajovaných informací.
• Náhradní díly určené k opravě - včetně dílů pro starší produkty uvedené na trh před účinností nařízení.
• Nekomerční svobodný a otevřený software. Rozhodující není, zda je kód otevřený, ale zda je dodáván v rámci obchodní činnosti. Software, který autor nemonetizuje, se za obchodní činnost nepovažuje; samotné přijímání darů ani pravidelné vydávání verzí na tom nic nemění.

Pozor na hranici v automotive - v Česku je to nejcitlivější místo celého nařízení. Vyloučeny jsou produkty pokryté nařízením (EU) 2019/2144, ne automaticky všechno, co vaše firma dodává do automobilového průmyslu. Diagnostická zařízení, nabíjecí stanice, výrobní a testovací systémy nebo telematické moduly mimo typové schvalování mohou pod CRA spadat. Tohle je typický případ, který je potřeba posoudit produkt po produktu, ne plošně za celou firmu.

Kategorie produktů a co z nich plyne

CRA dělí produkty do čtyř úrovní podle rizika. Zařazení určuje, zda si soulad můžete posoudit sami, nebo musíte přizvat oznámený subjekt. Rozhoduje přitom hlavní funkcionalita produktu, ne to, zda produkt náhodou obsahuje nějakou bezpečnostní funkci jako vedlejší vlastnost.

Technické popisy jednotlivých kategorií upřesňuje prováděcí nařízení (EU) 2025/2392. Pokud je zařazení vašeho produktu sporné, je to první dokument, který je třeba otevřít.

Kterých českých firem se to dotkne nejvíc

Na rozdíl od zákona o kybernetické bezpečnosti, který míří na provozovatele v definovaných sektorech, CRA zasáhne úplně jinou skupinu firem. V českém prostředí jde typicky o:

• dodavatele do automobilového průmyslu, kteří dodávají připojené komponenty mimo typové schvalování,
• strojírenské firmy a výrobce průmyslové automatizace, řídicích a měřicích systémů,
• výrobce IoT zařízení a chytré domácnosti,
• softwarové domy prodávající on-premise produkty a mobilní aplikace,
• firmy, které prodávají cizí produkt pod vlastní značkou.

Společné mají to, že dosud neměly s kybernetickou regulací nic společného. Vlastníkem problému není IT oddělení ani CISO - je jím vývoj, produktový management a kvalita.

Jaké povinnosti CRA přináší

1. Bezpečnostní požadavky na samotný produkt

Příloha I, část I stanovuje základní požadavky, které musí produkt splňovat při uvedení na trh. Patří sem zejména:

• produkt se dodává bez známých zneužitelných zranitelností,
• bezpečná výchozí konfigurace a možnost obnovení do bezpečného stavu,
• ochrana před neoprávněným přístupem včetně řízení autentizace a identit,
• ochrana důvěrnosti a integrity uchovávaných, přenášených a zpracovávaných dat,
• zpracování pouze těch dat, která jsou pro funkci produktu nezbytná,
• minimalizace útočné plochy, omezení dopadů incidentu a záznamy o bezpečnostně relevantních událostech,
• možnost odstraňování zranitelností pomocí aktualizací, které jsou u spotřebitelských produktů zpravidla automatické.  

Požadavky jsou formulovány výsledkově, ne jako technický návod. Které z nich jsou pro váš produkt relevantní, určuje posouzení rizik - a pokud některý požadavek relevantní není, musíte to v technické dokumentaci odůvodnit.

2. Posouzení kybernetických rizik

Posouzení rizik produktu je jádro celé technické dokumentace. Není to jednorázový dokument: musí se aktualizovat po celou dobu podpory a zohledňovat zamýšlené i rozumně předvídatelné použití produktu.

3. Náležitá péče u komponent třetích stran

Pokud do produktu integrujete cizí komponenty včetně otevřeného softwaru, musíte u nich vykonat náležitou péči. Nařízení uvádí příklady: ověřit, zda komponenta už nese označení CE, zda dostává pravidelné bezpečnostní aktualizace, zda není vedena se zranitelností v evropské databázi zranitelností nebo v jiných veřejných databázích - případně provést dodatečné bezpečnostní testování.

Pokud při tom najdete zranitelnost v komponentě, máte informovat toho, kdo ji vyrábí nebo udržuje, zranitelnost odstranit a opravu mu podle možností poskytnout.

4. SBOM

Výrobce musí identifikovat a zdokumentovat komponenty obsažené v produktu a vypracovat software bill of materials v běžně používaném strojově čitelném formátu, který pokrývá alespoň závislosti nejvyšší úrovně.

Dobrá zpráva pro obavy o citlivost dat: SBOM nemusíte běžně zveřejňovat uživatelům. Orgán dozoru nad trhem si jej ale v určitých případech může vyžádat; při celounijním posuzování softwarových závislostí se relevantní informace předávají dál anonymizovaně a agregovaně.

5. Doba podpory a bezpečnostní aktualizace

Doba podpory má odrážet čas, po který se očekává používání produktu, a nesmí být kratší než pět let - s jedinou výjimkou, kterou je produkt s kratší životností. Pokud se produkt běžně používá déle, jako je tomu u síťových prvků, operačních systémů nebo průmyslových řídicích systémů, má být doba podpory přiměřeně delší.

Bezpečnostní aktualizace musí být bezplatné a tam, kde je to technicky možné, oddělené od funkčních aktualizací. Uživatele je třeba informovat i o tom, kdy doba podpory končí.

Určení doby podpory se zvlášť věnují červencové metodické pokyny Evropské komise. Pokud vyrábíte produkty s dlouhou životností, je to pasáž, kterou se vyplatí projít - pět let je minimum, ne doporučená hodnota.

6. Řešení zranitelností a koordinované zveřejňování

Po celou dobu podpory musí výrobce zranitelnosti řešit: pravidelně testovat a přezkoumávat bezpečnost produktu, bez zbytečného odkladu odstraňovat zranitelnosti aktualizacemi a zveřejňovat informace o opravených zranitelnostech včetně jejich popisu a pokynů pro uživatele.

K tomu patří dvě organizační povinnosti, které většina výrobců dnes nemá: politika koordinovaného zveřejňování zranitelností (CVD) a jednotné kontaktní místo, přes které vám může kdokoliv zranitelnost nahlásit. Kontaktní místo se nesmí spoléhat jen na automatizované nástroje.

7. Ohlašovací povinnost

Od 11. září 2026 musí výrobce hlásit aktivně zneužívané zranitelnosti a závažné incidenty ovlivňující bezpečnost produktu. Hlásí se jednou, přes jednotnou ohlašovací platformu provozovanou agenturou ENISA, národnímu CSIRT v místě hlavní provozovny a souběžně agentuře ENISA. Lhůty se v obou případech začínají počítat jinak:

• Aktivně zneužívaná zranitelnost: včasné varování do 24 hodin od okamžiku, kdy se o ní dozvíte, oznámení do 72 hodin a závěrečná zpráva nejpozději do 14 dnů od chvíle, kdy je dostupné nápravné opatření.
• Závažný incident: včasné varování do 24 hodin, oznámení o incidentu do 72 hodin a závěrečná zpráva do jednoho měsíce od podání tohoto oznámení.

Tohle je jediná povinnost, která platí už teď, a rozebíráme ji detailně v samostatném článku.

8. Posouzení shody, CE a dokumentace

Soulad se prokazuje posouzením shody, EU prohlášením o shodě a označením CE. Bez něj nesmí být produkt dodáván na trh EU. Technickou dokumentaci a prohlášení o shodě musí výrobce uchovávat k dispozici orgánům dozoru nad trhem nejméně 10 let od uvedení produktu na trh nebo po dobu podpory - podle toho, co je delší.

Podstatná modifikace produktu znamená, že se shoda musí ověřit znovu a v případě potřeby provést nové posouzení shody. Bezpečnostní aktualizace, která nemění zamýšlený účel produktu, podstatnou modifikací není.

Jak vypadají reálné produkty dnes

Požadavky přílohy I znějí na papíře abstraktně. V praxi popisují přesně ty chyby, které při testech produktů nacházíme roky.

V Citadelo děláme penetrační testy IoT zařízení dlouhodobě a téměř každé testované zařízení obsahuje alespoň jednu zranitelnost klasifikovanou jako high nebo critical. Nejčastěji se opakuje tatáž pětice problémů:

Rozdíl oproti minulosti je ten, že od prosince 2027 tyto nálezy nebudou jen technickým dluhem. Budou znamenat, že produkt nesplňuje základní požadavky nařízení. A pokud některý z nich někdo zneužije, od září 2026 z toho vzniká ohlašovací událost s 24hodinovou lhůtou.

Termíny, které platí

Průběžně k tomu vzniká sada harmonizovaných norem na základě normalizačního požadavku M/606, který přijaly CEN, CENELEC a ETSI. Jejich úplné uplatnění zakládá předpoklad shody - u produktů třídy I je to rozdíl mezi samoposouzením a nutností přizvat oznámený subjekt.

Sankce a co reálně hrozí

Nařízení stanovuje tři pásma pokut:

• až 15 milionů eur nebo 2,5 % celosvětového ročního obratu za porušení základních požadavků přílohy I a povinností podle článků 13 a 14,
• až 10 milionů eur nebo 2 % obratu za porušení ostatních povinností,
• až 5 milionů eur nebo 1 % obratu za poskytnutí nesprávných nebo zavádějících informací oznámeným subjektům a orgánům dozoru nad trhem.

Pro většinu výrobců je ale podstatnější jiný důsledek. Orgán dozoru nad trhem může nařídit nápravná opatření, omezit dodávání produktu na trh nebo jej stáhnout z trhu. Pro firmu, která exportuje do EU, to není účetní riziko, ale přerušení prodeje.

Co s tím - pořadí kroků

1. Udělejte inventuru produktů. Které produkty máte dodávané na trh EU, které se připojují přímo nebo nepřímo, a v jaké roli u každého z nich vystupujete. Nezapomeňte na produkty, které prodáváte pod vlastní značkou, a na ty, které už aktivně nevyvíjíte, ale stále jsou v prodeji.
2. Zařaďte produkty do kategorií. Běžný, důležitý třída I nebo II, kritický. Tohle rozhodnutí určuje, zda si vystačíte se samoposouzením, nebo budete potřebovat oznámený subjekt - a tedy i to, kolik času a rozpočtu je třeba plánovat.
3. Sestavte SBOM. Bez přehledu o komponentách nesplníte náležitou péči ani nestihnete 24hodinovou lhůtu na hlášení. Nejpraktičtější začátek je generování SBOM přímo v build pipeline.
4. Zpracujte posouzení rizik a technickou dokumentaci. U každého požadavku přílohy I zdokumentujte, jak jej plníte - nebo proč se na váš produkt nevztahuje.
5. Nastavte proces řešení zranitelností. Politika koordinovaného zveřejňování, jednotné kontaktní místo, sledování zranitelností v komponentách, plán vydávání oprav po celou dobu podpory.
6. Ověřte to nezávisle. CRA nepřikazuje penetrační test. Příloha I ale žádá, aby výrobce bezpečnost produktu pravidelně a účinně testoval a přezkoumával, a náležitá péče u komponent výslovně připouští dodatečné bezpečnostní testování. Nezávislý test je nejpřímější způsob, jak doložit, že požadavek je splněn - ne proto, že to zákon přikazuje, ale proto, že samoposouzení bez technického ověření je jen tvrzení.
7. Nacvičte reakci. Jedno tabletop cvičení na scénář „naší zranitelnosti se někdo zmocnil a využívá ji“ odhalí o připravenosti víc než audit dokumentace. Umí produktový tým do 24 hodin rozhodnout, zda jde o ohlašovanou událost, a ví, kdo to rozhodnutí dělá v pátek večer?

Časté otázky

Přikazuje CRA penetrační testování?

Ne, ne výslovně. Příloha I žádá, aby výrobce bezpečnost produktu pravidelně a účinně testoval a přezkoumával; forma testování předepsaná není. Nezávislé testování je u většiny produktů nejpraktičtější způsob, jak tento požadavek splnit a doložit, ale není zákonnou povinností.

Máme ISO 27001. Stačí to?

Ne. ISO 27001 hodnotí systém řízení bezpečnosti informací v organizaci. CRA hodnotí vlastnosti produktu, který uvádíte na trh. Zavedený systém řízení vám práci usnadní, ale nenahradí posouzení rizik produktu, SBOM, technickou dokumentaci ani posouzení shody.

Jsme subdodavatel komponenty. Týká se nás CRA?

Pokud komponentu dodáváte na trh v rámci obchodní činnosti, ano - jste výrobce této komponenty. Navíc na vás bude tlačit výrobce finálního produktu, který si u vaší komponenty musí splnit náležitou péči.

Produkt už nevyvíjíme, ale je stále v prodeji. Co teď?

Ohlašovací povinnost od 11. září 2026 se vztahuje i na produkty, které jsou na trhu EU už dnes. U produktů, které po 11. prosinci 2027 zůstanou v prodeji, budete muset řešit i plný soulad. Tohle je typicky moment, kdy má smysl rozhodnout, zda produkt dovést do souladu, nebo ukončit jeho prodej v EU.

Vztahuje se CRA na náš cloudový backend?

Pokud bez něj produkt nedokáže vykonávat některou ze svých funkcí a vyvinuli jste jej vy nebo někdo vaším jménem, jde o řešení dálkového zpracování dat a do rozsahu CRA patří. Pokud jde o samostatnou službu nezávislou na produktu, CRA se na ni nevztahuje.

Kde začít

Rozdíl mezi oběma termíny je jednoduchý: prosinec 2027 je o schopnosti prokázat, září 2026 je o schopnosti reagovat. Firmy, které začnou přípravou na hlášení, si vedle toho postaví inventář produktů, SBOM a proces řešení zranitelností - tedy většinu toho, co budou o rok později potřebovat k posouzení shody.

Pokud potřebujete nezávisle ověřit, zda váš produkt obstojí vůči požadavkům přílohy I, v Citadelo testujeme:

• firmware a hardwarová rozhraní včetně ladicích portů,

• mobilní, webová a API rozhraní produktu,

• cloudový backend a řešení dálkového zpracování dat,

• mechanismy autentizace a řízení přístupu,

• mechanismy aktualizace a ověřování podpisů,

• zranitelnosti v komponentách a závislostech třetích stran.

Nejde o to mít dokument, který říká, že je produkt bezpečný. Jde o to umět jeho bezpečnost technicky ověřit.

Právní poznámka: článek je informační přehled, ne právní poradenství.