Dozor nad CRA v Česku: ČOI, NÚKIB a čeština v návodech

Jde o obecnou informaci, ne o individuální právní radu pro váš konkrétní produkt. U hraničních případů (produkt se vzdáleným zpracováním dat, prodej pod cizí značkou, starší produkt procházející úpravou) doporučujeme ověření u odborníka.

Co platí najisto už z nařízení samotného

CRA je nařízení (EU) 2024/2847, účinné bez ohledu na to, zda český adaptační zákon existuje. Nabylo platnosti 10. prosince 2024 a další data použitelnosti stanoví čl. 71.

Tři data – a každé patří jinam

Čl. 71 odst. 2 nařízení stanoví tři samostatná data použitelnosti, která se v praxi často zaměňují:

• 11. června 2026 – od tohoto data se používá kapitola IV (články 35 až 51), tedy pravidla pro oznamování subjektů posuzování shody (zkušeben). Toto datum se nejčastěji plete s hlášením zranitelností – jde ale o něco jiného.
• 11. září 2026 – od tohoto data se používá čl. 14, tedy povinnost hlásit aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty.
• 11. prosince 2027 – od tohoto data se používá nařízení jako celek, včetně základních kyberpožadavků přílohy I, technické dokumentace a označení CE.

Záměna těchto tří dat znamená, že firma buď hlásí o rok dřív, než musí, nebo se naopak o rok opozdí s povinností, která už reálně běží.

Hlášení zranitelností se týká i starých produktů

Povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty od 11. září 2026 (čl. 14) se vztahuje i na produkty uvedené na trh před 11. prosincem 2027 – tedy i na zboží, které už dávno prodáváte. Nejde tedy jen o novinky uváděné po nástupu plné použitelnosti nařízení. Tato konkrétní povinnost je z hlediska starých produktů výjimkou, ne pravidlem – neznamená, že na starší zboží dopadá už dnes celé nařízení jako celek.

Proč přesto potřebujete český zákon

Nařízení je přímo použitelné, ale samo si neurčí, kdo v konkrétním členském státě vykonává dozor nad trhem a kdo oznamuje Evropské komisi subjekty posuzování shody. Tyto role musí pojmenovat národní právo – a přesně to má udělat český adaptační zákon.

Stav návrhu

Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky prošel mezirezortním připomínkovým řízením od 3. do 30. července 2026 (gestor MPO, materiál dostupný na VeKLEP). K 30. září 2026 jde o návrh (Poslanecké sněmovně zatím nebyl předložen), nikoli o účinný předpis – konečná podoba, včetně přesného znění povinností a data účinnosti, se ještě může změnit. Kdo si na jeho základě staví soulad jako na hotové věci, staví na písku.

ČOI a sektorové orgány jako dozor nad trhem

Návrh počítá s tím, že hlavním dozorovým orgánem nad naprostou většinou trhu s produkty s digitálními prvky bude Česká obchodní inspekce, doplněná o sektorové orgány dozoru pro specifické kategorie zboží. To odpovídá modelu, který ČOI už zná z jiné regulace výrobků – jde ale o rozšíření její působnosti, ne o automatismus, a dokud zákon nenabude účinnosti, formálně tuto roli nemá.

NÚKIB jako oznamující orgán

Návrh dále svěřuje NÚKIB roli oznamujícího orgánu – tedy instituce, která posuzuje a Komisi oznamuje subjekty posuzování shody (zkušebny, které budou moci vydávat certifikáty pro produkty vyžadující notifikovanou osobu). Je to logické navázání na roli, kterou NÚKIB má i v jiných oblastech kybernetické bezpečnosti, ale i zde platí, že jde zatím jen o návrh. Podle § 3 odst. 2 návrhu má NÚKIB také přijímat oznámení podle čl. 14 a 15 CRA. Hlášení podle čl. 14 se ale podávají už od 11. září 2026 – přes koncový bod týmu CSIRT určeného jako koordinátor ve státě hlavní provozovny výrobce v Unii (čl. 14 odst. 7). Koordinátorem pro koordinované zveřejňování zranitelností je v Česku už dnes NÚKIB (§ 42 odst. 5 písm. d) zákona č. 264/2025 Sb.), takže výrobce s hlavní provozovnou v Česku hlásí podle výkladu přes něj.

Proč to má význam už teď

Kapitola IV nařízení (oznamování subjektů posuzování shody) se podle nařízení samotného používá už od 11. června 2026 – tedy dřív, než český zákon nabude účinnosti. Dokud ale národní zákon nepojmenuje, kdo je oznamujícím orgánem, nemá kdo v Česku zkušebny formálně oznamovat Komisi. To je paradox přechodného období: evropské pravidlo už běží, ale vnitrostátní adresát role na ně teprve čeká na svůj zákon. Pro zkušebnu usazenou v Česku to znamená, že žádost o oznámení podává oznamujícímu orgánu svého státu (čl. 42 odst. 1) – a ten zatím určen není. Výrobce o oznámení nežádá; pokud potřebuje posouzení shody oznámeným subjektem, nemůže zatím počítat se subjektem oznámeným z Česka. Návrh s tím počítá: § 3 (NÚKIB jako oznamující orgán) a § 5 (postup při oznamování subjektů posuzování shody) mají nabýt účinnosti už dnem vyhlášení zákona, zbytek až 11. prosince 2027. Zbývá sledovat, kdy bude zákon vyhlášen.

Co má znamenat čeština v návodech a dokumentaci

Návrh českého zákona v § 9 počítá s tím, že kontaktní údaje výrobce a dovozce a informace a pokyny pro uživatele podle čl. 13 odst. 18 nařízení budou muset být v češtině. Češtinu pro EU prohlášení o shodě paragrafové znění návrhu výslovně neukládá – zmiňuje ji jen důvodová zpráva s odkazem na čl. 28 nařízení, podle něhož má být prohlášení k dispozici v jazycích požadovaných členským státem. Nařízení CRA samo stanovuje, co má být v technické dokumentaci a v informacích pro uživatele obsaženo (mimo jiné popis produktu, posouzení rizik, SBOM, odůvodnění doby podpory), ale otázku jazyka typicky dolaďuje národní právo.

Praktický dopad, až zákon nabude účinnosti

Příklad: e-shop dováží chytré kamery od výrobce z jiného členského státu, s anglickým manuálem a anglickým prohlášením o shodě. Pokud návrh projde v podobě, kterou popisuje, bude muset být k dispozici i česká verze informací a pokynů pro uživatele a kontaktních údajů (a podle důvodové zprávy i prohlášení o shodě). Návod a bezpečnostní informace v češtině ovšem u spotřebitelských výrobků vyžadují už dnes jiné předpisy – zákon č. 387/2024 Sb. a u rádiových zařízení nařízení vlády č. 426/2016 Sb. Odpovědnost za zajištění překladu bude záviset na tom, v jaké roli v dodavatelském řetězci jste. Dovozce podle nařízení ověřuje, že výrobce provedl posouzení shody, vypracoval technickou dokumentaci, opatřil produkt označením CE a viditelně uvedl konec podpory; distributor ověřuje, že CE je na místě a že výrobce i dovozce svým povinnostem dostáli. Jazyk ale hlídají i tyto role: dovozce před uvedením na trh zajistí, aby k produktu byly přiloženy informace a pokyny pro uživatele podle přílohy II v jazyce snadno srozumitelném uživatelům a orgánům dozoru (čl. 19 odst. 2 písm. c)), a distributor ověří, že výrobce a dovozce splnili mimo jiné čl. 13 odst. 18 (čl. 20 odst. 2). Podle návrhu zákona se dovozce, který nezajistí přiložení informací a pokynů v češtině, dopustí přestupku (§ 12 odst. 1 písm. b) bod 5).

Kdy se z dovozce nebo distributora stává výrobce

Jedna věc mění, kdo jazykovou i veškerou další povinnost nese: pokud uvedete produkt na trh pod svým jménem nebo vlastní ochrannou známkou, stáváte se výrobcem se všemi povinnostmi podle čl. 13 a 14 nařízení – včetně dokumentace, kterou pak budete muset zajistit v požadovaném jazyce sami. Toto je ustanovení pro prodej pod vlastní značkou (private label, čl. 21); detailní rozbor přesahuje téma tohoto článku, zde jen konstatujme, že rozsah odpovědnosti se touto skutečností mění zásadně.

Sankce – a kdo je skutečně nese

Nařízení stanoví tři pásma pokut a je časté, že se druhé pásmo mylně přisuzuje jen dovozcům a distributorům.

• Nejvyšší pásmo – až 15 000 000 EUR nebo odpovídající vyšší podíl celosvětového obratu – dopadá na porušení přílohy I (základní kyberpožadavky) a článků 13 a 14 (povinnosti výrobce k zabezpečení a hlášení).
• Střední pásmo – až 10 000 000 EUR nebo 2 % celosvětového obratu – se váže na porušení článků 18 až 23, čl. 28, čl. 30 odst. 1 až 4, čl. 31 odst. 1 až 4, čl. 32 odst. 1 až 3 a čl. 33 odst. 5, a dále článků 39, 41, 47, 49 a 53. Mezi nimi jsou i povinnosti, které nese výrobce – EU prohlášení o shodě (čl. 28), označení CE (čl. 30), technická dokumentace (čl. 31) a postupy posuzování shody (čl. 32). Toto pásmo tedy není vyhrazeno jen dovozcům a distributorům.
• Nejnižší pásmo – až 5 000 000 EUR nebo 1 % celosvětového obratu – za poskytnutí nesprávných, neúplných nebo zavádějících informací oznámeným subjektům a orgánům dozoru v reakci na jejich žádost.

Mikropodniky a malé podniky mají výjimku pouze z pokut za zmeškání 24hodinových lhůt hlášení – jinak na ně dopadají stejná pásma jako na ostatní role v řetězci.

Co teprve upřesní prováděcí akty a národní úprava

Kromě samotného zákona zůstává otevřená ještě jedna navazující otázka s přímým dopadem na menší firmy: zjednodušený formát vybraných prvků technické dokumentace podle přílohy VII nařízení sice mikropodnikům a malým podnikům umožňuje, ale podmiňuje ho formulářem, který má vydat Evropská komise prováděcím aktem. K 30. září 2026 tento formulář Komise ještě nevydala, takže úleva zatím není prakticky použitelná – nelze se na ni spoléhat, dokud formulář neexistuje. Obdobně zůstává otevřené i to, kdy budou moci produkty třídy I zůstat u interního posouzení shody bez notifikované osoby – závisí to na tom, kdy budou k dispozici harmonizované normy, společné specifikace nebo evropské schéma certifikace alespoň na úrovni „významná“ (čl. 32 odst. 2) – harmonizované normy k CRA k 30. září 2026 v Úředním věstníku EU zveřejněny nebyly; tuto otázku ale řeší spíše téma klasifikace produktů než dozor a jazyk, kterým se věnuje tento článek.

Akční plán 30/60/90 dní

1. Do 30 dnů: Zjistěte, v jaké roli se ve svém dodavatelském řetězci nacházíte (výrobce, dovozce, distributor, nebo prodejce pod vlastní značkou) a zda váš produkt spadá pod CRA. Pokud si nejste jistí rozsahem svých povinností, ověřte to formou rychlé prověrky.
2. Do 30 dnů: Zajistěte funkční proces hlášení zranitelností podle čl. 14 – ať už u sebe, nebo u dodavatele. Povinnost hlásit platí od 11. září 2026 bez ohledu na to, jak dlouho je produkt na trhu.
3. Do 30 dnů: Zkontrolujte, v jakém jazyce máte dnes návody, bezpečnostní informace a prohlášení o shodě – u spotřebitelských výrobků musí být návod a bezpečnostní informace česky už dnes (zákon č. 387/2024 Sb., u rádiových zařízení nařízení vlády č. 426/2016 Sb.); kde chybí, zajistěte překlad hned.
4. Do 60 dnů: Sledujte postup návrhu zákona na VeKLEP a u MPO – zejména definitivní přiřazení dozorové role ČOI a sektorovým orgánům a potvrzení role NÚKIB jako oznamujícího orgánu.
5. Do 60 dnů: Určete uvnitř firmy odpovědnou osobu pro komunikaci s ČOI a pro sledování bezpečnostních incidentů, a to i pro produkty uváděné na trh před hlavním datem použitelnosti nařízení.
6. Do 90 dnů: Připravte interní proces, který po nabytí účinnosti českého zákona rychle promítne jazykové požadavky (čeština v informacích a pokynech pro uživatele a v kontaktních údajích, u prohlášení o shodě podle konečného znění) do vaší dokumentace.

Časté omyly

„Český zákon k CRA už platí, tak už teď musím mít návody česky.“ Premisa neplatí – k 30. září 2026 jde o návrh po mezirezortním připomínkovém řízení, nikoli o účinný předpis. Návody česky ale u spotřebitelských výrobků mít musíte už dnes, jen z jiného důvodu: návod a bezpečnostní informace v češtině vyžaduje § 8 odst. 1 zákona č. 387/2024 Sb. ve spojení s čl. 9 odst. 7 nařízení GPSR, u rádiových zařízení nařízení vlády č. 426/2016 Sb. Samo nařízení CRA pak od 11. prosince 2027 žádá informace a pokyny v jazyce snadno srozumitelném uživatelům (čl. 13 odst. 18) a EU prohlášení o shodě v jazycích požadovaných členským státem (čl. 28 odst. 2).

„Kapitola IV od června 2026 znamená, že už musím hlásit zranitelnosti.“ Kapitola IV (články 35 až 51) upravuje oznamování subjektů posuzování shody, ne hlášení zranitelností. Povinnost hlásit aktivně zneužívané zranitelnosti a incidenty podle čl. 14 se používá až od 11. září 2026.

„Pokuty ve středním pásmu hrozí jen dovozcům a distributorům.“ Střední pásmo pokut (do 10 000 000 EUR nebo 2 % obratu) dopadá i na výrobce – konkrétně na porušení povinností týkajících se EU prohlášení o shodě, označení CE, technické dokumentace a postupů posuzování shody.

Zdroje

• Nařízení Evropského parlamentu a Rady (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění – CELEX 02024R2847-20241120, https://publications.europa.eu/resource/celex/02024R2847-20241120
• Nařízení (EU) 2024/2847, původní znění – CELEX 32024R2847, https://publications.europa.eu/resource/celex/32024R2847
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, MPO, mezirezortní připomínkové řízení 3.–30. 7. 2026, VeKLEP – https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Nařízení CRA funguje bez transpozice a jeho klíčová data – 11. červen 2026 pro oznamování zkušeben, 11. září 2026 pro hlášení zranitelností, 11. prosinec 2027 pro hlavní povinnosti – běží bez ohledu na český zákon. Ten ale musí dodat to, co samo nařízení neurčuje: kdo v Česku vykonává dozor nad trhem (návrh počítá s ČOI a sektorovými orgány) a kdo oznamuje subjekty posuzování shody (návrh počítá s NÚKIB), a měl by nastavit i jazykové požadavky na informace a pokyny pro uživatele a kontaktní údaje. K 30. září 2026 je tento zákon teprve návrhem po mezirezortním připomínkovém řízení – jeho konečná podoba se ještě může změnit, a proto je rozumné dokumentaci připravovat s předstihem, ale nespoléhat na konkrétní znění, dokud nebude schváleno. Pokud si nejste jistí, jaké povinnosti se na váš konkrétní produkt a roli vztahují, je rychlá prověrka rychlejší cestou k jistotě než čekání na finální text zákona.