CRA od 11. září 2026: hlášení zranitelností i pro starší produkty

CRA už od 11. září 2026: hlášení zranitelností se týká i produktů dávno na trhu

Většina firem si CRA spojuje s datem 11. prosince 2027 – tehdy vstoupí v platnost hlavní povinnosti, CE značka a posouzení shody. Jenže jedna klíčová povinnost přichází o patnáct měsíců dříve: od 11. září 2026 musíte hlásit aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty – a to i u produktů, které jste uvedli na trh dávno před tímto datem.

Tento článek vysvětluje přesně, co tato povinnost obnáší, koho se týká, jaké jsou lhůty a co hrozí za jejich nedodržení. Nejde o budoucí plán – jde o konkrétní zákonný závazek s konkrétním datem.

Obecná informace, nikoli individuální právní rada. Pro posouzení situace vaší firmy doporučujeme rychlou prověrku.

---

Co platí najisto od 11. září 2026

Povinnost hlášení je první ze dvou vln CRA a platí pro všechny výrobce produktů s digitálními prvky bez ohledu na jejich velikost.

Nařízení (EU) 2024/2847 vstoupilo v platnost 10. prosince 2024. Čl. 71 odst. 2 stanoví, že povinnosti dle čl. 14 – tedy hlášení zranitelností a incidentů – se použijí od 11. září 2026. Čl. 69 odst. 3 pak výslovně říká, že tato povinnost dopadá i na produkty uvedené na trh před 11. prosincem 2027.

Jinými slovy: pokud dnes prodáváte chytrý zámek, router, aplikaci s vlastním backendem nebo průmyslový firmware, a 11. září 2026 zjistíte, že někdo aktivně zneužívá zranitelnost ve vašem produktu – máte 24 hodin na včasné varování.

Přesné lhůty hlášení (čl. 14 a čl. 16)

Pro aktivně zneužívanou zranitelnost:

• Do 24 hodin od zjištění: včasné varování příslušnému CSIRT a agentuře ENISA přes jednotnou oznamovací platformu.
• Do 72 hodin od zjištění: úplné oznámení s dostupnými technickými podrobnostmi.
• Do 14 dnů od okamžiku, kdy je k dispozici nápravné opatření: závěrečná zpráva.

Pro závažný incident (incident s dopadem na bezpečnost produktu):

• Do 24 hodin: včasné varování.
• Do 72 hodin: úplné oznámení.
• Do 1 měsíce od 72hodinového oznámení: závěrečná zpráva.

Souběžně s hlášením CSIRT a ENISA musíte informovat zasažené uživatele – bez zbytečného odkladu a způsobem, který jim umožní přijmout ochranná opatření.

---

Co teprve upřesní prováděcí akty (výhled)

Technická podoba jednotné oznamovací platformy podle čl. 16 a přesný formát hlášení nebyly k 7. srpnu 2026 finálně stanoveny – tyto detaily upřesní prováděcí akty Komise. Platforma přitom musí být provozuschopná k 11. 9. 2026, kdy nabíhá povinnost podle čl. 14. Sledujte aktualizace na stránkách ENISA a v Úředním věstníku EU; stav ověřte u zdroje.

Podobně český adaptační zákon (návrh MPO, mezirezortní připomínkové řízení 3. až 30. 7. 2026; k 7. srpnu 2026 nebyl vyhlášen ve Sbírce zákonů) upřesní, který orgán bude v ČR přijímat hlášení a v jakém jazyce. Podle návrhu má být oznamujícím orgánem NÚKIB, dozor pak zajistí primárně ČOI. Finální podoba zákona se může změnit – sledujte VeKLEP a web MPO.

---

Koho se povinnost hlášení týká

Povinnost dopadá na výrobce – tedy na toho, kdo produkt navrhuje, vyvíjí nebo nechává vyrobit pod vlastní značkou.

Produkty s digitálními prvky: co pod CRA spadá

Dle čl. 2 odst. 1 a čl. 3 odst. 1 a 2 nařízení jde o software nebo hardware s přímým či nepřímým datovým připojením. Konkrétně:

• Firmware pro IoT zařízení, průmyslové řídicí systémy, routery, chytré domácí přístroje.
• Mobilní aplikace a desktopový software, pokud komunikují se sítí.
• Cloudový backend nebo API, které výrobce navrhl jako nedílnou součást produktu a bez nichž produkt neplní svou hlavní funkci – tento vzdálený komponent pod CRA spadá (recitály 11 a 12).

Co pod CRA nespadá

• Čisté SaaS: pokud poskytujete jen cloudovou službu bez fyzického nebo softwarového produktu dodávaného zákazníkovi, CRA se na vás nevztahuje – tuto oblast řeší NIS2.
• Nezpeněžený open-source: software vydávaný bez komerčního záměru je mimo CRA (čl. 24). Správci open-source (nadace apod.) mají lehčí režim bez CE a bez pokut (čl. 64 odst. 10).

Dovozci a distributoři

Povinnost hlášení zranitelností leží primárně na výrobci. Dovozce dle čl. 19 ověřuje, že výrobce povinnosti plní, a distributor dle čl. 20 kontroluje CE a splnění povinností výrobce i dovozce (kdo prodává pod vlastní značkou nebo produkt podstatně změní, přebírá povinnosti výrobce – čl. 21 a 22). Pokud prodáváte produkt pod vlastní značkou nebo jste provedli podstatnou změnu produktu, přebíráte plné povinnosti výrobce – včetně hlášení zranitelností od 11. září 2026.

---

Praktický příklad: e-shop s chytrými zámky

Představte si, že prodáváte chytré zámky pod vlastní značkou – hardware nakupujete od asijského výrobce, firmware upravujete a distribuujete aktualizace přes vlastní server. Jste výrobce ve smyslu CRA.

1. září 2026 vám bezpečnostní výzkumník nahlásí, že útočníci aktivně zneužívají zranitelnost v autentizačním modulu vašeho firmwaru. Co musíte udělat:

1. Do 24 hodin: odeslat včasné varování příslušnému CSIRT a ENISA přes oznamovací platformu.
2. Do 72 hodin: odeslat úplné oznámení s technickými detaily.
3. Souběžně: informovat zákazníky, kteří mají zámek nainstalovaný, aby přijali ochranná opatření (např. dočasně deaktivovali vzdálený přístup).
4. Do 14 dnů od vydání záplaty: odeslat závěrečnou zprávu.

Pokud zámek patří do třídy I dle přílohy III (chytré zámky s bezpečnostní funkcí tam výslovně patří dle prováděcího nařízení (EU) 2025/2392), platí pro vás od prosince 2027 i přísnější požadavky na posouzení shody – ale povinnost hlášení máte už od září 2026.

---

Klasifikace produktů: na čem záleží od 2027

Třída produktu neurčuje, zda hlásíte zranitelnosti – to musí každý výrobce. Třída ale určuje náročnost posouzení shody od prosince 2027.

Dle čl. 7, 8 a příloh III a IV nařízení, upřesněných prováděcím nařízením (EU) 2025/2392:

• Běžné produkty (výchozí kategorie): interní posouzení shody, modul A.
• Důležité produkty třídy I: VPN, správci hesel, antimalware, prohlížeče, operační systémy pro spotřebitele, routery a modemy pro internet, chytré zámky, kamery, chůvičky, alarmy, hračky s internetem a sledováním, zdravotní a dětské wearables. Interní posouzení možné jen při plném uplatnění harmonizovaných norem – ty zatím nebyly vydány; jinak notifikovaná osoba.
• Důležité produkty třídy II: firewally, IDS/IPS systémy, hypervizory, tamper-resistant čipy. Vždy notifikovaná osoba.
• Kritické produkty (příloha IV): vždy notifikovaná osoba nebo evropská certifikace.

Harmonizované normy pro třídu I nebyly k 7. srpnu 2026 vydány – přesnou podobu upřesní prováděcí akty. Vedle nich zná čl. 32 odst. 2 ještě dvě cesty, jak se notifikované osobě vyhnout: společné specifikace a evropská schémata certifikace kybernetické bezpečnosti alespoň na úrovni záruky „významná“ podle čl. 27. Oznamovat subjekty posuzování shody lze přitom teprve od 11. 6. 2026, kdy začala platit kapitola IV nařízení.

---

Základní technické požadavky, které musíte splnit

Povinnost hlášení nestojí osamoceně – je součástí širšího rámce správy zranitelností, který CRA vyžaduje.

Příloha I část II a čl. 13 odst. 8 stanoví, že výrobce musí mít:

• Kontaktní místo pro příjem hlášení zranitelností od uživatelů a výzkumníků – nesmí být omezeno jen na automatizované nástroje (čl. 13 odst. 17).
• Politiku koordinovaného zveřejňování zranitelností (CVD) – postup, jak zranitelnosti přijímat, ověřovat a zveřejňovat.
• Strojově čitelný SBOM (soupis softwarových komponent) – abyste věděli, co váš produkt obsahuje a kde hledat zranitelnosti.
• Bezplatné bezpečnostní aktualizace distribuované bez zbytečného odkladu, oddělené od funkčních aktualizací (je-li to technicky možné), s bezpečnostními advisories.

Základní kyberpožadavky (příloha I část I, čl. 13 odst. 1–4) mají dvě různé modality. Nepodmíněný je bod 1: produkt musí být navržen, vyvinut a vyroben tak, aby zajišťoval odpovídající úroveň kybernetické bezpečnosti zohledňující rizika. Následující výčet – žádné známé zneužitelné zranitelnosti při uvedení na trh, secure-by-default konfigurace s možností resetu, ochrana autentizací, šifrování dat uložených i přenášených, minimalizace dat, omezení útočné plochy, odolnost proti DoS a bezpečné smazání dat – se podle návětí bodu 2 uplatní „na základě posouzení kybernetického bezpečnostního rizika podle čl. 13 odst. 2 … v příslušných případech“. Posouzení rizik tedy není formalita: rozhoduje o tom, které z těchto vlastností musí váš konkrétní produkt mít.

Doba podpory musí být zpravidla minimálně 5 let (čl. 13 odst. 8 a 9). Vydané bezpečnostní aktualizace musí zůstat dostupné minimálně 10 let nebo po zbytek doby podpory, podle toho, co je delší. Datum konce podpory (alespoň měsíc a rok) musí být viditelné již při nákupu (čl. 13 odst. 19).

---

Sankce: co hrozí za porušení

Za porušení povinnosti hlášení (čl. 14) hrozí nejvyšší sazba pokut v celém nařízení.

Dle čl. 64 nařízení:

• Porušení přílohy I a čl. 13 a 14: až 15 000 000 EUR nebo 2,5 % celosvětového ročního obratu (vyšší z obou hodnot).
• Porušení čl. 18 až 23, čl. 28, čl. 30 odst. 1 až 4, čl. 31 odst. 1 až 4, čl. 32 odst. 1 až 3, čl. 33 odst. 5 a čl. 39, 41, 47, 49 a 53: až 10 000 000 EUR nebo 2 % obratu (čl. 64 odst. 3). Nejde jen o role dovozce a distributora – patří sem i povinnosti výrobce k technické dokumentaci, prohlášení o shodě a posouzení shody.
• Poskytnutí nepravdivých informací orgánům: až 5 000 000 EUR nebo 1 % obratu.

Výjimka pro malé firmy: podle čl. 64 odst. 10 písm. a) se správní pokuty nevztahují na výrobce považované za mikropodniky nebo malé podniky, pokud jde o nedodržení lhůty podle čl. 14 odst. 2 písm. a) nebo čl. 14 odst. 4 písm. a) – tedy právě obou 24hodinových včasných varování. Nejsou však vyňaty z ostatních povinností ani z pokut za jejich porušení.

---

Akční plán 30/60/90 dní

Do 30 dnů

1. Zmapujte svůj produktový portfolio: které produkty mají datové připojení a vy jste jejich výrobce (nebo prodáváte pod vlastní značkou)?
2. Zjistěte, zda máte kontaktní místo pro příjem hlášení zranitelností – e-mail nestačí, pokud je plně automatizovaný.
3. Zkontrolujte, zda máte zdokumentovanou politiku CVD (koordinovaného zveřejňování zranitelností).

Do 60 dnů

1. Sestavte nebo ověřte SBOM pro každý dotčený produkt – potřebujete vědět, jaké komponenty váš produkt obsahuje.
2. Nastavte interní proces pro případ zjištění zranitelnosti: kdo rozhoduje, kdo hlásí, kdo komunikuje se zákazníky.
3. Ověřte, zda máte technické prostředky pro odeslání hlášení CSIRT a ENISA – sledujte aktualizace k jednotné oznamovací platformě.

Bez odkladu – lhůta 11. září 2026 už je za dveřmi

1. Proveďte simulaci: projděte celý proces hlášení nanečisto – od zjištění zranitelnosti po odeslání závěrečné zprávy.
2. Zkontrolujte, zda jsou zákazníci informováni o datu konce podpory vašich produktů (viditelně při nákupu).
3. Připravte šablony hlášení pro 24h varování, 72h oznámení a závěrečnou zprávu.
4. Sledujte vývoj českého adaptačního zákona (MPO/VeKLEP) a upřesnění oznamovacího orgánu v ČR.

---

Časté omyly

Omyl 1: „CRA se mě týká až od prosince 2027.“

Nepravda. Povinnost hlášení zranitelností platí od 11. září 2026 – a to i pro produkty, které jsou na trhu dnes. Čl. 71 odst. 2 a čl. 69 odst. 3 nařízení to říkají výslovně. Firmy, které čekají na rok 2027, riskují pokuty za porušení povinnosti hlášení.

Omyl 2: „Mám SaaS, CRA se mě netýká.“

Záleží na tom, co přesně poskytujete. Pokud zákazníkovi dodáváte software (aplikaci, firmware, plugin) a k tomu provozujete cloudový backend, bez nějž produkt nefunguje, tento backend pod CRA spadá. Čisté SaaS bez dodávaného produktu je mimo – ale hranice není vždy zřejmá a stojí za ověření.

Omyl 3: „Jsem malá firma, pokuty se mě netýkají.“

Výjimka pro mikropodniky a malé podniky se vztahuje jen na pokuty za zmeškání 24hodinových lhůt hlášení. Ostatní povinnosti – mít kontaktní místo, CVD politiku, hlásit v 72hodinové lhůtě, informovat uživatele – platí pro všechny výrobce bez ohledu na velikost. A pokuty za jejich porušení jsou plné.

---

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), CELEX 32024R2847: https://publications.europa.eu/resource/celex/32024R2847

- Čl. 2, 3: působnost a definice produktu s digitálními prvky

- Čl. 7, 8 + přílohy III, IV: klasifikace produktů

- Čl. 13: povinnosti výrobce, technické požadavky, doba podpory

- Čl. 14, 16: povinnosti hlášení zranitelností a incidentů

- Čl. 19–22: povinnosti dovozců a distributorů

- Čl. 24: open-source výjimka

- Čl. 28, 30, 31 + přílohy V–VII: technická dokumentace a CE

- Čl. 64: sankce

- Čl. 69 odst. 3: použití pro produkty uvedené před 11. 12. 2027

- Čl. 71 odst. 2: datum použitelnosti povinností hlášení (11. 9. 2026)

• Prováděcí nařízení (EU) 2025/2392: upřesnění klasifikace produktů třídy I a II
• Návrh českého adaptačního zákona (MPO, VeKLEP, 2026): https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

---

Shrnutí

Od 11. září 2026 platí pro všechny výrobce produktů s digitálními prvky povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty – a to i u produktů, které jsou na trhu dnes. Lhůty jsou přísné: 24 hodin na včasné varování, 72 hodin na úplné oznámení. Za porušení hrozí pokuty až 15 000 000 EUR nebo 2,5 % celosvětového obratu. Výjimka pro malé firmy je úzká a netýká se samotné povinnosti hlásit.

Hlavní povinnosti (CE, posouzení shody, technická dokumentace) přicházejí až v prosinci 2027 – ale na hlášení zranitelností čas nemáte. Začněte s kontaktním místem, CVD politikou a SBOM ještě letos.

Pro rychlé ověření, co konkrétně platí pro vaše produkty, využijte rychlou prověrku.