Prečo si nemyslíme, že televízor je počítač a čo s tým urobí CRA - názor etického hackera

O Cyber Resilience Acte sme napísali dva články: prehľad povinností a detailný rozbor ohlasovacej povinnosti. Oba vysvetľujú, čo nariadenie hovorí. Tento článok je o niečom inom - čo si o ňom myslíme po rokoch rozoberania pripojených zariadení. Prišlo CRA včas? Zmení niečo pre bežného používateľa? A kde to bude v praxi drhnúť najviac?

Ide o názor, nie o výklad nariadenia. Ak hľadáte, čo CRA prikazuje a koho sa týka, začnite naším prehľadom Cyber Resilience Actu. Ak riešite ohlasovaciu povinnosť od 11. septembra, tá má vlastný článok.

Prišlo CRA neskoro, alebo priskoro?

Manažérsky neskoro, prakticky priskoro.

Neskoro: problém je starší než desať rokov

Keď v roku 2016 botnet Mirai zložil časť internetu pomocou domácich kamier a routerov s továrenskými heslami, bolo jasné, že bezpečnosť pripojených zariadení dobrá vôľa výrobcov nevyrieši. Predvolené heslá umožňujúce administratívny prístup do routera či kamery vídavame dodnes.

Regulácia túto realitu dobehla, ale s viac než desaťročným odstupom - a CRA je navyše z veľkej časti zjednotením toho, čo tu už roztrieštene existovalo: Británia má PSTI, EÚ delegovaný akt k smernici o rádiových zariadeniach a normu EN 18031.

Priskoro: pravidlá platia, normy nie sú hotové

K 9. augustu 2026 nebola v Úradnom vestníku EÚ citovaná ani jedna harmonizovaná norma k CRA. Znamená to, že prezumpcia zhody podľa článku 27 nie je dostupná pre žiadnu kategóriu produktov a firmy dnes navrhujú podľa draftov noriem, ktorých znenie sa ešte môže zmeniť. Komisia navyše v júli 2026 navrhla posunúť termíny na dodanie noriem o dva mesiace.

Napriek tomu si nemyslím, že CRA prichádza zbytočne. Prináša niečo, čo doteraz chýbalo - následok. Doteraz bola bezpečnosť produktu vecou toho, či sa výrobcovi chce. Odteraz je podmienkou, aby produkt vôbec smel na trh.

Prečo si nikto nemyslí, že televízor je počítač

Rozdiel je v tom, čo ľudia vnímajú ako počítač. Telefón a notebook áno - tie sa aktualizujú. Televízor, router a hodinky sú v ich hlave spotrebiče. Nikto nerieši, aký firmvér má v práčke.

Router: zariadenie, za ktoré nezodpovedá nikto

Router je vstupná brána do celej domácnosti a zároveň najčastejší terč útočníka, ktorý sa chce dostať do internej siete. A je to zariadenie, do ktorého sa priemerný človek za celý čas neprihlási ani raz.

Zodpovednosť zaň pritom nepatrí nikomu: používateľ si myslí, že to rieši operátor, ktorý mu zariadenie dodal, a operátor zase, že je to zariadenie zákazníka.

Zábavná elektronika je neúmerne zraniteľná

Podľa správy Bitdefender a NETGEAR z roku 2025 sú najčastejšie cielenou kategóriou streamovacie zariadenia (25,9 %), smart televízory (21,3 %) a IP kamery (8,6 %) - spolu tvoria viac než polovicu všetkých zistených IoT zraniteľností.

Zaujímavejšie je to, čo z tých čísel vyplýva, keď ich postavíte vedľa seba. Smart televízory tvoria 9,5 % pripojených zariadení v domácnosti, ale 21,3 % zraniteľností. Streamovacie zariadenia 7,3 % zariadení, ale 25,9 % zraniteľností. Nie je to teda tým, že týchto zariadení je veľa. Je to tým, že sú neúmerne zraniteľné - bývajú nezaplátané a aktualizujú sa len zriedka.

A 99,4 % útokov na IoT cieli na už známe zraniteľnosti, na ktoré výrobca opravu dávno vydal. Problém teda nie sú neznáme chyby, ale to, že sa neaktualizuje.

Nie je to nevedomosť, ale informačná asymetria

Aj motivovaný človek dnes pri kúpe televízora nezistí, ako dlho bude dostávať bezpečnostné aktualizácie. Tá informácia na obale jednoducho nie je. Pritom ľudia si televízor držia bežne päť až osem rokov - teda dlho po tom, čo aktualizácie skončili. Presne to CRA mení tým, že obdobie podpory sa musí deklarovať.

Pri hodinkách sa ľudia boja nesprávnej veci

Ľudia sa pýtajú, kam idú ich dáta, ale reálne nálezy bývajú inde - v mobilnej aplikácii a cloudovom API, kde sa dá pristúpiť k cudziemu účtu, alebo v Bluetooth párovaní bez autentifikácie.

Riešením nie je vzdelávať používateľov. To sa skúša dvadsať rokov a nefunguje. Riešením je presunúť zodpovednosť na výrobcu - a to CRA robí.

Čo bude CRA reálne zlepšovať

Najsilnejšou stránkou nariadenia nie je konkrétna technická požiadavka, ale to, že bezpečnosť produktu prvýkrát dostáva priamy ekonomický následok. Bez zhody nie je CE značka a bez CE značky nie je prístup na trh EÚ. Doteraz bola bezpečnosť nákladovou položkou bez merateľného prínosu.

1. Vynucovačom nebude úrad, ale odberateľ

Veľkí výrobcovia už dnes tlačia požiadavky do dodávateľského reťazca zmluvne, dávno pred zákonným termínom, a žiadajú od dodávateľov potvrdenia o zhode s CRA. Tento mechanizmus je rýchlejší a tvrdší než akákoľvek inšpekcia: keď malá firma príde o objednávku, reaguje v týždňoch, nie v rokoch.

2. Obdobie podpory ako konkurenčný parameter

Povinnosť deklarovať obdobie podpory znamená, že výrobcovia začnú súťažiť aj v životnosti zariadenia, nie len v cene. Je to prvý reálny protitlak proti jednorazovému IoT, ktoré prestane dostávať aktualizácie rok po kúpe. To otvára veci, ktoré dnes nie sú možné - zmysluplné bezpečnostné kritériá vo verejných tendroch alebo porovnanie dvoch dodávateľov inak než podľa marketingových tvrdení.

3. Konečne bude komu nahlásiť zraniteľnosť

Z pohľadu našej práce je najdôležitejšia povinnosť mať zavedený proces koordinovaného zverejňovania zraniteľností. Dnes je najväčšou brzdou nahlasovania nálezov to, že nálezca nemá komu napísať. Report skončí na obchodnom e-maile bez odpovede - alebo príde právnický list obviňujúci vás z útoku na zariadenie.

Nariadenie vynúti kontaktný bod aj postup, čo v praxi znamená jediné: väčšia časť nálezov sa reálne dostane k oprave.

A napokon, [ODKAZ: 24-hodinová lehota na hlásenie] si vynúti schopnosť detekcie. Nemôžete nahlásiť to, o čom neviete.

Kde to bude drhnúť

1. Pravidlá ešte nie sú hotové

Žiadna harmonizovaná norma nie je citovaná, prezumpcia zhody nie je dostupná a termíny sa posúvajú. Firmy navrhujú podľa draftov s rizikom, že sa text ešte zmení.

2. Veľkosť firmy verzus cena zhody

Subjekt, ktorý má požiadavky plniť, má často päť vývojárov a žiadneho bezpečnostného človeka. Keď porovnáte cenu zhody na produktovú líniu s maržou na zariadení za štyridsať eur, výsledkom bude, že niektoré produkty z trhu EÚ jednoducho odídu. Menší výber a vyššia cena sú súčasťou účtu.

3. Legacy portfólio bez kanála na aktualizácie

Ohlasovacia povinnosť platí aj pre zariadenie navrhnuté pred ôsmimi rokmi, ktoré nemá kanál na aktualizácie na diaľku. Do už predaného zariadenia sa update mechanizmus dorobiť nedá.

4. Dodávateľský reťazec a binárne bloby

SBOM neurobíte na binárny blob od výrobcu čipsetu, ktorý vám jeho obsah nepovie. Najslabším miestom býva subdodávateľ v tretej línii, ktorý o CRA nikdy nepočul.

5. Compliance theatre

Z nášho pohľadu je toto najväčšie profesijné riziko celého nariadenia. Zariadenie s CE značkou, s dokumentáciou v poriadku a s tou istou chybou, akú sme v ňom našli pred rokom.

A jedno špecifikum pre Slovensko

Veľa firiem sa vníma ako subdodávateľ alebo integrátor, nie ako výrobca. Pritom vlastná značka na obale z nich robí výrobcu so všetkými povinnosťami. Pre mnohých to bude nepríjemné zistenie.

Čo z toho vyplýva

CRA nevyrieši bezpečnosť pripojených zariadení sám. Vyrieši ale jednu vec, ktorá doteraz chýbala: prestane byť na výrobcovi, či sa mu chce. A to je pri probléme, ktorý sa desať rokov riešil apelmi, podstatná zmena.

Zvyšok bude o tom, či firmy použijú nasledujúci rok na to, aby si postavili schopnosť svoj produkt technicky overiť - alebo na to, aby si postavili dokumentáciu, ktorá tvrdí, že ho overili.

Autor: Denis, penetračný tester v Citadelo