Proč si nemyslíme, že televizor je počítač, a co s tím udělá CRA – názor etického hackera

O Cyber Resilience Actu jsme napsali dva články: přehled povinností a detailní rozbor oznamovací povinnosti. Oba vysvětlují, co nařízení stanovuje. Tento článek je o něčem jiném – co si o něm myslíme po letech analyzování připojených zařízení. Přišel CRA včas? Změní něco pro běžného uživatele? A kde to bude v praxi drhnout nejvíce?

Jde o názor, nikoli o výklad nařízení. Pokud hledáte informace o tom, co CRA nařizuje a koho se týká, začněte naším přehledem Cyber Resilience Actu. Pokud řešíte oznamovací povinnost od 11. září, té jsme věnovali samostatný článek.

Přišel CRA pozdě, nebo příliš brzy?

Manažersky pozdě, prakticky příliš brzy.

Pozdě: problém je starší než deset let

Když v roce 2016 botnet Mirai vyřadil část internetu pomocí domácích kamer a routerů s továrními hesly, bylo jasné, že bezpečnost připojených zařízení dobrá vůle výrobců nevyřeší. Výchozí hesla umožňující administrátorský přístup k routeru či kameře vídáme dodnes.

Regulace tuto realitu dohnala, ale s více než desetiletým odstupem – a CRA je navíc z velké části sjednocením toho, co zde již roztříštěně existovalo: Spojené království má PSTI, EU delegovaný akt ke směrnici o rádiových zařízeních a normu EN 18031.

Příliš brzy: pravidla platí, normy nejsou hotové

K 9. srpnu 2026 nebyla v Úředním věstníku EU citována ani jedna harmonizovaná norma k CRA. Znamená to, že presumpce shody podle článku 27 není dostupná pro žádnou kategorii produktů a firmy dnes navrhují podle návrhů norem, jejichž znění se ještě může změnit. Komise navíc v červenci 2026 navrhla posunout termíny pro dodání norem o dva měsíce.

Přesto si nemyslím, že CRA přichází zbytečně. Přináší něco, co dosud chybělo – důsledek. Dosud byla bezpečnost produktu otázkou toho, zda se výrobci chce. Odteď je podmínkou, aby produkt vůbec směl být uveden na trh.

Proč si nikdo nemyslí, že televizor je počítač

Rozdíl je v tom, co lidé vnímají jako počítač. Telefon a notebook ano – ty se aktualizují. Televizor, router a hodinky jsou v jejich představách spotřebiče. Nikdo neřeší, jaký firmware má v pračce.

Router: zařízení, za které nikdo neodpovídá

Router je vstupní branou do celé domácnosti a zároveň nejčastějším cílem útočníka, který se chce dostat do interní sítě. A je to zařízení, do kterého se průměrný člověk za celou dobu ani jednou nepřihlásí.

Odpovědnost za něj přitom nenese nikdo: uživatel si myslí, že se o něj stará operátor, který mu zařízení dodal, a operátor zase, že jde o zařízení zákazníka.

Zábavní elektronika je nepřiměřeně zranitelná

Podle zprávy společností Bitdefender a NETGEAR z roku 2025 jsou nejčastěji cílenou kategorií streamovací zařízení (25,9 %), chytré televizory (21,3 %) a IP kamery (8,6 %) – společně tvoří více než polovinu všech zjištěných zranitelností IoT.

Zajímavější je to, co z těchto čísel vyplývá, když je postavíte vedle sebe. Chytré televizory tvoří 9,5 % připojených zařízení v domácnostech, ale připadá na ně 21,3 % zranitelností. Streamovací zařízení tvoří 7,3 % zařízení, ale připadá na ně 25,9 % zranitelností. Není to tedy tím, že by těchto zařízení bylo mnoho. Je to tím, že jsou nepřiměřeně zranitelná – bývají bez bezpečnostních záplat a aktualizují se jen zřídka.

A 99,4 % útoků na IoT cílí na již známé zranitelnosti, pro které výrobce opravu dávno vydal. Problémem tedy nejsou neznámé chyby, ale to, že se zařízení neaktualizují.

Nejde o nevědomost, ale o informační asymetrii

Ani motivovaný člověk dnes při nákupu televizoru nezjistí, jak dlouho pro něj budou poskytovány bezpečnostní aktualizace. Tato informace na obalu jednoduše není. Lidé si přitom televizor běžně nechávají pět až osm let – tedy dlouho poté, co jeho aktualizace skončily. Přesně to CRA mění tím, že období podpory musí být deklarováno.

U hodinek se lidé bojí nesprávné věci

Lidé se ptají, kam putují jejich data, ale skutečné nálezy bývají jinde – v mobilní aplikaci a cloudovém API, kde lze získat přístup k cizímu účtu, nebo v párování přes Bluetooth bez autentizace.

Řešením není vzdělávat uživatele. O to se snažíme dvacet let a nefunguje to. Řešením je přesunout odpovědnost na výrobce – a právě to CRA dělá.

Co bude CRA skutečně zlepšovat

Nejsilnější stránkou nařízení není konkrétní technický požadavek, ale skutečnost, že bezpečnost produktu poprvé dostává přímý ekonomický důsledek. Bez shody není označení CE a bez označení CE není přístup na trh EU. Dosud byla bezpečnost nákladovou položkou bez měřitelného přínosu.

1. Vynucovat pravidla nebude úřad, ale odběratel

Velcí výrobci již dnes prosazují požadavky do dodavatelského řetězce smluvně, dlouho před zákonným termínem, a vyžadují od dodavatelů potvrzení o shodě s CRA. Tento mechanismus je rychlejší a tvrdší než jakákoli inspekce: když malá firma přijde o zakázku, reaguje v řádu týdnů, nikoli let.

2. Období podpory jako konkurenční parametr

Povinnost deklarovat období podpory znamená, že výrobci začnou soutěžit také v životnosti zařízení, nejen v ceně. Jde o první skutečný protiváhu jednorázovému IoT, které přestane dostávat aktualizace rok po zakoupení. To otevírá možnosti, které dnes neexistují – smysluplná bezpečnostní kritéria ve veřejných tendrech nebo porovnání dvou dodavatelů jinak než podle marketingových tvrzení.

3. Konečně bude komu nahlásit zranitelnost

Z pohledu naší práce je nejdůležitější povinnost zavést proces koordinovaného zveřejňování zranitelností. Největší překážkou při hlášení nálezů je dnes skutečnost, že je nálezce nemá komu poslat. Report skončí na obchodním e-mailu bez odpovědi – nebo přijde dopis od právníka, který vás obviní z útoku na zařízení.

Nařízení si vynutí kontaktní místo i postup, což v praxi znamená jediné: větší část nálezů se skutečně dostane k opravě.

A konečně, 24hodinová lhůta pro hlášení si vynutí schopnost detekce. Nemůžete nahlásit něco, o čem nevíte.

Kde to bude drhnout

1. Pravidla ještě nejsou hotová

Žádná harmonizovaná norma není citována, presumpce shody není dostupná a termíny se posouvají. Firmy navrhují podle návrhů norem s rizikem, že se jejich znění ještě změní.

2. Velikost firmy versus cena dosažení shody

Subjekt, který má požadavky plnit, má často pět vývojářů a žádného specialistu na bezpečnost. Když porovnáte náklady na dosažení shody pro produktovou řadu s marží na zařízení za čtyřicet eur, výsledkem bude, že některé produkty z trhu EU jednoduše zmizí. Menší výběr a vyšší cena jsou součástí účtu.

3. Starší produktové portfolio bez kanálu pro aktualizace

Oznamovací povinnost se vztahuje i na zařízení navržené před osmi lety, které nemá kanál pro vzdálené aktualizace. Do již prodaného zařízení nelze mechanismus aktualizací dodatečně doplnit.

4. Dodavatelský řetězec a binární bloby

SBOM nevytvoříte pro binární blob od výrobce čipové sady, který vám jeho obsah nesdělí. Nejslabším místem bývá subdodavatel ve třetím stupni dodavatelského řetězce, který o CRA nikdy neslyšel.

5. Compliance theatre

Z našeho pohledu jde o největší profesní riziko celého nařízení. Zařízení s označením CE, s dokumentací v pořádku a se stejnou chybou, jakou jsme v něm našli před rokem.

A jedno specifikum pro Česko

Mnoho firem se vnímá jako subdodavatel nebo integrátor, nikoli jako výrobce. Vlastní značka na obalu z nich přitom dělá výrobce se všemi souvisejícími povinnostmi. Pro mnohé to bude nepříjemné zjištění.

Co z toho vyplývá

CRA samo o sobě bezpečnost připojených zařízení nevyřeší. Vyřeší však jednu věc, která dosud chyběla: už nebude záležet na výrobci, zda se mu chce. A to je u problému, který se deset let řešil apely, podstatná změna.

Zbytek bude záviset na tom, zda firmy využijí následující rok k tomu, aby si vybudovaly schopnost svůj produkt technicky ověřit – nebo k tomu, aby vytvořily dokumentaci, která tvrdí, že jej ověřily.

Autor: Denis, penetrační tester ve společnosti Citadelo