Prodej pod vlastní značkou a CRA: kdy se stáváte výrobcem

Dovážíte routery, chytré zámky nebo IoT senzory a myslíte si, že odpovědnost za kybernetickou bezpečnost nesou jen výrobci v Asii? Nařízení o kybernetické odolnosti (Cyber Resilience Act, CRA) rozlišuje role v dodavatelském řetězci velmi přesně – a hranice mezi „jen dovážím“ a „stal jsem se výrobcem“ je tenčí, než by se zdálo. Tento článek je obecná informace, ne individuální právní rada – pro konkrétní produkt vždy ověřte aktuální stav u zdroje.

Text se drží úzce svého tématu: co musí ověřit dovozce a distributor a za jakých okolností se z nich podle čl. 21 a čl. 22 stává výrobce s plnou nebo částečnou odpovědností. Klasifikaci rizikových tříd, obsah SBOM nebo lhůty hlášení zranitelností řeší jiné články – zde je najdete jen tam, kde přímo souvisejí s rolí v řetězci.

Kdo je podle CRA dovozce a kdo distributor

CRA (nařízení (EU) 2024/2847) se vztahuje na produkty s digitálními prvky – tedy hardware nebo software s přímým či nepřímým datovým připojením (čl. 3 odst. 1, 2). Uvnitř dodavatelského řetězce pak rozlišuje čtyři role: výrobce, zplnomocněný zástupce, dovozce a distributor. Každá role nese jiný rozsah povinností.

Dovozce je ten, kdo uvádí na trh v EU produkt vyrobený mimo Unii. Distributor je každý další článek řetězce, který produkt dodává na trh, aniž by ho dovážel ze třetí země. Obě role mají primárně ověřovací, nikoli výrobní povinnosti – pokud ovšem nenastane jedna ze dvou situací popsaných níže, kdy se z nich stává výrobce.

Co musí ověřit dovozce před uvedením na trh

Dovozce před uvedením produktu na trh EU ověřuje, že výrobce provedl příslušný postup posouzení shody, vypracoval technickou dokumentaci, připojil označení CE, vydal EU prohlášení o shodě a viditelně uvedl datum konce podpory (čl. 19). Nejde o jednorázovou kontrolu při prvním dovozu – dovozce musí být schopen tyto skutečnosti doložit orgánu dozoru nad trhem kdykoli později.

Praktický důsledek: pokud dovážíte chytré kamery od výrobce mimo EU a ten vám nedodá EU prohlášení o shodě nebo technickou dokumentaci, nesmíte produkt uvést na trh – bez ohledu na to, že sami nic nevyrábíte ani neupravujete.

Co musí ověřit distributor

Distributor má povinnost užší, ale ne nulovou: ověřuje, že produkt nese označení CE a že výrobce i dovozce splnili své povinnosti (čl. 20). V praxi to znamená požadovat od dodavatele v řetězci doklad o shodě a v případě pochybností dodávku pozastavit.

Distributor i dovozce mají navíc shodnou povinnost reagovat na zjištěnou zranitelnost: zjistí-li ji, musí bez zbytečného odkladu informovat výrobce, a představuje-li produkt významné kybernetické bezpečnostní riziko, neprodleně informovat orgány dozoru nad trhem ve státech, kde produkt dodali na trh (čl. 19 odst. 5 pro dovozce, čl. 20 odst. 4 pro distributora). Tato povinnost běží nezávisle na tom, zda jste produkt sami vyvíjeli.

Kdy se z dovozce nebo distributora stává výrobce (čl. 21)

Čl. 21 pokrývá dvě odlišné situace najednou, a obě vedou ke stejnému, plnému rozsahu povinností: uvedení produktu na trh pod vlastní značkou a vlastní podstatnou změna produktu, kterou provede sám dovozce nebo distributor. V obou případech se stáváte výrobcem se všemi povinnostmi podle čl. 13 a 14 v plném rozsahu – tedy základní kyberpožadavky přílohy I, správa zranitelností, SBOM, politika koordinovaného zveřejňování i hlášení zneužívaných zranitelností a incidentů. Žádná z těchto dvou cest neomezuje povinnosti jen na „dotčenou část“ produktu – to je klíčový rozdíl oproti čl. 22, kterému se věnuje další kapitola.

Příklad 1 – vlastní značka

Český e-shop dováží chytré zámky od výrobce z Asie a prodává je pod vlastní značkou, s vlastním logem na krabici i v aplikaci. Podle čl. 21 se tím stává výrobcem – nestačí mu už jen ověřit, že dodavatel má CE a prohlášení o shodě. Musí sám zajistit soulad se základními požadavky přílohy I, vypracovat technickou dokumentaci, vydat EU prohlášení o shodě (čl. 28, 31) a od 11. září 2026 hlásit aktivně zneužívané zranitelnosti podle čl. 14 – i kdyby samotný hardware nikdy sám nenavrhoval.

Příklad 2 – vlastní úprava

Distributor síťových routerů před dalším prodejem sám upraví firmware – přidá vlastní VPN klienta a změní výchozí nastavení přístupu. I bez jakékoli změny značky jde o podstatnou změnu ve smyslu čl. 3 bodu 30, protože zásah ovlivňuje soulad se základními požadavky přílohy I. Protože úpravu provedl subjekt už zapojený v řetězci (distributor), spadá to pod čl. 21 – a povinnosti podle čl. 13 a 14 se na něj vztahují v plném rozsahu, ne jen na upravenou část produktu.

Rozhodovací vodítko

• Prodáváte produkt pod cizí značkou beze změny? Zůstáváte dovozcem nebo distributorem s ověřovací povinností podle čl. 19 nebo 20.
• Dáváte na produkt svou značku nebo ochrannou známku? Jste výrobce podle čl. 21, v plném rozsahu čl. 13 a 14 – bez ohledu na to, kdo produkt fyzicky navrhl.
• Provádíte na produktu sami jakoukoli podstatnou změnu před dalším prodejem (firmware, konfiguraci s bezpečnostním dopadem)? Také jste výrobce podle čl. 21, opět v plném rozsahu.
• Provede stejnou změnu až někdo jiný, kdo s produktem předtím jako dovozce ani distributor nepracoval? Pak jde o čl. 22 – viz další kapitola.

Když produkt upraví někdo mimo dodavatelský řetězec (čl. 22)

Jinou situaci řeší čl. 22: týká se osoby, která není výrobcem, dovozcem ani distributorem daného produktu, a přesto na něm provede podstatnou změnu a dodá jej na trh. I ona se považuje za výrobce – ale povinnosti podle čl. 13 a 14 na ni dopadají jen ohledně části produktu dotčené změnou, ledaže změna ovlivní kybernetickou bezpečnost produktu jako celku; pak dopadají na celý produkt (čl. 22 odst. 1 a 2).

Příklad: nezávislá servisní firma, která nebyla součástí původního dodavatelského řetězce daného produktu, odkoupí použité routery od koncových uživatelů, upraví jim firmware a prodá je dál jako repasované kusy. Vůči původnímu výrobci ani distributorovi nemá žádnou roli – přesto se svou úpravou stává výrobcem podle čl. 22, ale jen ve vztahu k upravené části, pokud zásah neohrozí bezpečnost routeru jako celku.

Pro dovozce a distributora, kteří produkt sami neupravují a jen ho dále prodávají beze změny, znamená čl. 22 hlavně jedno: provede-li podstatnou změnu až váš odběratel mimo váš vlastní řetězec, odpovědnost za ni nese on, ne vy – pokud jste produkt sami nezměnili.

Naproti tomu prosté přebalení, změna jazykové mutace návodu nebo logistická úprava obalu podstatnou změnou není – rozhoduje dopad na soulad se základními požadavky nebo na zamýšlený účel, ne kosmetický zásah.

Starší produkty a podstatná změna

Pro produkty uvedené na trh před 11. prosincem 2027 platí zvláštní pravidlo: řídí se požadavky CRA pouze tehdy, pokud od tohoto data projdou podstatnou změnou (čl. 69 odst. 2). Provede-li takovou změnu po tomto datu sám dovozce nebo distributor, stává se výrobcem podle čl. 21 pro celý produkt. Provede-li ji jiná osoba mimo řetězec, jde o čl. 22 s omezením na dotčenou část, ledaže je zasažena bezpečnost produktu jako celku.

Zvlášť pozor si dejte na jinou, časově dřívější povinnost: hlásit aktivně zneužívané zranitelnosti a závažné incidenty musí od 11. září 2026 i výrobci produktů, které byly na trhu uvedeny už dávno předtím (čl. 14 spolu s čl. 69 odst. 3). Pokud jste se tedy stali výrobcem podle čl. 21 nebo 22 ještě před tímto datem, povinnost hlášení podle čl. 14 se vás týká už od 11. září 2026, nikoli až od hlavního data použitelnosti.

Sledovatelnost dodavatelského řetězce

Každý hospodářský subjekt – tedy i dovozce a distributor, nejen výrobce – musí být schopen orgánu dozoru na žádost sdělit, kdo mu produkt dodal a komu jej dodal, pokud jsou tyto údaje k dispozici, a to po dobu deseti let od dodání v obou směrech (čl. 23 odst. 1 a 2). Tato povinnost běží bez ohledu na to, zda jste se stali výrobcem – týká se každé role v řetězci samostatně.

Jaké sankce hrozí dovozci a distributorovi

Sankční systém CRA rozlišuje pásma podle porušené povinnosti, ne podle role samotné. Nedodržení povinností dovozce a distributora podle čl. 19 až 22 spadá do pásma pokut až do výše 10 000 000 EUR nebo do výše 2 % celosvětového ročního obratu – stejné pásmo platí i pro řadu povinností výrobce mimo přílohu I a čl. 13, 14 (technická dokumentace, CE, postupy posuzování shody podle čl. 28, 30, 31, 32).

Vyšší pásmo se váže výhradně na porušení přílohy I a čl. 13 a 14 – tedy na samotné kybernetické zabezpečení produktu a hlášení zranitelností. Stanete-li se výrobcem podle čl. 21 nebo 22, právě do tohoto přísnějšího pásma se dostáváte. Poskytnutí nepravdivých informací orgánům dozoru pak podléhá nejnižšímu pásmu, do 5 000 000 EUR nebo do výše 1 % obratu. Mikropodniky a malé podniky mají výjimku pouze z pokut za zmeškání 24hodinových lhůt hlášení – ne z povinností samotných.

Pokud jste malým nebo mikropodnikem a stanete se výrobcem, můžete prvky technické dokumentace podle přílohy VII poskytnout ve zjednodušeném formátu – ten ale musí Komise stanovit prováděcím aktem. Ke dni 4. srpna 2026 Komise tento formulář dosud nevydala, takže výjimka není prakticky použitelná; sledujte její vydání u zdroje.

Co platí najisto od

Nařízení vstoupilo v platnost 10. prosince 2024. Od 11. června 2026 se použije kapitola IV (čl. 35 až 51) upravující oznamování subjektů posuzování shody – relevantní, pokud váš produkt jako výrobce bude vyžadovat zapojení notifikované osoby. Od 11. září 2026 platí povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty podle čl. 14 – a to i pro produkty uvedené na trh dávno předtím. Hlavní povinnosti včetně CE označení, přílohy I a ověřovacích povinností dovozce a distributora podle čl. 19 až 23 se použijí od 11. prosince 2027.

Staly-li jste se výrobcem podle čl. 21 nebo čl. 22 ještě před tímto datem, výše uvedený harmonogram na vás dopadá stejně jako na každého jiného výrobce – včetně dřívějšího data pro hlášení zranitelností.

Co teprve upřesní prováděcí akty (výhled)

Český adaptační zákon k CRA je ve fázi návrhu – Ministerstvo průmyslu a obchodu jej mezi 3. a 30. červencem 2026 předložilo do mezirezortního připomínkového řízení. Návrh počítá s dozorem České obchodní inspekce nad většinou trhu a se sektorovými orgány dozoru, s Národním úřadem pro kybernetickou a informační bezpečnost jako oznamujícím orgánem a s požadavkem na český jazyk u pokynů, bezpečnostních informací, prohlášení o shodě a kontaktních údajů. Finální podoba zákona se ještě může změnit – před rozhodováním o konkrétním produktu ověřte aktuální stav legislativního procesu.

Obdobně platí u zjednodušeného formuláře technické dokumentace pro mikropodniky a malé podniky: povinnost jej použít vznikne, teprve až Komise formulář prováděcím aktem vydá.

Akční plán 30/60/90 dní

1. Do 30 dní – projděte portfolio dovážených a distribuovaných produktů a u každého určete: prodáváte jej pod cizí, nebo pod vlastní značkou? Provádíte na něm sami jakoukoli úpravu (firmware, konfigurace, balení s funkčním dopadem) před dalším prodejem?
2. Do 30 dní – u produktů pod cizí značkou bez vlastních úprav si vyžádejte od výrobce EU prohlášení o shodě, technickou dokumentaci a doklad o označení CE. Chybí-li, produkt nedodávejte dál.
3. Do 60 dní – u produktů pod vlastní značkou nebo u těch, které sami upravujete, zahajte přípravu technické dokumentace a posouzení podle přílohy I, jako byste byli výrobcem podle čl. 21 – lhůta do prosince 2027 je kratší, než se zdá.
4. Do 60 dní – nastavte interní proces evidence dodavatelů a odběratelů pro každý produkt, abyste splnili desetiletou sledovatelnost podle čl. 23.
5. Do 90 dní – zaveďte proces, kterým distributor i dovozce bez zbytečného odkladu informují výrobce při zjištění zranitelnosti a mají jasno, kdy jde o významné riziko vyžadující hlášení orgánu dozoru.
6. Do 90 dní – pokud plánujete jakýkoli zásah do firmwaru nebo funkce produktu před prodejem, ověřte předem, zda nejde o podstatnou změnu podle čl. 3 bodu 30. Provádíte-li ji vy sami, počítejte s plným rozsahem povinností podle čl. 21, ne s omezenou odpovědností podle čl. 22, která platí jen pro osoby mimo váš dodavatelský řetězec.

Nejste-li si jistí, do které role podle CRA aktuálně patříte a co konkrétně u vašeho sortimentu ověřit, projděte si stav formou rychlé prověrky – ukáže, kde přesně stojíte.

Časté omyly

„Když dovážím produkt s CE, žádnou odpovědnost nemám.“ Nesprávně. Dovozce musí aktivně ověřit shodu, dokumentaci a označení CE ještě před uvedením na trh a musí to být schopen doložit orgánu dozoru kdykoli později – jde o samostatnou, sankcionovatelnou povinnost podle čl. 19.

„Vlastní logo na krabici je jen marketing, technicky se nic nemění.“ Nesprávně. Uvedení produktu pod vlastní značkou nebo ochrannou známkou z vás podle čl. 21 dělá výrobce se všemi povinnostmi podle čl. 13 a 14 – bez ohledu na to, že produkt sami nenavrhujete ani nevyrábíte.

„Úpravu firmwaru řeší dodavatel, mě se to netýká.“ Nesprávně, pokud úpravu provádíte vy sami jako dovozce nebo distributor před dalším prodejem. Jde-li o podstatnou změnu ve smyslu čl. 3 bodu 30, stáváte se výrobcem podle čl. 21 – a to v plném rozsahu čl. 13 a 14, ne jen ohledně upravené části. Omezení jen na dotčenou část platí podle čl. 22 výhradně tehdy, když stejnou změnu provede osoba mimo váš dodavatelský řetězec.

„Vlastní úprava produktu je mírnější režim než vlastní značka.“ Nesprávně. U vlastní úpravy provedené dovozcem nebo distributorem (čl. 21) je rozsah povinností stejný jako u vlastní značky – plný čl. 13 a 14 pro celý produkt. Omezení jen na dotčenou část je výsadou výhradně třetí osoby mimo řetězec podle čl. 22.

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění – CELEX 02024R2847-20241120, https://publications.europa.eu/resource/celex/02024R2847-20241120
• Nařízení (EU) 2024/2847, čl. 71 (data použitelnosti) – CELEX 32024R2847, https://publications.europa.eu/resource/celex/32024R2847
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, MPO, VeKLEP, https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Dovozce a distributor mají podle CRA především ověřovací povinnosti: dovozce kontroluje posouzení shody, dokumentaci, CE a konec podpory (čl. 19), distributor ověřuje CE a splnění povinností předchozích článků řetězce (čl. 20). Obě role se ale mění na výrobce, jakmile produkt uvedou na trh pod vlastní značkou nebo na něm sami provedou podstatnou změnu – v obou případech podle čl. 21 a v plném rozsahu čl. 13 a 14. Provede-li podstatnou změnu až osoba mimo váš dodavatelský řetězec (čl. 22), povinnosti dopadají jen na dotčenou část produktu, ledaže je zasažena bezpečnost celku. Sledovatelnost dodavatelského řetězce po dobu deseti let (čl. 23) a povinnost informovat výrobce a případně orgány dozoru při zjištění zranitelnosti (čl. 19 odst. 5, čl. 20 odst. 4) platí pro dovozce i distributora bez ohledu na to, zda se stanou výrobcem. Český adaptační zákon je zatím ve fázi návrhu – konkrétní podobu dozoru a jazykových požadavků ověřte před rozhodováním u zdroje.