CRA a požadavky na kybernetickou bezpečnost produktů s digitálními prvky

Nařízení EU o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky, též známé jako Evropský zákon o kybernetické odolnosti (Cyber Resilience Act, zkr. CRA), vstoupilo v platnost 10. prosince 2024 a v plném rozsahu se použije od 11. prosince 2027.

Některé povinnosti se však začnou uplatňovat dříve, zejména oznamovací povinnosti podle článku 14 od 11. září 2026.

Toto nařízení se vztahuje na produkty s digitálními prvky, jejichž zamýšlené nebo důvodně předpokládané použití zahrnuje přímé nebo nepřímé logické nebo fyzické datové připojení k zařízení nebo síti. „Produktem s digitálními prvky“ se myslí jakýkoli softwarový nebo hardwarový produkt a jeho řešení pro zpracování dat na dálku, včetně softwarových nebo hardwarových součástí, které mají být uvedeny na trh samostatně.

Cílem je, aby výrobci produktů s digitálními prvky brali kybernetickou bezpečnost vážně a zajistili ji během celého životního cyklu produktu. Vychází se z toho, že kybernetický bezpečnostní incident v jednom produktu může ovlivnit celou organizaci nebo celý dodavatelský řetězec a často se během několika minut rozšířit přes hranice vnitřního trhu a mít dalekosáhlý dopad i na ostatní účastníky trhu.

Jinými slovy produkt by měl být bezpečný již v základu, obsahovat co nejméně zranitelností, výrobce by měl zranitelnosti detekovat, uvolňovat aktualizace, poskytovat informace, podporu, spolupracovat s orgány a uživatelé (osoby a organizace) by měli mít možnost si vybrat produkt i podle deklarované úrovně jeho bezpečnosti.

Výrobce musí rovněž provést posouzení kybernetických bezpečnostních rizik spojených s produktem a jeho výsledek zohlednit při plánování, návrhu, vývoji, výrobě, dodání a údržbě produktu. Kybernetická bezpečnost tak nemá být dodatečnou vlastností přidanou k hotovému produktu, ale součástí celého jeho životního cyklu.

Požadavky

V požadavcích není nic až tak výjimečného, za zmínku stojí především požadavek na to, aby výrobce:

• uvedl druh technické bezpečnostní podpory, kterou výrobce nabízí, a dokdy bude poskytována; přinejmenším do doby, kdy uživatelé mohou očekávat, že obdrží bezpečnostní aktualizace;
• uvedl nezbytná opatření během počátečního uvedení do provozu a po celou dobu životnosti produktu, aby bylo zajištěno jeho bezpečné používání; neprodleně řešil a odstraňoval zranitelnosti, včetně uvolňování informací o nich, poskytoval bezpečnostní aktualizace a návod, jak je nasadit;
• oznamoval aktivně zneužívané zranitelnosti prostřednictvím jednotné platformy pro oznamování (Single Reporting Platform, zkr. SRP), kterou zřizuje a provozuje agentura ENISA. Mechanismus zahrnuje včasné varování bez zbytečného odkladu a nejpozději do 24 hodin od okamžiku, kdy se výrobce o zranitelnosti dozví, následné oznámení nejpozději do 72 hodin a závěrečnou zprávu nejpozději do 14 dnů poté, co je k dispozici nápravné nebo zmírňující opatření;
• obdobným způsobem oznamoval také závažné incidenty s dopadem na bezpečnost produktu; i zde se podává včasné varování do 24 hodin a oznámení do 72 hodin, přičemž závěrečná zpráva se podává do jednoho měsíce od oznámení incidentu;
• určil a zdokumentoval zranitelnosti a součásti obsažené v produktu a vytvořil tzv. softwarový kusovník (Software Bill of Materials, zkr. SBOM), tedy formální záznam o komponentách obsažených v softwarových prvcích produktu a jejich vztazích v dodavatelském řetězci. CRA požaduje SBOM v běžně používaném a strojově čitelném formátu pokrývajícím alespoň přímé (top-level) závislosti produktu;
• informoval dotčené uživatele produktu s digitálními prvky, případně všechny uživatele, o aktivně zneužívané zranitelnosti nebo závažném incidentu a v případě potřeby také o opatřeních ke zmírnění rizika a nápravných opatřeních, která mohou uživatelé zavést ke zmírnění jejich dopadu;
• sdělil kontaktní místo, kde lze oznámit a obdržet informace o zranitelnostech produktu v oblasti kybernetické bezpečnosti;
• usnadnil jednotlivcům nebo subjektům oznamování zranitelností a vzhledem k tomu, že informace o zranitelnostech lze na černém trhu prodávat za vysoké ceny, zvážil, zda nezavést „program odměn za nalezení chyb“;
• stanovil dobu podpory tak, aby odpovídala době, po kterou se očekává používání produktu. Doba podpory musí zpravidla činit nejméně pět let; pokud se očekává používání produktu po dobu kratší než pět let, odpovídá doba podpory této očekávané době používání;
• zajistil, že bezpečnostní aktualizace zpřístupněná uživatelům během doby podpory zůstane dostupná nejméně deset let od svého vydání nebo po zbývající dobu podpory podle toho, která doba je delší;
• uvedl, jak lze produkt bezpečně vyřadit z provozu, včetně informací o tom, jak lze bezpečně odstranit údaje o uživatelích;
• uchovával technickou dokumentaci a EU prohlášení o shodě nejméně deset let poté, co byl produkt s digitálními prvky uveden na trh, nebo po dobu podpory podle toho, která doba je delší, aby byly k dispozici orgánům dozoru nad trhem.

CRA není pouze předpisem upravujícím řízení zranitelností. Před uvedením produktu na trh musí výrobce rovněž vypracovat technickou dokumentaci a provést nebo zajistit příslušné posouzení shody. Pokud je shoda produktu a zavedených procesů s požadavky CRA prokázána, výrobce vypracuje EU prohlášení o shodě a opatří produkt označením CE. Konkrétní způsob posouzení shody závisí mimo jiné na kategorii produktu a jeho zařazení podle CRA.

Sankce

Sankce jsou ukládány za několik prohřešků:

• Za nedodržení základních požadavků na kybernetickou bezpečnost stanovených v příloze I a povinností stanovených v článcích 13 a 14 se uloží správní pokuty až do výše 15 000 000 EUR, nebo, dopustí-li se porušení podnik, až do výše 2,5 % jeho celkového ročního obratu celosvětově za předchozí finanční rok podle toho, která hodnota je vyšší.
• Za nedodržení dalších povinností vyjmenovaných v článku 64 odst. 3, zejména povinností stanovených v článcích 18 až 23, článku 28, článku 30 odst. 1 až 4, článku 31 odst. 1 až 4, článku 32 odst. 1 až 3, článku 33 odst. 5 a článcích 39, 41, 47, 49 a 53, se uloží správní pokuty až do výše 10 000 000 EUR nebo, dopustí-li se porušení podnik, až do výše 2 % jeho celkového ročního obratu celosvětově za předchozí finanční rok podle toho, která hodnota je vyšší.
• Za poskytnutí nesprávných, neúplných nebo zavádějících informací oznámeným subjektům a orgánům dozoru nad trhem v reakci na žádost se uloží správní pokuty až do výše 5 000 000 EUR, nebo, dopustí-li se porušení podnik, až do výše 1 % jeho celkového ročního obratu celosvětově za předchozí finanční rok podle toho, která hodnota je vyšší.

V nařízení se ještě hovoří o subjektech posuzování shody a o tom, že jejich pracovníci vykonávají činnosti posuzování shody na nejvyšší úrovni profesionální důvěryhodnosti a požadované odborné způsobilosti v konkrétní oblasti a nesmějí být vystaveni žádným tlakům a podnětům, zejména finančním, které by mohly ovlivnit jejich úsudek nebo výsledky jejich činností posuzování shody, zejména ze strany osob nebo skupin osob, které mají na výsledcích těchto činností zájem.

LITERATURA

EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE. Nařízení Evropského parlamentu a Rady (EU) 2024/2847 ze dne 23. října 2024 o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky a o změně nařízení (EU) č. 168/2013 a (EU) 2019/1020 a směrnice (EU) 2020/1828 (akt o kybernetické odolnosti). Online. Úřední věstník Evropské unie. 2024. Dostupné z: https://eur-lex.europa.eu/eli/reg/2024/2847/oj. [cit. 2026-09-07].

EUROPEAN UNION AGENCY FOR CYBERSECURITY (ENISA). Single Reporting Platform (SRP): Frequently Asked Questions. Online. 2026. Aktualizováno 4. září 2026. Dostupné z: https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions. [cit. 2026-09-07].

Pokud se vám líbí naše články, tak zvažte podporu naši práce – Naskenujte QR kód a přispějte libovolnou částkou.

Děkujeme!

Štítky: CRA, kybernetická bezpečnost