CE u softwaru podle CRA: vlastní prohlášení, nebo notifikovaná osoba?

Posouzení shody je jádro celého CRA – a u softwaru funguje jinak, než si většina lidí pod pojmem „CE značka“ představuje. Software se nedá polepit štítkem na krabici a odeslat do skladu. Tento článek se soustředí výhradně na to, jak bude posouzení shody probíhat: kdy si vystačíte s vlastním prohlášením, kdy potřebujete notifikovanou osobu, co musí obsahovat dokumentace a kam se CE u softwaru vlastně umístí.

Otázku, zda váš konkrétní produkt vůbec spadá pod CRA, řeší jiné kritérium – hardwarová vazba, cloudové zpracování dat nebo výjimka pro nezpeněžený open-source. Zde předpokládáme, že produkt do působnosti spadá, a jdeme rovnou k posouzení shody.

Text je obecná informační přehled, ne individuální právní rada k vašemu konkrétnímu produktu.

Tři cesty k posouzení shody: kam patří váš software

Klasifikace rozhoduje o tom, kdo posouzení provede. Nařízení rozlišuje výchozí (default) produkty, důležité produkty tříd I a II podle přílohy III a kritické produkty podle přílohy IV. O zařazení rozhoduje klíčová bezpečnostní funkce produktu, kterou upřesňuje prováděcí nařízení (EU) 2025/2392 (čl. 7 a 8 a přílohy III a IV nařízení).

Co patří do jednotlivých tříd

Do třídy I patří mimo jiné správci hesel, VPN klienti, antimalware, prohlížeče, operační systémy, routery a modemy pro připojení k internetu, chytrá domácí zařízení s bezpečnostní funkcí (zámky, kamery, chůvičky, alarmy), internetové hračky se sledovací funkcí a zdravotní či dětské nositelné zařízení. Do třídy II spadají firewally, systémy pro detekci a prevenci narušení, hypervizory a čipy odolné proti neoprávněné manipulaci. Vše ostatní, co pod CRA spadá, ale nenaplňuje kritéria přílohy III ani IV, je výchozí produkt s nejjednodušším režimem posouzení – interním, tzv. modulem A.

Příklad z praxe

Firma vyvíjí desktopovou i mobilní aplikaci správce hesel, kterou prodává jako placenou licenci českým i zahraničním zákazníkům. Podle klíčové funkce jde o třídu I – a to bez ohledu na to, že jde „jen“ o software bez fyzického těla.

Kdy stačí vlastní prohlášení a kdy potřebujete notifikovanou osobu

Rozhodovací vodítko je přímočaré, jakmile znáte třídu produktu:

• Výchozí produkt – posouzení shody proběhne vždy interně (modul A), notifikovanou osobu nepotřebujete.
• Třída I – vlastní posouzení je možné jen tehdy, pokud plně uplatníte harmonizované normy nebo společné specifikace pokrývající celý produkt. Tyto normy k dnešnímu dni nejsou vydané, takže v praxi u třídy I musíte počítat s notifikovanou osobou – zákon to ale definuje jako podmíněnou výjimku, ne jako trvalý stav, a jakmile normy vyjdou, situace se změní.
• Třída II a kritické produkty – notifikovaná osoba, případně evropský certifikační systém, je povinná vždy, bez ohledu na to, jaké normy existují (čl. 32 odst. 2 a 3 a příloha VIII nařízení).

Pokud tedy váš software spadá do třídy I a plánujete posouzení provést sami, ověřte nejprve, zda už existují harmonizované normy pokrývající celý produkt – bez nich se interní cestě dnes nevyhnete jinak než tím, že počkáte na jejich vydání.

Notifikované osoby: harmonogram běží už od poloviny roku 2026

Oznamování subjektů posuzování shody (kapitola IV, články 35 až 51 nařízení) se použije už od 11. června 2026 – rok a půl před tím, než začnou platit hlavní povinnosti nařízení od 11. prosince 2027 (čl. 71 odst. 2 druhý pododstavec). Smysl je jednoduchý: dát členským státům čas notifikovat zkušebny a certifikační orgány dřív, než se na ně vrhne poptávka výrobců těsně před koncem přechodného období.

Pro firmy v třídě I a II z toho plyne praktické doporučení: neodkládejte oslovení potenciální notifikované osoby na poslední chvíli. S blížícím se koncem přechodného období lze očekávat, že kapacita notifikovaných subjektů bude omezenější než dnes. Aktuální seznam notifikovaných osob doporučujeme průběžně sledovat u příslušného oznamujícího orgánu.

Technická dokumentace a EU prohlášení o shodě

Bez ohledu na to, zda posouzení provedete sami nebo přes notifikovanou osobu, musíte mít hotovou technickou dokumentaci a vydat EU prohlášení o shodě. Dokumentace zahrnuje popis produktu, posouzení kybernetického bezpečnostního rizika, softwarový kusovník (SBOM), odůvodnění zvolené doby podpory a zprávy z bezpečnostních testů (čl. 28, 30 a 31 a přílohy V až VII nařízení). Dokumenty i prohlášení o shodě musíte uchovávat po dobu deseti let, nebo po celou dobu podpory produktu, je-li delší.

Zpřístupnění SBOM uživatelům je podmíněné, ne automatické: nařízení jej nevyžaduje u všech produktů bez výjimky. Pokud se ale rozhodnete SBOM zpřístupnit, musíte v informacích a pokynech pro uživatele uvést, kde k němu mají přístup (příloha II bod 9 nařízení). Prakticky to znamená: než publikujete SBOM na webu, ujasněte si, kam odkaz na něj patří v uživatelské dokumentaci – jinak zpřístupnění nesplní svůj účel.

Doba podpory má být zpravidla minimálně pět let (kratší jen u produktů s kratší očekávanou dobou užití), zatímco vydané bezpečnostní aktualizace musí zůstat dostupné minimálně deset let nebo po zbytek doby podpory, podle toho, co je delší.

CE značka u softwaru: kam ji umístit, když nejde nic nalepit

U softwaru se CE označení uvádí na EU prohlášení o shodě, případně na webových stránkách výrobce, pokud fyzické umístění na produktu není možné nebo přiměřené jeho povaze. To je zásadní rozdíl oproti fyzickým výrobkům – u aplikace, SaaS backendu nebo firmwaru nehledejte štítek, hledejte prohlášení o shodě a informaci na webu výrobce.

Ke stejnému místu – webu nebo materiálům dostupným před nákupem – patří i viditelné datum konce podpory produktu, uvedené alespoň měsícem a rokem. Zákazník má mít tuto informaci k dispozici už v okamžiku, kdy se rozhoduje o koupi, ne až po instalaci.

Kdo je „výrobcem“ pro účely posouzení shody: white-label a podstatná změna

Povinnost provést posouzení shody, vypracovat dokumentaci a připojit CE nese primárně výrobce. Okruh „výrobců“ je ale podle CRA širší, než by čtenář čekal.

• Pokud dovozce nebo distributor uvede produkt na trh pod vlastním jménem nebo ochrannou známkou, je podle čl. 21 považován za výrobce – vztahují se na něj povinnosti technických požadavků a hlášení podle čl. 13 a 14, a jako výrobce zároveň přebírá i zbývající povinnosti výrobce vůči celému produktu, tedy včetně posouzení shody, dokumentace a CE.
• Totéž nastává, pokud dovozce nebo distributor provede podstatnou změnu produktu, který již byl uveden na trh (čl. 21).
• I jiná osoba než výrobce, dovozce či distributor, která provede podstatnou změnu a produkt dodá na trh, se považuje za výrobce – ale jen ohledně části produktu dotčené změnou, případně ohledně celého produktu, pokud změna ovlivní jeho kybernetickou bezpečnost jako celek (čl. 22 odst. 1 a 2).

Podstatnou změnou se rozumí změna produktu po jeho uvedení na trh, která ovlivňuje soulad se základními požadavky přílohy I části I, nebo která vede ke změně zamýšleného účelu, pro nějž bylo posouzení shody původně provedeno (čl. 3 bod 30).

Příklad: e-shop dováží chytré zámky od výrobce ze třetí země a prodává je pod vlastní obchodní značkou i s vlastní doprovodnou aplikací. Tím se z pozice distributora přesouvá do role výrobce – a musí zajistit celé posouzení shody, dokumentaci i CE, ne se spoléhat na to, že je za produkt odpovědný někdo jiný v dodavatelském řetězci.

Sankce za vady posouzení shody: jiné pásmo než za bezpečnostní chyby

Sankční systém CRA rozlišuje, které ustanovení bylo porušeno, a podle toho se liší strop pokuty. Porušení požadavků přílohy I a článků 13 a 14 (technická bezpečnost, správa zranitelností, hlášení) spadá do nejvyššího pásma – až 15 000 000 EUR, nebo vyšší procentní strop z celosvětového obratu než u ostatních pásem.

Samotné posouzení shody – tedy porušení povinností kolem CE označení (čl. 30), EU prohlášení o shodě (čl. 28), technické dokumentace (čl. 31), postupů posuzování shody (čl. 32) a povinností hospodářských subjektů podle čl. 18 až 23 – spadá do nižšího pásma: až 10 000 000 EUR nebo 2 % celosvětového ročního obratu. Za nepravdivé informace poskytnuté orgánům hrozí až 5 000 000 EUR nebo 1 % obratu. Mikropodniky a malé podniky mají výjimku jen z pokut za zmeškání 24hodinových lhůt hlášení, ne z povinnosti posouzení shody jako takové.

Jinými slovy: špatně vedená dokumentace nebo chybějící CE na webu vás nepotká stejně tvrdě jako skrytá bezpečnostní zranitelnost, ale desetimilionová hranice je pořád vysoko nad tím, co si malá firma může dovolit ignorovat.

Co platí najisto od kdy

Tři data jsou v CRA pevně daná a každé se týká něčeho jiného.

• Od 11. června 2026 běží oznamování notifikovaných subjektů posuzování shody (kapitola IV, čl. 35 až 51).
• Od 11. září 2026 platí povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty podle čl. 14 – a to i u produktů uvedených na trh dřív, nejen u novinek (čl. 69 odst. 3).
• Od 11. prosince 2027 platí hlavní povinnosti nařízení, včetně CE označení, posouzení shody a technické dokumentace pro nově uváděné produkty. Produkty uvedené na trh před tímto datem se podle CRA řídí, jen pokud u nich po tomto datu dojde k podstatné změně (čl. 69 odst. 2).

Co teprve upřesní prováděcí akty (výhled)

Tři otázky kolem posouzení shody softwaru ještě nejsou uzavřené a je třeba je sledovat.

• Harmonizované normy pro třídu I – dokud nejsou vydány v plném rozsahu pokrývajícím produkt, nelze u třídy I spoléhat na vlastní posouzení a fakticky je nutná notifikovaná osoba.
• Zjednodušený formulář technické dokumentace pro mikropodniky a malé podniky – nařízení tuto možnost připouští, ale podmiňuje ji formulářem od Evropské komise (čl. 33 odst. 5). K 4. srpnu 2026 tento formulář vydán nebyl, takže výjimka není prakticky použitelná.
• Český adaptační zákon – k 10. srpnu 2026 je ve stavu návrhu (mezirezortní připomínkové řízení proběhlo v červenci 2026) a počítá s dozorem České obchodní inspekce nad většinou trhu, sektorovými orgány a NÚKIB jako oznamujícím orgánem pro notifikované osoby. Finální podoba se může ještě změnit – u konkrétních povinností (jazyk dokumentů, kontaktní údaje) sledujte schválené znění.

Akční plán 30/60/90 dní

1. Do 30 dní: Určete klasifikaci produktu (výchozí / třída I / třída II / kritický) podle klíčové funkce a prováděcího nařízení 2025/2392. Bez správné třídy nelze plánovat cestu posouzení shody.
2. Do 60 dní: Pokud produkt spadá do třídy I, II nebo mezi kritické, začněte oslovovat potenciální notifikované osoby – proces jejich oznamování běží od poloviny roku 2026 a kapacita bude s blížícím se koncem roku 2027 pravděpodobně klesat. Souběžně zmapujte, zda ve vašem dodavatelském řetězci nejste v roli „výrobce“ kvůli white-labelu nebo podstatné změně cizího produktu.
3. Do 90 dní: Rozpracujte technickou dokumentaci (popis produktu, posouzení rizika, SBOM, odůvodnění doby podpory) a připravte návrh EU prohlášení o shodě i umístění CE označení a data konce podpory na webu.

Nejste-li si jistí rozsahem vlastních povinností, ověřte je rychlou prověrkou, která vám ukáže, kde v procesu posouzení shody reálně stojíte.

Časté omyly

„CE u softwaru se dá nalepit na krabici nebo do instalátoru.“ Ne – u softwaru se uvádí na EU prohlášení o shodě nebo na webu výrobce, protože fyzické umístění často není možné.

„Vlastní prohlášení stačí vždy, je to jen formalita.“ U třídy I je vlastní posouzení podmíněné plným uplatněním harmonizovaných norem, které zatím nejsou vydané – dokud nejsou, potřebujete notifikovanou osobu stejně jako u třídy II.

„Chyba v CE značení se trestá stejně tvrdě jako skrytá zranitelnost.“ Ne – porušení povinností kolem CE, dokumentace a postupů posouzení shody spadá do nižšího sankčního pásma (do 10 000 000 EUR nebo 2 % obratu) než porušení přílohy I nebo článků 13 a 14, které spadá do nejvyššího pásma s vyšším procentním stropem.

„Když produkt jen dovážím a prodávám pod cizí značkou, odpovědnost nesu jen za distribuci.“ Pokud produkt prodáváte pod vlastní značkou nebo na něm provedete podstatnou změnu, stáváte se podle čl. 21 výrobcem se všemi povinnostmi, včetně posouzení shody.

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění – CELEX 02024R2847-20241120: https://publications.europa.eu/resource/celex/32024R2847
• Nařízení (EU) 2024/2847, čl. 3 bod 30 (podstatná změna), čl. 13, 14 (technické požadavky, hlášení), čl. 18–23 (povinnosti hospodářských subjektů), čl. 21 a 22 (white-label a podstatná změna třetí osobou), čl. 28, 30–32 (prohlášení o shodě, CE, posouzení shody), čl. 64 (sankce), čl. 69 (přechodná ustanovení), čl. 71 (data použitelnosti) – https://publications.europa.eu/resource/celex/32024R2847
• Prováděcí nařízení (EU) 2025/2392 (klasifikace důležitých produktů podle přílohy III a IV)
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, MPO, VeKLEP (3. 7. 2026): https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Posouzení shody softwaru podle CRA se odvíjí od klasifikace produktu: u výchozích produktů stačí vlastní posouzení, u třídy I je vlastní cesta podmíněná harmonizovanými normami, které zatím chybí, a u třídy II i kritických produktů je notifikovaná osoba povinná vždy. Notifikované osoby se začaly oznamovat už od poloviny roku 2026, tedy s předstihem před hlavními povinnostmi platnými od konce roku 2027. CE u softwaru nehledejte na krabici, ale v EU prohlášení o shodě nebo na webu výrobce, spolu s viditelným datem konce podpory. Kdo prodává cizí produkt pod vlastní značkou nebo jej podstatně mění, přebírá roli výrobce se všemi důsledky – a sankce za chyby v samotném posouzení shody a dokumentaci jsou sice nižší než za bezpečnostní nedostatky, ale stále citelné. Zbytek nejistoty – normy pro třídu I, zjednodušený formulář pro malé firmy a finální český zákon – je třeba průběžně sledovat, ne domýšlet dopředu.