Platí už český zákon k CRA?

Ne. Ke stavu srpen 2026 je zákon teprve návrhem, který prošel mezirezortním připomínkovým řízením od 3. do 30. července 2026. Do jeho účinnosti vyplývají povinnosti jen z přímo použitelného nařízení CRA, ne z tohoto návrhu.

Kdo bude v Česku dozorovým orgánem nad CRA?

Návrh počítá s Českou obchodní inspekcí jako hlavním dozorovým orgánem pro naprostou většinu trhu, doplněnou o sektorové orgány, a s NÚKIB jako oznamujícím orgánem pro subjekty posuzování shody. Jde o návrh, konečné rozdělení může doznat změn.

Musím mít návod k výrobku už teď v češtině?

Povinnost uvádět návod, bezpečnostní informace, prohlášení o shodě a kontaktní údaje v češtině zavádí teprve navrhovaný český zákon. Do jeho účinnosti se řiďte požadavky nařízení CRA na obsah dokumentace a počítejte s tím, že překlad bude potřeba dodat, jakmile zákon nabude účinnosti.

Kdy začnou platit lhůty pro hlášení zranitelností podle CRA?

Povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty podle čl. 14 nařízení se použije od 11. září 2026, a to i u produktů uvedených na trh dříve.

Dozor nad CRA v Česku: ČOI, NÚKIB a čeština v návodech

Za metodiku ručí Marek Galetka, zakladatel Pravano. Text prošel lidským schválením před zveřejněním.

Nařízení CRA je přímo použitelné a k účinnosti nepotřebuje žádný český zákon – přesto se v Česku samostatný adaptační zákon připravuje. Pokud čekáte, až „vejde v platnost“, a teprve pak začnete řešit, kdo vás bude kontrolovat a v jakém jazyce máte mít návody, budete pozadu: část povinností z nařízení už běží, zatímco to, kdo přesně a jak bude v Česku dozorovat a co bude muset být česky, teprve dolaďuje návrh zákona. Tento článek obě roviny odděluje a říká, co si z nich máte odnést už dnes.

Jde o obecnou informaci, ne o individuální právní radu pro váš konkrétní produkt. U hraničních případů (produkt se vzdáleným zpracováním dat, prodej pod cizí značkou, starší produkt procházející úpravou) doporučujeme ověření u odborníka.

Co platí najisto už z nařízení samotného

CRA je nařízení (EU) 2024/2847, účinné bez ohledu na to, zda český adaptační zákon existuje. Nabylo platnosti 10. prosince 2024 a další data použitelnosti stanoví čl. 71.

Tři data – a každé patří jinam

Čl. 71 odst. 2 nařízení stanoví tři samostatná data použitelnosti, která se v praxi často zaměňují:

11. června 2026 – od tohoto data se používá kapitola IV (články 35 až 51), tedy pravidla pro oznamování subjektů posuzování shody (zkušeben). Toto datum se nejčastěji plete s hlášením zranitelností – jde ale o něco jiného.
11. září 2026 – od tohoto data se používá čl. 14, tedy povinnost hlásit aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty.
11. prosince 2027 – od tohoto data se používá nařízení jako celek, včetně základních kyberpožadavků přílohy I, technické dokumentace a označení CE.

Záměna těchto tří dat znamená, že firma buď hlásí o rok dřív, než musí, nebo se naopak o rok opozdí s povinností, která už reálně běží.

Hlášení zranitelností se týká i starých produktů

Povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty od 11. září 2026 (čl. 14) se vztahuje i na produkty uvedené na trh před 11. prosincem 2027 – tedy i na zboží, které už dávno prodáváte. Nejde tedy jen o novinky uváděné po nástupu plné použitelnosti nařízení. Tato konkrétní povinnost je z hlediska starých produktů výjimkou, ne pravidlem – neznamená, že na starší zboží dopadá už dnes celé nařízení jako celek.

Proč přesto potřebujete český zákon

Nařízení je přímo použitelné, ale samo si neurčí, kdo v konkrétním členském státě vykonává dozor nad trhem a kdo oznamuje Evropské komisi subjekty posuzování shody. Tyto role musí pojmenovat národní právo – a přesně to má udělat český adaptační zákon.

Stav návrhu

Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky prošel mezirezortním připomínkovým řízením od 3. do 30. července 2026 (gestor MPO, materiál dostupný na VeKLEP). Ke stavu srpen 2026 jde o návrh, nikoli o účinný předpis – konečná podoba, včetně přesného znění povinností a data účinnosti, se ještě může změnit. Kdo si na jeho základě staví soulad jako na hotové věci, staví na písku.

ČOI a sektorové orgány jako dozor nad trhem

Návrh počítá s tím, že hlavním dozorovým orgánem nad naprostou většinou trhu s produkty s digitálními prvky bude Česká obchodní inspekce, doplněná o sektorové orgány dozoru pro specifické kategorie zboží. To odpovídá modelu, který ČOI už zná z jiné regulace výrobků – jde ale o rozšíření její působnosti, ne o automatismus, a dokud zákon nenabude účinnosti, formálně tuto roli nemá.

NÚKIB jako oznamující orgán

Návrh dále svěřuje NÚKIB roli oznamujícího orgánu – tedy instituce, která posuzuje a Komisi oznamuje subjekty posuzování shody (zkušebny, které budou moci vydávat certifikáty pro produkty vyžadující notifikovanou osobu). Je to logické navázání na roli, kterou NÚKIB má i v jiných oblastech kybernetické bezpečnosti, ale i zde platí, že jde zatím jen o návrh.

Proč to má význam už teď

Kapitola IV nařízení (oznamování subjektů posuzování shody) se podle nařízení samotného používá už od 11. června 2026 – tedy dřív, než český zákon nabude účinnosti. Dokud ale národní zákon nepojmenuje, kdo je oznamujícím orgánem, nemá kdo v Česku zkušebny formálně oznamovat Komisi. To je paradox přechodného období: evropské pravidlo už běží, ale vnitrostátní adresát role na ně teprve čeká na svůj zákon. Pro firmu to znamená, že se zatím nemá kam obrátit s žádostí o notifikaci podle českého práva – jen sledovat, kdy se to změní.

Co má znamenat čeština v návodech a dokumentaci

Návrh českého zákona počítá s tím, že pokyny pro uživatele, bezpečnostní informace, prohlášení o shodě a kontaktní údaje budou muset být v češtině. Nařízení CRA samo stanovuje, co má být v technické dokumentaci a v informacích pro uživatele obsaženo (mimo jiné popis produktu, posouzení rizik, SBOM, odůvodnění doby podpory), ale otázku jazyka typicky dolaďuje národní právo.

Praktický dopad, až zákon nabude účinnosti

Příklad: e-shop dováží chytré kamery od výrobce z jiného členského státu, s anglickým manuálem a anglickým prohlášením o shodě. Pokud návrh projde v podobě, kterou popisuje, bude muset být k dispozici i česká verze pokynů, bezpečnostních informací, prohlášení o shodě a kontaktních údajů. Odpovědnost za zajištění překladu bude záviset na tom, v jaké roli v dodavatelském řetězci jste. Dovozce podle nařízení ověřuje, že výrobce provedl posouzení shody, vypracoval technickou dokumentaci, opatřil produkt označením CE a viditelně uvedl konec podpory; distributor ověřuje, že CE je na místě a že výrobce i dovozce svým povinnostem dostáli. Ani jeden z nich se ale povinnostem nevyhne jen tím, že dokumentaci nepřeloží – to jde nad rámec toho, co CRA těmto rolím ukládá k ověřování, a jazykovou povinnost bude nutné splnit bez ohledu na to, kdo dokumentaci fyzicky připravil.

Kdy se z dovozce nebo distributora stává výrobce

Jedna věc mění, kdo jazykovou i veškerou další povinnost nese: pokud uvedete produkt na trh pod svým jménem nebo vlastní ochrannou známkou, stáváte se výrobcem se všemi povinnostmi podle čl. 13 a 14 nařízení – včetně dokumentace, kterou pak budete muset zajistit v požadovaném jazyce sami. Toto je ustanovení pro prodej pod vlastní značkou (private label, čl. 21); detailní rozbor přesahuje téma tohoto článku, zde jen konstatujme, že rozsah odpovědnosti se touto skutečností mění zásadně.

Sankce – a kdo je skutečně nese

Nařízení stanoví tři pásma pokut a je časté, že se druhé pásmo mylně přisuzuje jen dovozcům a distributorům.

Nejvyšší pásmo – až 15 000 000 EUR nebo odpovídající vyšší podíl celosvětového obratu – dopadá na porušení přílohy I (základní kyberpožadavky) a článků 13 a 14 (povinnosti výrobce k zabezpečení a hlášení).
Střední pásmo – až 10 000 000 EUR nebo 2 % celosvětového obratu – se váže na porušení článků 18 až 23, čl. 28, čl. 30 odst. 1 až 4, čl. 31 odst. 1 až 4, čl. 32 odst. 1 až 3 a čl. 33 odst. 5, a dále článků 39, 41, 47, 49 a 53. Mezi nimi jsou i povinnosti, které nese výrobce – EU prohlášení o shodě (čl. 28), označení CE (čl. 30), technická dokumentace (čl. 31) a postupy posuzování shody (čl. 32). Toto pásmo tedy není vyhrazeno jen dovozcům a distributorům.
Nejnižší pásmo – až 5 000 000 EUR nebo 1 % celosvětového obratu – za poskytnutí nepravdivých, neúplných nebo zavádějících informací orgánům.

Mikropodniky a malé podniky mají výjimku pouze z pokut za zmeškání 24hodinových lhůt hlášení – jinak na ně dopadají stejná pásma jako na ostatní role v řetězci.

Co teprve upřesní prováděcí akty a národní úprava

Kromě samotného zákona zůstává otevřená ještě jedna navazující otázka s přímým dopadem na menší firmy: zjednodušený formát vybraných prvků technické dokumentace podle přílohy VII nařízení sice mikropodnikům a malým podnikům umožňuje, ale podmiňuje ho formulářem, který má vydat Evropská komise prováděcím aktem. Ke stavu srpen 2026 tento formulář Komise ještě nevydala, takže úleva zatím není prakticky použitelná – nelze se na ni spoléhat, dokud formulář neexistuje. Obdobně zůstává otevřené i to, kdy budou moci produkty třídy I zůstat u interního posouzení shody bez notifikované osoby – závisí to na vydání harmonizovaných norem, které zatím chybí; tuto otázku ale řeší spíše téma klasifikace produktů než dozor a jazyk, kterým se věnuje tento článek.

Akční plán 30/60/90 dní

Do 30 dnů: Zjistěte, v jaké roli se ve svém dodavatelském řetězci nacházíte (výrobce, dovozce, distributor, nebo prodejce pod vlastní značkou) a zda váš produkt spadá pod CRA. Pokud si nejste jistí rozsahem svých povinností, ověřte to formou rychlé prověrky.
Do 30 dnů: Zajistěte funkční proces hlášení zranitelností podle čl. 14 – ať už u sebe, nebo u dodavatele. Lhůta 11. září 2026 se blíží a platí bez ohledu na to, jak dlouho je produkt na trhu.
Do 30 dnů: Zkontrolujte, v jakém jazyce máte dnes návody, bezpečnostní informace a prohlášení o shodě, a připravte podklady pro případný český překlad.
Do 60 dnů: Sledujte postup návrhu zákona na VeKLEP a u MPO – zejména definitivní přiřazení dozorové role ČOI a sektorovým orgánům a potvrzení role NÚKIB jako oznamujícího orgánu.
Do 60 dnů: Určete uvnitř firmy odpovědnou osobu pro komunikaci s ČOI a pro sledování bezpečnostních incidentů, a to i pro produkty uváděné na trh před hlavním datem použitelnosti nařízení.
Do 90 dnů: Připravte interní proces, který po nabytí účinnosti českého zákona rychle promítne jazykové požadavky (čeština v návodech, bezpečnostních informacích, prohlášení o shodě a kontaktních údajích) do vaší dokumentace.

Časté omyly

„Český zákon k CRA už platí, tak už teď musím mít návody česky.“ Není to tak – ke stavu srpen 2026 jde o návrh po mezirezortním připomínkovém řízení, nikoli o účinný předpis. Povinnosti aktuálně plynou jen z přímo použitelného nařízení CRA, které samo jazyk dokumentace nestanovuje.

„Kapitola IV od června 2026 znamená, že už musím hlásit zranitelnosti.“ Kapitola IV (články 35 až 51) upravuje oznamování subjektů posuzování shody, ne hlášení zranitelností. Povinnost hlásit aktivně zneužívané zranitelnosti a incidenty podle čl. 14 se používá až od 11. září 2026.

„Pokuty ve středním pásmu hrozí jen dovozcům a distributorům.“ Střední pásmo pokut (do 10 000 000 EUR nebo 2 % obratu) dopadá i na výrobce – konkrétně na porušení povinností týkajících se EU prohlášení o shodě, označení CE, technické dokumentace a postupů posuzování shody.

Zdroje

Nařízení Evropského parlamentu a Rady (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění – CELEX 02024R2847-20241120, https://publications.europa.eu/resource/celex/02024R2847-20241120
Nařízení (EU) 2024/2847, původní znění – CELEX 32024R2847, https://publications.europa.eu/resource/celex/32024R2847
Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, MPO, mezirezortní připomínkové řízení 3.–30. 7. 2026, VeKLEP – https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Nařízení CRA funguje bez transpozice a jeho klíčová data – 11. červen 2026 pro oznamování zkušeben, 11. září 2026 pro hlášení zranitelností, 11. prosinec 2027 pro hlavní povinnosti – běží bez ohledu na český zákon. Ten ale musí dodat to, co samo nařízení neurčuje: kdo v Česku vykonává dozor nad trhem (návrh počítá s ČOI a sektorovými orgány) a kdo oznamuje subjekty posuzování shody (návrh počítá s NÚKIB), a měl by nastavit i jazykové požadavky na návody, bezpečnostní informace, prohlášení o shodě a kontaktní údaje. Ke stavu srpen 2026 je tento zákon teprve návrhem po mezirezortním připomínkovém řízení – jeho konečná podoba se ještě může změnit, a proto je rozumné dokumentaci připravovat s předstihem, ale nespoléhat na konkrétní znění, dokud nebude schváleno. Pokud si nejste jistí, jaké povinnosti se na váš konkrétní produkt a roli vztahují, je rychlá prověrka rychlejší cestou k jistotě než čekání na finální text zákona.