CRA: pět let podpory a viditelný konec podpory zboží

Kupujete router, chytrý zámek nebo aplikaci a nikde v popisu produktu nenajdete, do kdy výrobce slibuje bezpečnostní opravy. Nařízení o kybernetické bezpečnosti (CRA) tohle mění: stanovuje minimální dobu podpory a žádá, aby zákazník viděl datum jejího konce už ve chvíli, kdy se rozhoduje o koupi – ne až po letech užívání, kdy je pozdě cokoli řešit.

Tento text jde do detailu jen k jedné povinnosti nařízení (EU) 2024/2847 – k době podpory a jejímu zobrazení podle čl. 13 odst. 8, 9 a 19 – ne k celému CRA. Jde o obecnou informaci, ne o individuální právní radu; pro konkrétní produkt doporučujeme ověření u specialisty.

Co znamená „pět let podpory“ v čl. 13 CRA

Doba podpory je zpravidla minimálně pět let od uvedení produktu na trh. Kratší doba je přípustná jen tam, kde produkt sám o sobě má kratší očekávanou dobu užití – nejde o univerzální strop, který si výrobce zkrátí podle libosti.

Minimální doba a výjimka pro kratší životnost

Pětiletá hranice je výchozí pravidlo podle čl. 13 odst. 8 nařízení. Výjimka platí jen pro produkty, u nichž je kratší doba užití dána povahou věci – typicky sezónní nebo rychle obměňovaná elektronika. I tuto výjimku musí výrobce zdůvodnit v technické dokumentaci, jak popisujeme níže.

Deset let dostupnosti aktualizací – jiné číslo, jiný účel

Nezaměňujte dobu podpory s dostupností už vydaných aktualizací. Nařízení žádá, aby bezpečnostní aktualizace vydané během podpory zůstaly ke stažení minimálně deset let, nebo po zbytek doby podpory – podle toho, co je delší (čl. 13 odst. 9 nařízení). Jde o dvě různá čísla se dvěma různými funkcemi: pět let je horizont, po který výrobce aktivně vyvíjí opravy; deset let, případně déle, je archiv, ze kterého si uživatel starší opravu ještě může stáhnout.

Konec podpory viditelný už při nákupu

Datum konce podpory – alespoň ve formátu měsíc a rok – musí být viditelné už při nákupu (čl. 13 odst. 19 nařízení). V praxi to znamená uvést ho v popisu produktu na e-shopu, na obalu nebo na přiloženém štítku, ne až v manuálu, který zákazník otevře po rozbalení.

Co platí najisto od kdy

Hlavní povinnosti nařízení, mezi něž patří i požadavek na dobu podpory a viditelný konec podpory, se použijí od 11. prosince 2027 (čl. 71 odst. 2 nařízení). Od tohoto data je musí splňovat produkty uváděné na trh, včetně požadavku na CE a kompletní technickou dokumentaci.

Samostatně a dřív – od 11. září 2026 – běží povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty podle čl. 14 nařízení, a to i u produktů, které jsou na trhu už dnes (čl. 69 odst. 3). Jde o jinou povinnost s jiným datem; nezaměňujte ji s termínem pro dobu podpory. Kdo si tato dvě data prohodí, buď zbytečně řeší štítek s koncem podpory o rok dřív, než musí, nebo naopak zmešká hlášení zranitelnosti, které se ho týká už dnes.

Produkty uvedené na trh před 11. prosincem 2027 se řídí požadavky CRA – tedy i požadavkem na dobu podpory – jen tehdy, projdou-li od tohoto data podstatnou změnou (čl. 69 odst. 2 nařízení). Podstatnou změnou se rozumí zásah do produktu po jeho uvedení na trh, který ovlivňuje soulad se základními bezpečnostními požadavky, nebo mění zamýšlený účel, pro který bylo provedeno posouzení (čl. 3 bod 30 nařízení).

Co teprve upřesní prováděcí akty (výhled)

Dvě věci k tomuto tématu ještě nejsou uzavřené a obě se dotýkají praktické stránky dokládání doby podpory.

Mikropodniky a malé podniky smějí prvky technické dokumentace – včetně odůvodnění zvolené doby podpory – vykázat ve zjednodušeném formátu podle přílohy VII, musí k tomu ale použít formulář, který teprve stanoví Komise prováděcím aktem (čl. 33 odst. 5 nařízení). K 4. srpnu 2026 tento formulář Komise dosud nevydala, takže úleva zatím není prakticky využitelná. Než formulář vyjde, počítejte s plnou verzí dokumentace.

Druhou neuzavřenou věcí je český adaptační zákon, který k 4. srpnu 2026 existoval jen jako návrh v mezirezortním připomínkovém řízení – měl určit dozorový orgán (ČOI pro většinu trhu, NÚKIB jako oznamující orgán) a jazykové požadavky na pokyny a prohlášení o shodě. Konečná podoba zákona se ještě může změnit; stav před vydáním doporučujeme ověřit přímo u Ministerstva průmyslu a obchodu.

Koho povinnost zavazuje – i „jen“ prodejce

Povinnost stanovit dobu podpory a zobrazit konec podpory primárně nese výrobce. „Výrobcem“ se ale ve smyslu nařízení může stát i firma, která si o sobě myslí, že je jen dovozce nebo e-shop.

Private label dělá z dovozce výrobce

Uvedete-li produkt na trh pod vlastním jménem nebo ochrannou známkou, stáváte se výrobcem a vztahují se na vás čl. 13 a 14 nařízení v celém rozsahu – tedy i povinnost určit dobu podpory a zajistit její viditelnost při nákupu (čl. 21 nařízení).

Příklad z praxe: e-shop odebírá chytré zámky od výhradního dodavatele a prodává je pod vlastní značkou s vlastním logem na krabici i v aplikaci. Nejde o pouhý dovoz – jde o uvedení produktu na trh pod vlastním jménem, takže e-shop nese plnou odpovědnost výrobce: musí sám stanovit dobu podpory, zdůvodnit ji v technické dokumentaci a zajistit, že konec podpory uvidí zákazník už v popisu produktu.

Podstatná změna produktu má stejný účinek

Výrobcem se stává i osoba jiná než původní výrobce, dovozce nebo distributor, pokud provede podstatnou změnu produktu a dodá jej na trh – povinnosti jí ale dopadají jen na tu část produktu, které se změna týká, případně na celý produkt, pokud změna ovlivní jeho kybernetickou bezpečnost jako celek (čl. 22 odst. 1 a 2 nařízení). Typicky jde o firmu, která do zakoupeného hardwaru nahraje vlastní firmware s rozšířenou funkcionalitou.

Jak délku podpory stanovit a doložit

Volba délky podpory není libovolná – musí být součástí technické dokumentace, kterou výrobce vypracovává společně s popisem produktu, posouzením rizik, softwarovým kusovníkem a EU prohlášením o shodě, včetně odůvodnění, proč byla zvolena právě daná doba (čl. 28, 30, 31 a přílohy V až VII nařízení). Tuto dokumentaci je nutné uchovávat deset let, nebo po dobu podpory, je-li delší (čl. 11 odst. 11 nařízení, viz cra-011).

Rozhodovací vodítko: pokud váš produkt patří mezi běžnou elektroniku s očekávanou víceletou životností – router, chytrá zásuvka, aplikace – počítejte s plnou pětiletou podporou jako s výchozím standardem. Pokud jde o produkt se sezónní nebo jinak krátkou přirozenou životností, kratší dobu podpory zvažte, ale připravte si k ní písemné zdůvodnění dřív, než se na něj někdo zeptá.

Bezplatné aktualizace: co si pod tím představit

Během doby podpory musí výrobce zajistit bezplatné bezpečnostní aktualizace, distribuované bez zbytečného odkladu a oddělené od funkčních aktualizací, je-li to technicky možné, spolu s bezpečnostními advisories (čl. 13 odst. 8 a příloha I část II nařízení). Tam, kde to na základě posouzení kybernetického bezpečnostního rizika podle čl. 13 odst. 2 dává smysl, mají být aktualizace i automatické, s možností je dočasně odložit a s jasným upozorněním na jejich dostupnost (příloha I část I bod 2 písm. c) nařízení).

Součástí správy zranitelností je i strojově čitelný softwarový kusovník (SBOM), politika koordinovaného zveřejňování zranitelností a jednotné kontaktní místo, které nesmí být omezené jen na automatizované nástroje – uživatel si musí moci zvolit preferovaný způsob komunikace (čl. 13 odst. 17 nařízení). SBOM samotný ale výrobce zpřístupňuje uživatelům, jen pokud se k tomu sám rozhodne; povinnost mít jej v interní podobě je oddělená od povinnosti jej zveřejnit (příloha II bod 9 nařízení).

Když výrobce skončí dřív, než slíbil

Ukončuje-li výrobce činnost tak, že v jejím důsledku přestane být schopen CRA plnit, musí ještě před tím, než ukončení nabude účinku, informovat příslušné orgány dozoru nad trhem a v co největší míře i uživatele dotčených produktů (čl. 13 odst. 23 nařízení). Jde o povinnost oznámit konec, ne o záruku, že podpora poběží dál – slíbených pět let se tím nijak neprodlužuje ani jinak nezajišťuje.

Role dovozce a distributora při kontrole

I když primární odpovědnost nese výrobce, dovozce před uvedením produktu na trh ověřuje, že proběhlo posouzení shody, existuje technická dokumentace, je připojeno CE, existuje prohlášení o shodě a je viditelný konec podpory. Distributor ověřuje přítomnost CE a splnění povinností výrobce i dovozce (čl. 19, 20, 21, 22 nařízení). Zjistí-li dovozce nebo distributor zranitelnost produktu, musí o tom bez zbytečného odkladu informovat výrobce, a představuje-li produkt významné bezpečnostní riziko, neprodleně i orgány dozoru nad trhem v zemích, kde produkt dodali na trh (čl. 19 odst. 5 a čl. 20 odst. 4 nařízení).

Prakticky to znamená: pokud jako e-shop nakupujete hotové produkty od zahraničního výrobce a jen je distribuujete pod jeho značkou, kontrolujte při vstupu zboží na sklad, že popis produktu skutečně obsahuje konec podpory – je to jedna z mála věcí, které si můžete a máte ověřit ještě předtím, než produkt sami nabídnete zákazníkovi.

Sankce, které hrozí

Za porušení základních bezpečnostních požadavků přílohy I nebo povinností podle čl. 13 a 14 – mezi ně patří i doba podpory a viditelnost jejího konce – hrozí nejvyšší pásmo pokut nařízení: 15 000 000 EUR nebo odpovídající vyšší procento celosvětového obratu, podle toho, co je vyšší (čl. 64 nařízení). Za porušení povinností kolem technické dokumentace, CE, prohlášení o shodě nebo pravidel pro private label a podstatnou změnu (čl. 18 až 23, 28, 30, 31, 32, 33, 39, 41, 47, 49, 53) hrozí pokuta až 10 000 000 EUR nebo 2 % obratu. Za poskytnutí nepravdivých informací orgánům pak až 5 000 000 EUR nebo 1 % obratu.

Mikropodniky a malé podniky mají výjimku jen z pokut za zmeškání 24hodinových lhůt hlášení zranitelností – ne z povinnosti jako takové a ne z ostatních pásem pokut.

Akční plán 30/60/90 dní

1. Do 30 dní: Projděte katalog produktů a u každého označte, zda jste vy, nebo váš dodavatel, výrobcem ve smyslu CRA (vlastní značka, vlastní firmware = výrobcem jste vy).
2. Do 30 dní: U produktů, kde jste výrobcem, ověřte, zda máte písemně zdůvodněnou délku podpory a zda je toto zdůvodnění součástí technické dokumentace.
3. Do 60 dní: U produktů od cizích výrobců zkontrolujte, zda popis produktu na e-shopu i obal obsahují konec podpory alespoň ve formátu měsíc a rok; chybí-li, vyžádejte si údaj od dodavatele.
4. Do 60 dní: Nastavte proces, kterým dovozce nebo distributor u vás v týmu ověřuje viditelnost konce podpory ještě před naskladněním nového produktu.
5. Do 90 dní: Ověřte nastavení kontaktního místa pro hlášení zranitelností – musí umožnit uživateli zvolit si komunikační kanál, ne jen automatizovaný formulář.
6. Do 90 dní: Sledujte vydání prováděcího formuláře pro zjednodušenou dokumentaci mikro a malých podniků a stav českého adaptačního zákona u Ministerstva průmyslu a obchodu.
7. Průběžně: Rozsah vlastní expozice vůči CRA si ověřte formou rychlé prověrky, zvlášť pokud prodáváte produkty pod vlastní značkou.

Časté omyly

„Pět let podpory znamená, že po pěti letech přestanou fungovat i staré aktualizace ke stažení.“ Nejde o totéž – aktualizace vydané v době podpory musí zůstat dostupné minimálně deset let, nebo po zbytek doby podpory, podle toho, co je delší. Pět let je horizont vývoje nových oprav, ne horizont dostupnosti starých.

„Konec podpory stačí uvést v manuálu po rozbalení.“ Nařízení výslovně žádá, aby datum bylo viditelné při nákupu – tedy dřív, než zákazník zaplatí, ne až doma při čtení návodu.

„Jsme jen e-shop, výrobce je někdo jiný, tak se nás to netýká.“ Pokud prodáváte pod vlastní značkou nebo jste produkt jakkoli upravili – vlastní firmware, přebalení s vlastním nastavením – stáváte se výrobcem se všemi povinnostmi včetně stanovení a zobrazení konce podpory.

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění, čl. 13 odst. 8, 9, 17, 19, 23; čl. 14; čl. 19–23; čl. 28, 30–33; čl. 64; čl. 69 odst. 2 a 3; čl. 71 odst. 2; čl. 3 bod 30; příloha I část I bod 2 písm. c); příloha II bod 9 – CELEX 02024R2847-20241120: https://publications.europa.eu/resource/celex/02024R2847-20241120
• Nařízení (EU) 2024/2847, výchozí znění – CELEX 32024R2847: https://publications.europa.eu/resource/celex/32024R2847
• Ministerstvo průmyslu a obchodu ČR, návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky (VeKLEP, mezirezortní připomínkové řízení 3.–30. 7. 2026): https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Nařízení CRA žádá, aby produkty s digitálními prvky měly zpravidla minimálně pětiletou podporu, aby vydané bezpečnostní aktualizace zůstaly dostupné déle – nejméně deset let nebo po zbytek podpory, podle toho, co je delší – a aby datum konce podpory, alespoň ve formátu měsíc a rok, zákazník viděl už při nákupu. Tato povinnost je součástí hlavních požadavků nařízení účinných od 11. prosince 2027; produktů už dnes na trhu se týká jen při jejich podstatné změně po tomto datu. Prodáváte-li cizí produkt pod vlastní značkou nebo jej upravujete, stáváte se výrobcem se všemi povinnostmi včetně zdůvodnění a zveřejnění doby podpory. Sankce za porušení patří k nejvyšším v celém nařízení, proto se vyplatí ověřit stav katalogu s dostatečným předstihem, ne až v roce 2027.