Pokuty podle CRA: tři sankční pásma a kdo je riskuje

Nařízení o kybernetické odolnosti (CRA) váže sankce na konkrétní porušené ustanovení, ne na velikost firmy nebo dobrý úmysl. Stejná firma může za jedno pochybení skončit v pásmu do 10 milionů eur a za jiné v pásmu do 15 milionů eur – podle toho, které ustanovení porušila, ne podle toho, jak se sama označuje ve smlouvě s dodavatelem. Tento článek jde do detailu jen v tématu pokut: kolik, za co, kdo je nese a od kdy reálně hrozí. Jde o obecný výklad nařízení, ne o individuální právní radu pro váš konkrétní produkt.

Tři sankční pásma podle článku 64: kolik, za co

Čl. 64 nařízení (EU) 2024/2847 rozděluje sankce do tří pásem podle toho, jaké ustanovení bylo porušeno - nikoli podle role provinilého subjektu. To je klíčový rozdíl oproti zjednodušeným shrnutím, která pásma mylně spojují s nálepkou „výrobce vs. ostatní“.

Nejvyšší pásmo - 15 milionů eur nebo 2,5 % obratu

Pokuta až do 15 000 000 EUR nebo do 2,5 % celosvětového ročního obratu (platí vyšší z obou částek) hrozí za porušení základních kybernetických požadavků přílohy I a povinností podle čl. 13 a 14. Sem patří selhání v oblasti secure-by-default nastavení, chybějící SBOM (softwarový kusovník), absence politiky koordinovaného zveřejňování zranitelností (CVD), neexistující proces bezpečnostních aktualizací i nesplnění hlásicích povinností při aktivně zneužívané zranitelnosti nebo závažném incidentu.

Střední pásmo - 10 milionů eur nebo 2 % obratu

Pokuta až do 10 000 000 EUR nebo do 2 % obratu se váže na porušení čl. 18 až 23 (obecné povinnosti výrobce, dovozce a distributora včetně evidence dodavatelského řetězce), čl. 28 (EU prohlášení o shodě), čl. 30 odst. 1 až 4 (označení CE), čl. 31 odst. 1 až 4 (technická dokumentace), čl. 32 odst. 1 až 3 (postupy posuzování shody) a čl. 33 odst. 5 (zjednodušená dokumentace pro malé podniky), a dále na porušení čl. 39, 41, 47, 49 a 53. Toto pásmo tedy zdaleka není vyhrazeno „jiným rolím než výrobci“ - naopak, většina jmenovaných článků (28, 30, 31, 32, 33) jsou přímo povinnosti výrobce spojené s CE označením a dokumentací.

Nejnižší pásmo - 5 milionů eur nebo 1 % obratu

Pokuta až do 5 000 000 EUR nebo do 1 % obratu hrozí za poskytnutí nesprávných, neúplných nebo zavádějících informací notifikovaným osobám nebo orgánům dozoru nad trhem. Toto pásmo se týká kvality komunikace s úřady, ne samotného technického nesouladu produktu.

Kdo skutečně riskuje nejvyšší pokutu – role rozhoduje

Sankční pásmo se neváže na to, jak firmu nazýváte ve smlouvě, ale na to, jaké povinnosti jí nařízení skutečně ukládá.

Výrobce a private label

Standardní výrobce nese povinnosti podle přílohy I a čl. 13 a 14 - tedy plné riziko nejvyššího pásma. Stejné riziko ale přebírá i dovozce nebo distributor, který uvede produkt na trh pod vlastní značkou nebo provede jeho podstatnou změnu: podle čl. 21 se v takovém případě považuje za výrobce a vztahují se na něj čl. 13 a 14 v plném rozsahu. Podstatnou změnou se rozumí změna produktu po jeho uvedení na trh, která ovlivňuje soulad se základními požadavky přílohy I části I, nebo mění zamýšlený účel, pro nějž bylo provedeno posouzení.

Provede-li podstatnou změnu jiná osoba než výrobce, dovozce či distributor (typicky externí integrátor), řeší její postavení čl. 22: povinnosti podle čl. 13 a 14 se na ni vztahují jen ohledně dotčené části produktu – ledaže změna ovlivní kybernetickou bezpečnost produktu jako celku, pak ohledně celého produktu.

Dovozce a distributor

Čistý dovozce nebo distributor, který produkt nemění a neprodává pod vlastní značkou, ověřuje jen formální náležitosti – shodu s CE, technickou dokumentaci a prohlášení o shodě u dovozce, u distributora navíc splnění povinností výrobce a dovozce. Zanedbání této ověřovací role spadá pod čl. 18 až 23, tedy pod střední pásmo (10 milionů eur nebo 2 %) - nikoli pod nejvyšší. Riziko nejvyššího pásma se pro něj otevírá až ve chvíli, kdy se z něj podle čl. 21 stane výrobce.

Výjimky, které nejsou tak široké, jak se zdají

Malé a mikropodniky

Mikropodniky a malé podniky mají úlevu výslovně jen z pokut za zmeškání 24hodinových lhůt hlášení podle čl. 14 - tedy z lhůty pro včasné varování při aktivně zneužívané zranitelnosti nebo závažném incidentu. Na všechny ostatní povinnosti a jejich sankční pásma (nejvyšší, střední i nejnižší) se vztahují stejná pravidla jako pro velké firmy. Malá firma tedy může dostat plnou pokutu v nejvyšším pásmu za chybějící SBOM nebo neexistující proces bezpečnostních aktualizací – úleva se týká výhradně zmeškání konkrétní 24hodinové lhůty, ne pokut jako celku.

Otevřený zdrojový kód

Nezpeněžený open-source software je mimo věcnou působnost CRA. Osoba v roli „správce open-source softwaru“ (typicky nadace udržující projekt) má podle čl. 64 odst. 10 výslovně vyloučeny pokuty i povinnost CE označení. Pozor ale na hranici: jakmile stejný kód komerčně monetizujete nebo jej distribuujete jako součást placeného produktu, výjimka se přestává uplatňovat a nastupují běžné povinnosti výrobce.

Od kdy pokuty reálně hrozí – časová osa

Nařízení vstoupilo v platnost 10. prosince 2024, ale jednotlivé povinnosti – a tedy i vystavení sankcím za jejich porušení – nabíhají postupně ve třech vlnách podle čl. 71 odst. 2:

• Kapitola IV, čl. 35 až 51 (oznamování subjektů posuzování shody) - použitelná od 11. června 2026.
• Čl. 14 (hlášení aktivně zneužívané zranitelnosti a závažného incidentu) - použitelný od 11. září 2026, a to i pro produkty, které už byly na trhu dlouho před tímto datem.
• Zbytek nařízení včetně přílohy I, CE označení a technické dokumentace – použitelný od 11. prosince 2027.

Tady je důležitá asymetrie: obecné požadavky přílohy I dopadají na produkt uvedený na trh před 11. prosincem 2027 jen tehdy, projde-li po tomto datu podstatnou změnou. Povinnost hlásit zneužívanou zranitelnost podle čl. 14 je výjimkou z tohoto pravidla – ta se na starší produkty vztahuje bez ohledu na jakoukoli změnu, už od 11. září 2026. Firma, která spoléhá na to, že „CRA se jí týká až od roku 2027“, může být sankcionovatelná v nejvyšším pásmu už rok předtím – kvůli produktu, který dávno prodává beze změny.

Co platí najisto (přímá použitelnost bez transpozice)

CRA je nařízení, ne směrnice – výše sankčních pásem (15 milionů eur/2,5 %, 10 milionů eur/2 %, 5 milionů eur/1 %) je proto stanovena přímo textem nařízení a je přímo použitelná ve všech členských státech bez nutnosti české transpozice. Český zákon tyto stropy nemůže snížit ani zvýšit. Reálná vymahatelnost konkrétního pásma je ale vždy vázaná na datum použitelnosti té které povinnosti podle časové osy výše – stropy samy o sobě existují od vstupu nařízení v platnost, ale nastupují postupně spolu s povinnostmi, které chrání.

Co teprve upřesní český adaptační zákon (výhled)

Samotná výše pokut je daná nařízením, ale který orgán v Česku pokutu uloží a podle jakého procesního postupu, teprve upřesní národní adaptační zákon. Ten byl ve stavu návrhu s mezirezortním připomínkovým řízením probíhajícím od 3. do 30. července 2026 - počítal s dozorem České obchodní inspekce nad většinou trhu, sektorovými orgány pro zbytek a s Národním úřadem pro kybernetickou a informační bezpečnost jako oznamujícím orgánem pro notifikované osoby. Finální podoba zákona, včetně případných procesních detailů k ukládání pokut, se ještě může změnit – doporučujeme před rozhodováním ověřit aktuální stav u Ministerstva průmyslu a obchodu.

Reálné scénáře z praxe

Prodáváte chytré zámky nebo kamery pod vlastní značkou, dovezené od výrobce mimo EU, který je vyrábí podle vaší specifikace. Taková zařízení patří mezi důležité produkty třídy I. Protože je uvádíte na trh pod svým jménem, stáváte se podle čl. 21 výrobcem – přebíráte povinnosti podle čl. 13 a 14 (SBOM, bezpečnostní aktualizace, hlášení zranitelností) a jste vystaveni nejvyššímu sankčnímu pásmu, pokud tyto povinnosti nesplníte, bez ohledu na to, že fyzickou výrobu zajišťuje někdo jiný.

Naproti tomu prodáváte hotové routery cizí značky bez jakéhokoli zásahu do produktu nebo obalu – jste čistý distributor. Vaší povinností je ověřit, že produkt nese CE označení a že výrobce i dovozce splnili své povinnosti. Pokud toto ověření zanedbáte, hrozí vám pokuta ve středním pásmu podle čl. 18 až 23 - ne v nejvyšším, dokud produkt sami neměníte ani neprodáváte pod vlastní značkou.

Akční plán 30/60/90 dní

1. Do 30 dnů: U každého prodávaného produktu s digitálními prvky určete svou skutečnou roli – výrobce, dovozce, distributor, nebo subjekt prodávající pod vlastní značkou. Ověřte, zda u některého produktu neprovádíte podstatnou změnu (přebalení se změnou funkce, úprava firmwaru): u dovozce nebo distributora ji řeší čl. 21, u jiné osoby mimo dodavatelský řetězec čl. 22 - v obou případech na vás dopadají povinnosti výrobce podle čl. 13 a 14.
2. Do 60 dnů: Připravte interní proces a kontaktní místo pro hlášení zranitelností a incidentů podle čl. 14 - lhůty se váží k datu 11. září 2026, kdy se tato povinnost stává použitelnou, a platí i pro produkty dávno na trhu. Zaveďte evidenci dodavatelů a odběratelů, kterou musíte být schopni doložit orgánu dozoru po dobu deseti let.
3. Do 90 dnů: Zkontrolujte stav technické dokumentace, CE přípravy a smluvního zajištění s dodavateli před datem 11. prosince 2027. Sledujte finální podobu českého adaptačního zákona a určeného dozorového orgánu. Pokud si nejste jistí, do kterého sankčního pásma vaše role a produkt spadají, ověřte to formou rychlé prověrky.

Časté omyly

„Pokuty začnou hrozit až v prosinci 2027.“ Neplatí bezvýhradně – povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty podle čl. 14 je použitelná už od 11. září 2026, a to i pro produkty dávno uvedené na trh. Riziko nejvyššího sankčního pásma za porušení této povinnosti tedy existuje rok předtím, než nastoupí zbytek nařízení.

„Jsme malá firma, pokuty se nás netýkají.“ Úleva pro mikropodniky a malé podniky se vztahuje výhradně na pokuty za zmeškání 24hodinových lhůt hlášení podle čl. 14. Na ostatní povinnosti – včetně SBOM, bezpečnostních aktualizací nebo technické dokumentace – a jejich sankční pásma platí stejná pravidla jako pro velké firmy.

„Distributor nikdy nemůže dostat nejvyšší pokutu.“ Neplatí, pokud produkt prodává pod vlastní značkou nebo jej podstatně mění. V takovém okamžiku se podle čl. 21 stává výrobcem a přebírá jeho povinnosti podle čl. 13 a 14 - tedy i vystavení nejvyššímu sankčnímu pásmu. Pokud produkt jen ověřuje a přeprodává beze změny, zůstává ve středním pásmu podle čl. 18 až 23.

Zdroje

• Nařízení Evropského parlamentu a Rady (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění – CELEX 02024R2847-20241120: https://publications.europa.eu/resource/celex/02024R2847-20241120
• Nařízení Evropského parlamentu a Rady (EU) 2024/2847, původní znění – CELEX 32024R2847: https://publications.europa.eu/resource/celex/32024R2847
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, Ministerstvo průmyslu a obchodu (VeKLEP): https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Sankce podle CRA nejsou jedno číslo, ale tři samostatná pásma vázaná na konkrétní porušené ustanovení: nejvyšší (15 milionů eur nebo 2,5 % obratu) za porušení přílohy I a čl. 13 a 14, střední (10 milionů eur nebo 2 %) za porušení čl. 18 až 23 a souvisejících ustanovení o CE a dokumentaci, nejnižší (5 milionů eur nebo 1 %) za zavádějící informace vůči úřadům. Rozhoduje to, co skutečně děláte s produktem – dovozce nebo distributor, který prodává pod vlastní značkou nebo produkt podstatně mění, se podle čl. 21 stává výrobcem a přebírá i nejvyšší riziko. Úleva pro malé firmy se týká jen zmeškaných 24hodinových lhůt hlášení, ne pokut jako celku. Povinnost hlásit zranitelnosti podle čl. 14 - a s ní spojené riziko nejvyšší pokuty – je použitelná už od 11. září 2026, i pro produkty dávno na trhu; zbytek nařízení nastupuje od 11. prosince 2027. Kdo si dnes ověří svou roli a připraví hlásicí proces, vyhne se tomu nejdražšímu překvapení.