Cyber Resilience Act: klíčová data 2026–2027 a koho se týká

Cyber Resilience Act: klíčová data 2026–2027 a koho se týká

Pokud vyrábíte, dovážíte nebo prodáváte software, firmware nebo jakékoli připojené zařízení, Cyber Resilience Act (CRA) se vás týká – a první závazná povinnost platí už od 11. září 2026, tedy dříve, než si většina firem uvědomuje. Tento článek přesně odděluje, co platí najisto, co teprve upřesní prováděcí akty, a říká vám konkrétně, co udělat a do kdy.

*Obecná informace, nikoli individuální právní rada. Pro posouzení konkrétní situace vaší firmy doporučujeme odbornou konzultaci.*

Co je CRA a proč ho nelze ignorovat

CRA je nařízení (EU) 2024/2847 – přímo použitelné v celé EU bez nutnosti transpozice do národního práva. Vstoupilo v platnost 10. prosince 2024 (čl. 71 nařízení). Na rozdíl od směrnic nevyžaduje žádný český zákon, aby začal platit.

Český adaptační zákon byl k 30. září 2026 stále ve stavu návrhu (MPO, mezirezortní připomínkové řízení 3. až 30. 7. 2026); Poslanecké sněmovně k tomuto dni předložen nebyl. Stav si ověřte u zdroje. Jeho absence nic nemění na závaznosti nařízení samotného. Návrh upřesňuje zejména dozorové orgány – ČOI pro převažující část trhu, sektorové orgány pro zbytek, NÚKIB jako oznamující orgán – a jazykové požadavky: kontaktní údaje a informace a pokyny pro uživatele podle čl. 13 odst. 18 musí být v češtině (češtinu pro prohlášení o shodě zmiňuje jen důvodová zpráva). Finální podoba zákona se může změnit.

Tři data, která určují váš harmonogram

Celý CRA stojí na čtyřech pevných milnících (čl. 71 nařízení):

• 10. 12. 2024 – nařízení vstoupilo v platnost; začíná běžet přípravné období.
• 11. 6. 2026 – začíná platit kapitola IV (články 35 až 51), tedy oznamování subjektů posuzování shody. Toto datum se běžně vynechává, přitom je praktické: teprve od něj mohou vznikat notifikované osoby, na které se pak čeká u produktů třídy I a II.
• 11. 9. 2026 – povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty (čl. 71 odst. 2). Platí i pro produkty, které jsou na trhu již dnes.
• 11. 12. 2027 – hlavní povinnosti: CE značka, technická dokumentace, posouzení shody, správa zranitelností.

Nejčastější omyl: firmy si myslí, že mají čas do konce roku 2027 na vše. Hlášení incidentů je povinné již od září 2026 – a vztahuje se i na produkty uvedené na trh dávno před tímto datem (čl. 69 odst. 3 nařízení).

Koho se CRA týká: přesné vymezení působnosti

Produkty s digitálními prvky

CRA dopadá na každý software nebo hardware s přímým či nepřímým datovým připojením (čl. 2 odst. 1, čl. 3 odst. 1, 2 nařízení). Patří sem:

• Mobilní aplikace, desktopový software, firmware.
• Routery, chytré kamery, chytré zámky, chůvičky, alarmy.
• Hračky s internetovým připojením nebo funkcí sledování.
• Zdravotní a dětské wearables.
• Správci hesel, VPN, antimalware, prohlížeče, operační systémy.

Klíčový detail pro SaaS a cloudové aplikace: Čisté SaaS (software jako služba bez vlastního produktu) pod CRA nespadá – řeší ho NIS2. Ale pokud váš cloudový backend nebo API tvoří neodmyslitelnou součást produktu – tedy bez něj produkt neplní svou funkci – pak toto „zpracování dat na dálku“ pod CRA spadá (recitály 11, 12 nařízení).

Příklad: Prodáváte chytrou váhu s mobilní aplikací. Váha bez cloudového backendu nezobrazí historii měření ani nedoporučí jídelníček. Backend je součástí produktu – CRA se vztahuje na celý systém, včetně cloudu.

Kdo má jakou roli

Příklad pro e-shop: Dovážíte chytré reproduktory z Číny a prodáváte je pod vlastní značkou „SoundHome CZ“. Jste výrobce ve smyslu CRA – musíte zajistit posouzení shody, CE a veškerou dokumentaci sami.

Co je mimo CRA

• Nezpeněžený open-source software – software, který není dodáván na trh v rámci obchodní činnosti (zejména ho výrobce nezpeněžuje), je vyjmut z CRA (čl. 2 odst. 1, čl. 3 bod 22, recitál 18); správci open-source (právnické osoby jiné než výrobce, podle recitálu 19 např. některé nadace) mají lehký režim podle čl. 24 bez povinností výrobce, CE na podporované produkty neumisťují (recitál 19) a pokuty se na ně nevztahují (čl. 64 odst. 10 písm. b)). Pozor: pokud open-source komerčně integrujete do vlastního produktu, povinnosti výrobce se na vás vztahují plně.
• Produkty vyvinuté nebo upravené výlučně pro účely národní bezpečnosti nebo obrany a produkty speciálně určené ke zpracování utajovaných informací (čl. 2 odst. 7).
• Zdravotnické prostředky a diagnostické zdravotnické prostředky in vitro – nařízení (EU) 2017/745 a 2017/746 (čl. 2 odst. 2).
• Motorová vozidla podle nařízení (EU) 2019/2144 (čl. 2 odst. 2).
• Letecká technika certifikovaná podle nařízení (EU) 2018/1139 (čl. 2 odst. 3).
• Lodní výstroj podle směrnice 2014/90/EU (čl. 2 odst. 4).
• Vozidla kategorie L (dvoukolová a tříkolová vozidla a čtyřkolky) a systémy, konstrukční části, díly a zařízení pro ně podle nařízení (EU) č. 168/2013 – od 18. 11. 2025 je z CRA, a to i z hlášení podle čl. 14, vylučuje nařízení v přenesené pravomoci (EU) 2025/1535; vozidla kategorie L1e určená ke šlapání ale pod CRA zůstávají.
• Náhradní díly dodávané k nahrazení totožných komponent a vyrobené podle stejných specifikací (čl. 2 odst. 6).

Co platí najisto od 11. 9. 2026: hlášení incidentů

Od tohoto data musíte hlásit aktivně zneužívané zranitelnosti a závažné incidenty – a to i u produktů, které jste uvedli na trh před 11. 12. 2027 (čl. 14 + čl. 71 odst. 2 + čl. 69 odst. 3 nařízení).

Přesné lhůty hlášení

Aktivně zneužívaná zranitelnost (čl. 14 odst. 1–5 nařízení):

• Včasné varování: do 24 hodin od zjištění.
• Oznámení: do 72 hodin od zjištění.
• Závěrečná zpráva: do 14 dnů od okamžiku, kdy je k dispozici nápravné nebo zmírňující opatření.

Závažný incident (čl. 14 odst. 1–5 nařízení):

• Včasné varování: do 24 hodin od zjištění.
• Oznámení: do 72 hodin od zjištění.
• Závěrečná zpráva: do 1 měsíce od 72hodinového oznámení.

Hlášení směřuje současně koordinačnímu CSIRT a agentuře ENISA přes jednotnou oznamovací platformu. Zasažené uživatele musíte informovat také (čl. 14 odst. 8 + čl. 16 nařízení).

Výjimka pro mikropodniky a malé podniky: vztahuje se jen na pokuty za zmeškání 24hodinových lhůt. Všechny ostatní povinnosti hlášení – včetně 72hodinového oznámení a závěrečné zprávy – se na ně vztahují plně (čl. 64 nařízení).

Co platí najisto od 11. 12. 2027: hlavní povinnosti

Základní kybernetické požadavky

Při uvedení produktu na trh musíte zajistit (čl. 13 odst. 1–4 + příloha I část I nařízení). Pozor na rozdílnou modalitu: bod 1 části I je nepodmíněný („produkty musí být navrženy, vyvinuty a vyrobeny tak, aby zajišťovaly odpovídající úroveň kybernetické bezpečnosti zohledňující rizika“), zatímco následující výčet se podle návětí bodu 2 uplatní „na základě posouzení kybernetického bezpečnostního rizika podle čl. 13 odst. 2 … v příslušných případech“:

• Žádné známé zneužitelné zranitelnosti.
• Secure-by-default konfigurace s možností resetu do bezpečného stavu.
• Ochrana autentizací – silná hesla, vícefaktorová autentizace tam, kde je to vhodné.
• Šifrování uložených i přenášených dat.
• Minimalizace zpracovávaných dat.
• Omezení útočné plochy.
• Odolnost proti DoS útokům.
• Bezpečnostní logování.
• Bezpečné smazání a přenos dat.

Správa zranitelností po celou dobu podpory

Výrobce musí po celou dobu podpory zajistit (čl. 13 odst. 8 + příloha I část II nařízení):

• Strojově čitelný SBOM (Software Bill of Materials – soupis softwarových komponent).
• Politiku koordinovaného zveřejňování zranitelností (CVD).
• Kontaktní místo pro hlášení zranitelností – nesmí být omezeno jen na automatizované nástroje (čl. 13 odst. 17).
• Pravidelné testování bezpečnosti.
• Bezplatné bezpečnostní aktualizace distribuované bez zbytečného odkladu, oddělené od funkčních aktualizací (je-li to technicky možné), s bezpečnostními advisories.

Doba podpory a konec podpory

• Minimálně 5 let podpory – kratší jen u produktů s prokazatelně kratší očekávanou dobou užití (čl. 13 odst. 8, 9 nařízení).
• Vydané bezpečnostní aktualizace musí zůstat dostupné minimálně 10 let nebo po zbytek doby podpory, podle toho, co je delší.
• Datum konce podpory (alespoň měsíc a rok) musí být viditelné již při nákupu (čl. 13 odst. 19 nařízení).

Příklad: Prodáváte router s plánovanou dobou životnosti 3 roky. Musíte buď prodloužit podporu na 5 let, nebo prokázat, že 3 roky odpovídají skutečné očekávané době užití – a toto odůvodnění zahrnout do technické dokumentace.

Technická dokumentace a CE

Výrobce vypracuje (čl. 28, 30, 31 + přílohy V–VII nařízení):

• Technickou dokumentaci: popis produktu, posouzení rizik, SBOM, odůvodnění doby podpory, zprávy z testů.
• EU prohlášení o shodě.
• CE značku – u softwaru na prohlášení nebo webu.
• Dokumenty uchovává 10 let nebo po dobu podpory, je-li delší.

Klasifikace produktů: běžné, důležité, kritické

Třída produktu určuje náročnost posouzení shody (čl. 7, 8 + přílohy III, IV nařízení; prováděcí nařízení (EU) 2025/2392).

Běžné produkty (výchozí kategorie): interní posouzení shody – modul A.

Důležité – třída I: VPN, správci hesel, antimalware, prohlížeče, operační systémy, routery a modemy pro internet, produkty pro chytré domácnosti s bezpečnostní funkcí (chytré zámky, bezpečnostní kamery, systémy pro monitorování dětí, poplašné systémy), hračky připojené k internetu se sociálními interaktivními funkcemi (mluvení, natáčení) nebo se sledováním polohy, zdravotní a dětské wearables.

Důležité – třída II: Firewally, systémy detekce a prevence narušení (IDS/IPS), hypervizory a runtime kontejnerů, mikroprocesory a mikrořadiče odolné proti manipulaci.

Kritické (příloha IV): nejvyšší nároky, vždy notifikovaná osoba nebo evropská certifikace.

Co teprve upřesní prováděcí akty

Pro třídu I platí interní posouzení (modul A) pouze tehdy, pokud výrobce plně uplatní harmonizované normy, společné specifikace nebo evropská schémata certifikace kybernetické bezpečnosti alespoň na úrovni záruky „významná“ podle čl. 27. K 30. září 2026 nebyla v Úředním věstníku EU citována žádná harmonizovaná norma k CRA; do citace harmonizovaných norem (nebo do využití jiné z uvedených cest) vyžaduje třída I notifikovanou osobu. Kapacitu u ní je přitom možné poptávat teprve od 11. 6. 2026, kdy začala platit kapitola IV o jejich oznamování. Třída II a kritické produkty vyžadují notifikovanou osobu nebo evropskou certifikaci (čl. 32 odst. 3 a 4 + příloha VIII nařízení). Výjimka: svobodný software s otevřeným zdrojovým kódem z kategorií přílohy III (tedy třídy I i II, ne kritické produkty z přílohy IV) smí použít kterýkoli postup čl. 32 odst. 1 včetně interní kontroly (modul A), je-li jeho technická dokumentace v okamžiku uvedení na trh zpřístupněna veřejnosti (čl. 32 odst. 5). Přesné podmínky upřesní příslušné prováděcí akty – sledujte jejich vydání.

Rozhodovací vodítko:

• Pokud váš produkt nespadá do přílohy III ani IV → běžný produkt, interní posouzení.
• Pokud spadá do třídy I → připravte se na notifikovanou osobu, dokud nebudou vydány harmonizované normy (svobodný software s otevřeným zdrojovým kódem, jehož technická dokumentace je při uvedení na trh zpřístupněna veřejnosti, smí zvolit i interní kontrolu – čl. 32 odst. 5).
• Pokud spadá do třídy II nebo přílohy IV → notifikovaná osoba nebo evropská certifikace jsou povinné, s výjimkou svobodného softwaru s otevřeným zdrojovým kódem ve třídě II, jehož technická dokumentace je při uvedení na trh zpřístupněna veřejnosti (čl. 32 odst. 5).

Sankce: co riskujete

Sankce jsou nastaveny tak, aby bolely i velké firmy (čl. 64 nařízení, použitelný od 11. 12. 2027 podle čl. 71 odst. 2):

• Až 15 000 000 EUR nebo 2,5 % celosvětového obratu za porušení základních kybernetických požadavků (příloha I) a povinností výrobce (čl. 13, 14).
• Až 10 000 000 EUR nebo 2 % celosvětového obratu za porušení čl. 18 až 23, čl. 28, čl. 30 odst. 1 až 4, čl. 31 odst. 1 až 4, čl. 32 odst. 1 až 3, čl. 33 odst. 5 a čl. 39, 41, 47, 49 a 53 (čl. 64 odst. 3). Toto pásmo se netýká jen dovozců a distributorů – patří do něj i povinnosti výrobce ohledně technické dokumentace, prohlášení o shodě a postupu posuzování shody.
• Až 5 000 000 EUR nebo 1 % celosvětového obratu za poskytnutí nesprávných, neúplných nebo zavádějících informací oznámeným subjektům a orgánům dozoru v reakci na jejich žádost.

Mikropodniky a malé podniky mají výjimku jen z pokut za zmeškání 24hodinových lhůt hlášení. Všechny ostatní povinnosti – 72hodinové hlášení, CE, technická dokumentace, správa zranitelností – se na ně vztahují plně.

Akční plán 30/60/90 dní

Do 30 dnů: zmapujte, co máte

1. Sestavte seznam všech produktů (hardware, software, firmware), které vyrábíte, dovážíte nebo prodáváte pod vlastní značkou.
2. Pro každý produkt určete, zda má datové připojení (přímé nebo nepřímé) – pokud ano, CRA se pravděpodobně vztahuje.
3. Zjistěte svou roli: výrobce, dovozce, nebo distributor.
4. Identifikujte produkty třídy I nebo II podle přílohy III nařízení a prováděcího nařízení (EU) 2025/2392.
5. Spusťte rychlou prověrku pro orientační posouzení vaší situace.

Ihned: hlášení incidentů platí od 11. 9. 2026

1. Zaveďte interní proces pro detekci a klasifikaci bezpečnostních incidentů a zranitelností.
2. Určete odpovědnou osobu nebo tým pro hlášení – s jasnou eskalační cestou a zastupitelností.
3. Ověřte, zda máte technické nástroje pro detekci aktivně zneužívaných zranitelností ve vašich produktech.
4. Připravte šablony hlášení pro CSIRT a ENISA: 24hodinové varování, 72hodinové oznámení, závěrečná zpráva.
5. Zřiďte kontaktní místo pro příjem hlášení zranitelností od externích výzkumníků – musí být dostupné pro lidi, ne jen automatizované (čl. 13 odst. 17 nařízení).

Do 90 dnů: rozjeďte přípravu na 11. 12. 2027 (povinnost hlášení přitom platí už od 11. 9. 2026)

1. Zahajte posouzení rizik pro každý produkt v rozsahu požadovaném přílohou I nařízení.
2. Začněte sestavovat SBOM pro všechny produkty – ideálně automatizovaně z build pipeline.
3. Ověřte, zda vaše produkty splňují secure-by-default požadavky; kde ne, naplánujte konkrétní úpravy s termínem.
4. Zkontrolujte dobu podpory všech produktů – je datum konce podpory viditelné při nákupu?
5. Pro produkty třídy I a II začněte mapovat dostupné notifikované osoby a sledujte vydání harmonizovaných norem. Oznamovat subjekty posuzování shody lze podle čl. 71 odst. 2 teprve od 11. 6. 2026, takže kapacita bude zpočátku úzkým hrdlem.
6. Jste-li mikropodnik nebo malý podnik, sledujte také čl. 33 odst. 5: umožňuje poskytnout prvky technické dokumentace ve zjednodušeném formátu, ale jen na formuláři, který stanoví Komise prováděcím aktem. K 30. září 2026 tento formulář vydán nebyl, takže úleva zatím není prakticky použitelná.

Časté omyly

Omyl 1: „CRA se mě týká až od roku 2027.“

Nepravda. Povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty platí od 11. 9. 2026 – a vztahuje se i na produkty, které jsou na trhu již dnes (čl. 69 odst. 3 nařízení). Firmy, které procesy hlášení dosud nezavedly, riskují porušení povinnosti hlášení – pokuty podle čl. 64 se ale použijí až od 11. 12. 2027 (čl. 71 odst. 2).

Omyl 2: „Prodávám jen cizí produkty, takže mě CRA netýká.“

Záleží na detailech. Pokud prodáváte pod vlastní značkou nebo produkt podstatně upravíte, máte plné povinnosti výrobce (čl. 21, 22 nařízení). Pokud dovážíte ze třetí země, máte povinnosti dovozce – od 11. 12. 2027 musíte ověřit CE, dokumentaci a viditelný konec podpory (čl. 19 nařízení). Pouze čistý distributor produktů s CE od ověřeného výrobce má lehčí roli (čl. 20 nařízení).

Omyl 3: „Open-source software je vždy mimo CRA.“

Jen open-source, který není dodáván na trh v rámci obchodní činnosti (typicky nezpeněžený), je vyjmut (čl. 2 odst. 1, čl. 3 bod 22, recitál 18). Pokud open-source komerčně integrujete do vlastního produktu a prodáváte ho, stáváte se výrobcem a plné povinnosti CRA se na vás vztahují v plném rozsahu.

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), CELEX 32024R2847: https://publications.europa.eu/resource/celex/32024R2847
• Prováděcí nařízení (EU) 2025/2392 (technický popis kategorií důležitých a kritických produktů podle příloh III a IV), CELEX 32025R2392: https://publications.europa.eu/resource/celex/32025R2392
• Návrh českého adaptačního zákona (MPO, 2026): https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Cyber Resilience Act je přímo použitelné nařízení, které vstoupilo v platnost 10. 12. 2024; jeho ustanovení se ale používají postupně podle čl. 71 odst. 2 – kapitola IV od 11. 6. 2026, čl. 14 od 11. 9. 2026 a zbytek od 11. 12. 2027. Týká se každého, kdo vyrábí, dováží nebo prodává pod vlastní značkou software nebo hardware s datovým připojením. První tvrdá povinnost – hlášení incidentů a zranitelností – platí od 11. 9. 2026, a to i pro produkty již na trhu. Hlavní povinnosti včetně CE, technické dokumentace a správy zranitelností platí od 11. 12. 2027. Sankce dosahují až 15 000 000 EUR nebo 2,5 % celosvětového obratu – sankční čl. 64 se ale použije až od 11. 12. 2027. Čas na přípravu na prosinec 2027 je kratší, než se zdá – začněte zmapováním vlastního portfolia, a nemáte-li dosud procesy hlášení incidentů, zaveďte je hned.