CE podle CRA: vlastní prohlášení, nebo notifikovaná osoba?

Otázku, zda váš konkrétní produkt vůbec spadá pod CRA, řeší jiné kritérium – hardwarová vazba, cloudové zpracování dat nebo výjimka pro nezpeněžený open-source. Zde předpokládáme, že produkt do působnosti spadá, a jdeme rovnou k posouzení shody.

Text je obecná informační přehled, ne individuální právní rada k vašemu konkrétnímu produktu.

Tři cesty k posouzení shody: kam patří váš software

Klasifikace rozhoduje o tom, kdo posouzení provede. Nařízení rozlišuje výchozí (default) produkty, důležité produkty tříd I a II podle přílohy III a kritické produkty podle přílohy IV. O zařazení rozhoduje klíčová bezpečnostní funkce produktu, kterou upřesňuje prováděcí nařízení (EU) 2025/2392 (čl. 7 a 8 a přílohy III a IV nařízení).

Co patří do jednotlivých tříd

Do třídy I patří mimo jiné správci hesel, VPN klienti, antimalware, prohlížeče, operační systémy, routery a modemy pro připojení k internetu, chytrá domácí zařízení s bezpečnostní funkcí (zámky, kamery, chůvičky, alarmy), hračky připojené k internetu se sociálními interaktivními funkcemi (mluvení, natáčení) nebo se sledováním polohy a zdravotní či dětské nositelné zařízení. Do třídy II spadají firewally, systémy pro detekci a prevenci narušení, hypervizory, systémy runtime kontejnerů a mikroprocesory a mikrořadiče odolné proti manipulaci. Vše ostatní, co pod CRA spadá, ale nenaplňuje kritéria přílohy III ani IV, je výchozí produkt s nejjednodušším režimem posouzení – interním, tzv. modulem A.

Příklad z praxe

Firma vyvíjí desktopovou i mobilní aplikaci správce hesel, kterou prodává jako placenou licenci českým i zahraničním zákazníkům. Podle klíčové funkce jde o třídu I – a to bez ohledu na to, že jde „jen“ o software bez fyzického těla.

Kdy stačí vlastní prohlášení a kdy potřebujete notifikovanou osobu

Rozhodovací vodítko je přímočaré, jakmile znáte třídu produktu:

• Výchozí produkt – posouzení shody proběhne vždy interně (modul A), notifikovanou osobu nepotřebujete.
• Třída I – vlastní posouzení je možné jen tehdy, pokud plně uplatníte harmonizované normy, společné specifikace nebo evropské schéma certifikace kybernetické bezpečnosti alespoň na úrovni záruky „významná“ pokrývající celý produkt (čl. 32 odst. 2). Harmonizované normy k CRA k 30. září 2026 v Úředním věstníku EU zveřejněny nebyly, takže v praxi u třídy I musíte počítat s notifikovanou osobou – zákon to ale definuje jako podmíněnou výjimku, ne jako trvalý stav, a jakmile normy vyjdou, situace se změní.
• Třída II a kritické produkty – u třídy II je nutná notifikovaná osoba (modul B+C nebo H), případně evropská certifikace alespoň na úrovni „významná“, bez ohledu na to, jaké normy existují; kritické produkty prokazují shodu evropskou certifikací podle čl. 8 odst. 1, jinak stejně jako třída II (čl. 32 odst. 3 a 4 a příloha VIII nařízení). Výjimku má svobodný software s otevřeným zdrojovým kódem z přílohy III, jehož technická dokumentace je při uvedení na trh veřejně přístupná – ten smí použít i modul A (čl. 32 odst. 5).

Pokud tedy váš software spadá do třídy I a plánujete posouzení provést sami, ověřte nejprve, zda už existují harmonizované normy, společné specifikace nebo použitelné evropské schéma certifikace alespoň na úrovni „významná“ pokrývající celý produkt – bez nich se notifikované osobě dnes nevyhnete.

Notifikované osoby: harmonogram běží už od poloviny roku 2026

Oznamování subjektů posuzování shody (kapitola IV, články 35 až 51 nařízení) se použije už od 11. června 2026 – rok a půl před tím, než začnou platit hlavní povinnosti nařízení od 11. prosince 2027 (čl. 71 odst. 2 druhý pododstavec). Smysl je jednoduchý: dát členským státům čas notifikovat zkušebny a certifikační orgány dřív, než se na ně vrhne poptávka výrobců těsně před koncem přechodného období.

Pro firmy v třídě I a II z toho plyne praktické doporučení: neodkládejte oslovení potenciální notifikované osoby na poslední chvíli. S blížícím se koncem přechodného období lze očekávat, že kapacita notifikovaných subjektů bude omezenější než dnes. Aktuální seznam notifikovaných osob doporučujeme průběžně sledovat u příslušného oznamujícího orgánu.

Technická dokumentace a EU prohlášení o shodě

Bez ohledu na to, zda posouzení provedete sami nebo přes notifikovanou osobu, musíte mít hotovou technickou dokumentaci a vydat EU prohlášení o shodě. Dokumentace zahrnuje popis produktu, posouzení kybernetického bezpečnostního rizika, softwarový kusovník (SBOM), odůvodnění zvolené doby podpory a zprávy z bezpečnostních testů (čl. 28, 30 a 31 a přílohy V až VII nařízení). Dokumenty i prohlášení o shodě musíte uchovávat po dobu deseti let, nebo po celou dobu podpory produktu, je-li delší.

Zpřístupnění SBOM uživatelům je podmíněné, ne automatické: nařízení jej nevyžaduje u všech produktů bez výjimky. Pokud se ale rozhodnete SBOM zpřístupnit, musíte v informacích a pokynech pro uživatele uvést, kde k němu mají přístup (příloha II bod 9 nařízení). Prakticky to znamená: než publikujete SBOM na webu, ujasněte si, kam odkaz na něj patří v uživatelské dokumentaci – jinak zpřístupnění nesplní svůj účel.

Doba podpory má být zpravidla minimálně pět let (kratší jen u produktů s kratší očekávanou dobou užití), zatímco vydané bezpečnostní aktualizace musí zůstat dostupné minimálně deset let nebo po zbytek doby podpory, podle toho, co je delší.

CE značka u softwaru: kam ji umístit, když nejde nic nalepit

U softwaru se CE označení umísťuje buď na EU prohlášení o shodě, nebo na internetové stránky doprovázející softwarový produkt, jejichž příslušná část musí být pro spotřebitele snadno a přímo přístupná (čl. 30 odst. 1). To je zásadní rozdíl oproti fyzickým výrobkům – u aplikace, SaaS backendu nebo firmwaru nehledejte štítek, hledejte prohlášení o shodě a informaci na webu výrobce.

Ke stejnému místu – webu nebo materiálům dostupným před nákupem – patří i viditelné datum konce podpory produktu, uvedené alespoň měsícem a rokem. Zákazník má mít tuto informaci k dispozici už v okamžiku, kdy se rozhoduje o koupi, ne až po instalaci.

Kdo je „výrobcem“ pro účely posouzení shody: white-label a podstatná změna

Povinnost provést posouzení shody, vypracovat dokumentaci a připojit CE nese primárně výrobce. Okruh „výrobců“ je ale podle CRA širší, než by čtenář čekal.

• Pokud dovozce nebo distributor uvede produkt na trh pod vlastním jménem nebo ochrannou známkou, je podle čl. 21 považován za výrobce – vztahují se na něj povinnosti technických požadavků a hlášení podle čl. 13 a 14, a jako výrobce zároveň přebírá i zbývající povinnosti výrobce vůči celému produktu, tedy včetně posouzení shody, dokumentace a CE.
• Totéž nastává, pokud dovozce nebo distributor provede podstatnou změnu produktu, který již byl uveden na trh (čl. 21).
• I jiná osoba než výrobce, dovozce či distributor, která provede podstatnou změnu a produkt dodá na trh, se považuje za výrobce – ale jen ohledně části produktu dotčené změnou, případně ohledně celého produktu, pokud změna ovlivní jeho kybernetickou bezpečnost jako celek (čl. 22 odst. 1 a 2).

Podstatnou změnou se rozumí změna produktu po jeho uvedení na trh, která ovlivňuje soulad se základními požadavky přílohy I části I, nebo která vede ke změně zamýšleného účelu, pro nějž bylo posouzení shody původně provedeno (čl. 3 bod 30).

Příklad: e-shop dováží chytré zámky od výrobce ze třetí země a prodává je pod vlastní obchodní značkou i s vlastní doprovodnou aplikací. Tím se z pozice distributora přesouvá do role výrobce – a musí zajistit celé posouzení shody, dokumentaci i CE, ne se spoléhat na to, že je za produkt odpovědný někdo jiný v dodavatelském řetězci.

Sankce za vady posouzení shody: dvě pásma, která se překrývají

Sankční systém CRA rozlišuje, které ustanovení bylo porušeno, a podle toho se liší strop pokuty. Porušení požadavků přílohy I a článků 13 a 14 (technická bezpečnost, správa zranitelností, hlášení) spadá do nejvyššího pásma – až 15 000 000 EUR, nebo vyšší procentní strop z celosvětového obratu než u ostatních pásem.

Porušení samostatných ustanovení o CE označení (čl. 30), EU prohlášení o shodě (čl. 28), technické dokumentaci (čl. 31), postupech posuzování shody (čl. 32) a povinností hospodářských subjektů podle čl. 18 až 23 spadá podle čl. 64 odst. 3 do nižšího pásma: až 10 000 000 EUR nebo 2 % celosvětového ročního obratu. Pozor ale u výrobce: vypracovat dokumentaci, provést posouzení shody, vydat EU prohlášení o shodě a umístit CE mu ukládá i čl. 13 odst. 12 – a porušení čl. 13 spadá do nejvyššího pásma. Český návrh adaptačního zákona tato porušení výrobce právě takto řadí do pásma až 15 000 000 EUR nebo 2,5 % obratu. Za nesprávné, neúplné nebo zavádějící informace poskytnuté oznámeným subjektům a orgánům dozoru v reakci na jejich žádost hrozí až 5 000 000 EUR nebo 1 % obratu. Mikropodniky a malé podniky mají výjimku jen z pokut za zmeškání 24hodinových lhůt hlášení, ne z povinnosti posouzení shody jako takové.

Jinými slovy: nespoléhejte na to, že vás jako výrobce špatně vedená dokumentace nebo chybějící CE na webu nepotká stejně tvrdě jako skrytá bezpečnostní zranitelnost – přes čl. 13 odst. 12 se může dostat až do nejvyššího pásma, a i desetimilionová hranice je vysoko nad tím, co si malá firma může dovolit ignorovat.

Co platí najisto od kdy

Tři data jsou v CRA pevně daná a každé se týká něčeho jiného.

• Od 11. června 2026 běží oznamování notifikovaných subjektů posuzování shody (kapitola IV, čl. 35 až 51).
• Od 11. září 2026 platí povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty podle čl. 14 – a to i u produktů uvedených na trh dřív, nejen u novinek (čl. 69 odst. 3).
• Od 11. prosince 2027 platí hlavní povinnosti nařízení, včetně CE označení, posouzení shody a technické dokumentace pro nově uváděné produkty. Produkty uvedené na trh před tímto datem se podle CRA řídí, jen pokud u nich po tomto datu dojde k podstatné změně (čl. 69 odst. 2).

Co teprve upřesní prováděcí akty (výhled)

Tři otázky kolem posouzení shody softwaru ještě nejsou uzavřené a je třeba je sledovat.

• Harmonizované normy pro třídu I – dokud nejsou vydány v plném rozsahu pokrývajícím produkt (a není k dispozici ani společná specifikace či evropské schéma certifikace alespoň na úrovni „významná“), nelze u třídy I spoléhat na vlastní posouzení a fakticky je nutná notifikovaná osoba.
• Zjednodušený formulář technické dokumentace pro mikropodniky a malé podniky – nařízení tuto možnost připouští, ale podmiňuje ji formulářem od Evropské komise (čl. 33 odst. 5). K 30. září 2026 tento formulář vydán nebyl, takže výjimka není prakticky použitelná.
• Český adaptační zákon – k 30. září 2026 je ve stavu návrhu (mezirezortní připomínkové řízení proběhlo v červenci 2026) a počítá s dozorem České obchodní inspekce nad většinou trhu, sektorovými orgány a NÚKIB jako oznamujícím orgánem pro notifikované osoby. Finální podoba se může ještě změnit – u konkrétních povinností (jazyk dokumentů, kontaktní údaje) sledujte schválené znění.

Akční plán 30/60/90 dní

1. Do 30 dní: Určete klasifikaci produktu (výchozí / třída I / třída II / kritický) podle klíčové funkce a prováděcího nařízení 2025/2392. Bez správné třídy nelze plánovat cestu posouzení shody.
2. Do 60 dní: Pokud produkt spadá do třídy I, II nebo mezi kritické, začněte oslovovat potenciální notifikované osoby – proces jejich oznamování běží od poloviny roku 2026 a kapacita bude s blížícím se koncem roku 2027 pravděpodobně klesat. Souběžně zmapujte, zda ve vašem dodavatelském řetězci nejste v roli „výrobce“ kvůli white-labelu nebo podstatné změně cizího produktu.
3. Do 90 dní: Rozpracujte technickou dokumentaci (popis produktu, posouzení rizika, SBOM, odůvodnění doby podpory) a připravte návrh EU prohlášení o shodě i umístění CE označení a data konce podpory na webu.

Nejste-li si jistí rozsahem vlastních povinností, ověřte je rychlou prověrkou, která vám ukáže, kde v procesu posouzení shody reálně stojíte.

Časté omyly

„CE u softwaru se dá nalepit na krabici nebo do instalátoru.“ Ne – u softwaru se uvádí na EU prohlášení o shodě nebo na webu výrobce, protože fyzické umístění často není možné.

„Vlastní prohlášení stačí vždy, je to jen formalita.“ U třídy I je vlastní posouzení podmíněné plným uplatněním harmonizovaných norem, společných specifikací nebo evropského schématu certifikace alespoň na úrovni „významná“ – dokud žádná z těchto cest není k dispozici, potřebujete notifikovanou osobu stejně jako u třídy II.

„Chyba v CE značení se vždy trestá mírněji než skrytá zranitelnost.“ Ne nutně – čl. 64 odst. 3 sice pro porušení čl. 28, 30, 31 a 32 stanoví nižší pásmo (do 10 000 000 EUR nebo 2 % obratu), ale výrobci tytéž povinnosti ukládá i čl. 13 odst. 12, jehož porušení spadá do nejvyššího pásma (do 15 000 000 EUR nebo 2,5 % obratu).

„Když produkt jen dovážím a prodávám pod cizí značkou, odpovědnost nesu jen za distribuci.“ Pokud produkt prodáváte pod vlastní značkou nebo na něm provedete podstatnou změnu, stáváte se podle čl. 21 výrobcem se všemi povinnostmi, včetně posouzení shody.

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění – CELEX 02024R2847-20241120: https://publications.europa.eu/resource/celex/02024R2847-20241120
• Nařízení (EU) 2024/2847, čl. 3 bod 30 (podstatná změna), čl. 13, 14 (technické požadavky, hlášení), čl. 18–23 (povinnosti hospodářských subjektů), čl. 21 a 22 (white-label a podstatná změna třetí osobou), čl. 28, 30–32 (prohlášení o shodě, CE, posouzení shody), čl. 64 (sankce), čl. 69 (přechodná ustanovení), čl. 71 (data použitelnosti) – https://publications.europa.eu/resource/celex/32024R2847
• Prováděcí nařízení (EU) 2025/2392 (klasifikace důležitých produktů podle přílohy III a IV)
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, MPO, VeKLEP (3. 7. 2026): https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Posouzení shody softwaru podle CRA se odvíjí od klasifikace produktu: u výchozích produktů stačí vlastní posouzení, u třídy I je vlastní cesta podmíněná harmonizovanými normami, společnými specifikacemi nebo evropskou certifikací alespoň na úrovni „významná“ (harmonizované normy zatím chybí) a u třídy II i kritických produktů je notifikovaná osoba, případně evropská certifikace, povinná vždy – s výjimkou svobodného softwaru s otevřeným zdrojovým kódem z přílohy III s veřejnou technickou dokumentací (čl. 32 odst. 5). Notifikované osoby se začaly oznamovat už od poloviny roku 2026, tedy s předstihem před hlavními povinnostmi platnými od konce roku 2027. CE u softwaru nehledejte na krabici, ale v EU prohlášení o shodě nebo na webu výrobce, spolu s viditelným datem konce podpory. Kdo prodává cizí produkt pod vlastní značkou nebo jej podstatně mění, přebírá roli výrobce se všemi důsledky – a sankce za chyby v posouzení shody a dokumentaci mohou u výrobce dosáhnout až nejvyššího pásma, protože tytéž povinnosti ukládá i čl. 13 odst. 12. Zbytek nejistoty – normy pro třídu I, zjednodušený formulář pro malé firmy a finální český zákon – je třeba průběžně sledovat, ne domýšlet dopředu.