Pokuty podle CRA: tři sankční pásma a kdo je riskuje

Nařízení o kybernetické odolnosti (CRA) váže sankce na konkrétní porušené ustanovení, ne na velikost firmy nebo dobrý úmysl. Stejná firma může za jedno pochybení skončit v pásmu do 10 milionů eur a za jiné v pásmu do 15 milionů eur – podle toho, které ustanovení porušila, ne podle toho, jak se sama označuje ve smlouvě s dodavatelem. Tento článek jde do detailu jen v tématu pokut: kolik, za co, kdo je nese a od kdy reálně hrozí. Jde o obecný výklad nařízení, ne o individuální právní radu pro váš konkrétní produkt.

Tři sankční pásma podle článku 64: kolik, za co

Čl. 64 nařízení (EU) 2024/2847 rozděluje sankce do tří pásem podle toho, jaké ustanovení bylo porušeno - nikoli podle role provinilého subjektu. To je klíčový rozdíl oproti zjednodušeným shrnutím, která pásma mylně spojují s nálepkou „výrobce vs. ostatní“.

Nejvyšší pásmo - 15 milionů eur nebo 2,5 % obratu

Pokuta až do 15 000 000 EUR nebo do 2,5 % celosvětového ročního obratu (platí vyšší z obou částek) hrozí za porušení základních kybernetických požadavků přílohy I a povinností podle čl. 13 a 14. Sem patří selhání v oblasti secure-by-default nastavení, chybějící SBOM (softwarový kusovník), absence politiky koordinovaného zveřejňování zranitelností (CVD), neexistující proces bezpečnostních aktualizací i nesplnění hlásicích povinností při aktivně zneužívané zranitelnosti nebo závažném incidentu.

Střední pásmo - 10 milionů eur nebo 2 % obratu

Pokuta až do 10 000 000 EUR nebo do 2 % obratu se váže na porušení čl. 18 až 23 (zplnomocnění zástupci, povinnosti dovozců a distributorů, případy podle čl. 21 a 22 a evidence dodavatelského řetězce), čl. 28 (EU prohlášení o shodě), čl. 30 odst. 1 až 4 (označení CE), čl. 31 odst. 1 až 4 (technická dokumentace), čl. 32 odst. 1 až 3 (postupy posuzování shody) a čl. 33 odst. 5 (zjednodušená dokumentace pro malé podniky), a dále na porušení čl. 39, 41, 47, 49 a 53. Toto pásmo tedy zdaleka není vyhrazeno „jiným rolím než výrobci“ - naopak, většina jmenovaných článků (28, 30, 31, 32, 33) jsou přímo povinnosti výrobce spojené s CE označením a dokumentací.

Nejnižší pásmo - 5 milionů eur nebo 1 % obratu

Pokuta až do 5 000 000 EUR nebo do 1 % obratu hrozí za poskytnutí nesprávných, neúplných nebo zavádějících informací oznámeným subjektům (notifikovaným osobám) a orgánům dozoru nad trhem v reakci na jejich žádost. Toto pásmo se týká kvality komunikace s úřady, ne samotného technického nesouladu produktu.

Kdo skutečně riskuje nejvyšší pokutu – role rozhoduje

Sankční pásmo se neváže na to, jak firmu nazýváte ve smlouvě, ale na to, jaké povinnosti jí nařízení skutečně ukládá.

Výrobce a private label

Standardní výrobce nese povinnosti podle přílohy I a čl. 13 a 14 - tedy plné riziko nejvyššího pásma. Stejné riziko ale přebírá i dovozce nebo distributor, který uvede produkt na trh pod vlastní značkou nebo provede jeho podstatnou změnu: podle čl. 21 se v takovém případě považuje za výrobce a vztahují se na něj čl. 13 a 14 v plném rozsahu. Podstatnou změnou se rozumí změna produktu po jeho uvedení na trh, která ovlivňuje soulad se základními požadavky přílohy I části I, nebo mění zamýšlený účel, pro nějž bylo provedeno posouzení.

Provede-li podstatnou změnu jiná osoba než výrobce, dovozce či distributor (typicky externí integrátor), řeší její postavení čl. 22: povinnosti podle čl. 13 a 14 se na ni vztahují jen ohledně dotčené části produktu – ledaže změna ovlivní kybernetickou bezpečnost produktu jako celku, pak ohledně celého produktu.

Dovozce a distributor

Čistý dovozce nebo distributor, který produkt nemění a neprodává pod vlastní značkou, ověřuje jen formální náležitosti – shodu s CE, technickou dokumentaci a prohlášení o shodě u dovozce, u distributora navíc splnění povinností výrobce a dovozce. Zanedbání této ověřovací role spadá pod čl. 18 až 23, tedy pod střední pásmo (10 milionů eur nebo 2 %) - nikoli pod nejvyšší. Riziko nejvyššího pásma se pro něj otevírá až ve chvíli, kdy se z něj podle čl. 21 stane výrobce.

Výjimky, které nejsou tak široké, jak se zdají

Malé a mikropodniky

Mikropodniky a malé podniky mají úlevu výslovně jen z pokut za zmeškání 24hodinových lhůt hlášení podle čl. 14 - tedy z lhůty pro včasné varování při aktivně zneužívané zranitelnosti nebo závažném incidentu. Na všechny ostatní povinnosti a jejich sankční pásma (nejvyšší, střední i nejnižší) se vztahují stejná pravidla jako pro velké firmy. Malá firma tedy může dostat plnou pokutu v nejvyšším pásmu za chybějící SBOM nebo neexistující proces bezpečnostních aktualizací – úleva se týká výhradně zmeškání konkrétní 24hodinové lhůty, ne pokut jako celku. Při určení výše pokuty se ale zohlední všechny relevantní okolnosti, mimo jiné velikost a tržní podíl subjektu, zejména u mikropodniků a malých a středních podniků (čl. 64 odst. 5).

Otevřený zdrojový kód

Open-source software, který není dodáván na trh v rámci obchodní činnosti (typicky nezpeněžený), je mimo věcnou působnost CRA (čl. 2 odst. 1, čl. 3 bod 22). Osoba v roli „správce open-source softwaru“ (právnická osoba jiná než výrobce, podle recitálu 19 např. některé nadace) nese jen lehký režim podle čl. 24 a pokuty se na ni podle čl. 64 odst. 10 písm. b) nevztahují vůbec; označení CE na podporované produkty neumisťuje, protože nemá povinnosti výrobce (recitál 19). Pozor ale na hranici: jakmile stejný kód komerčně monetizujete nebo jej distribuujete jako součást placeného produktu, výjimka se přestává uplatňovat a nastupují běžné povinnosti výrobce.

Od kdy pokuty reálně hrozí – časová osa

Nařízení vstoupilo v platnost 10. prosince 2024, ale jednotlivé povinnosti nabíhají postupně ve třech vlnách podle čl. 71 odst. 2 (samotný sankční čl. 64 mezi dřívější výjimky nepatří a použije se od 11. prosince 2027):

• Kapitola IV, čl. 35 až 51 (oznamování subjektů posuzování shody) - použitelná od 11. června 2026.
• Čl. 14 (hlášení aktivně zneužívané zranitelnosti a závažného incidentu) - použitelný od 11. září 2026, a to i pro produkty, které už byly na trhu dlouho před tímto datem.
• Zbytek nařízení včetně přílohy I, CE označení a technické dokumentace – použitelný od 11. prosince 2027.

Tady je důležitá asymetrie: obecné požadavky přílohy I dopadají na produkt uvedený na trh před 11. prosincem 2027 jen tehdy, projde-li po tomto datu podstatnou změnou. Povinnost hlásit zneužívanou zranitelnost podle čl. 14 je výjimkou z tohoto pravidla – ta se na starší produkty vztahuje bez ohledu na jakoukoli změnu, už od 11. září 2026. Firma, která spoléhá na to, že „CRA se jí týká až od roku 2027“, tak může povinnost hlásit porušovat už rok předtím – u produktu, který dávno prodává beze změny. Pokutu za porušení spáchané před 11. prosincem 2027 ale podle dnešního stavu uložit nelze: sankční čl. 64 se podle čl. 71 odst. 2 použije až od tohoto data a návrh českého zákona počítá s přestupky od téhož dne.

Co platí najisto (přímá použitelnost bez transpozice)

CRA je nařízení, ne směrnice – výše sankčních pásem (15 milionů eur/2,5 %, 10 milionů eur/2 %, 5 milionů eur/1 %) je proto stanovena přímo textem nařízení a je přímo použitelná ve všech členských státech bez nutnosti české transpozice. Český zákon tyto stropy nemůže snížit ani zvýšit. Samotný čl. 64 se ale podle čl. 71 odst. 2 použije až od 11. prosince 2027 - dřívější použitelnost se týká jen čl. 14 a kapitoly IV, nikoli sankcí. Konkrétní přestupky a dozorový orgán navíc stanoví až český zákon, jehož návrh počítá s účinností od téhož dne.

Co teprve upřesní český adaptační zákon (výhled)

Samotná výše pokut je daná nařízením, ale který orgán v Česku pokutu uloží a podle jakého procesního postupu, teprve upřesní národní adaptační zákon. Ten byl ve stavu návrhu s mezirezortním připomínkovým řízením probíhajícím od 3. do 30. července 2026 - počítal s dozorem České obchodní inspekce nad většinou trhu, sektorovými orgány pro zbytek a s Národním úřadem pro kybernetickou a informační bezpečnost jako oznamujícím orgánem pro notifikované osoby. Finální podoba zákona, včetně případných procesních detailů k ukládání pokut, se ještě může změnit – doporučujeme před rozhodováním ověřit aktuální stav u Ministerstva průmyslu a obchodu.

Reálné scénáře z praxe

Prodáváte chytré zámky nebo kamery pod vlastní značkou, dovezené od výrobce mimo EU, který je vyrábí podle vaší specifikace. Taková zařízení patří mezi důležité produkty třídy I. Protože jste si je nechali vyrobit podle své specifikace a nabízíte je pod svým jménem, jste výrobcem přímo podle definice v čl. 3 bodu 13 (dovozce nebo distributor, který cizí produkt uvede na trh pod svým jménem, se jím stává podle čl. 21) - nesete povinnosti podle čl. 13 a 14 (SBOM, bezpečnostní aktualizace, hlášení zranitelností) a jste vystaveni nejvyššímu sankčnímu pásmu, pokud tyto povinnosti nesplníte, bez ohledu na to, že fyzickou výrobu zajišťuje někdo jiný.

Naproti tomu prodáváte hotové routery cizí značky bez jakéhokoli zásahu do produktu nebo obalu – jste čistý distributor. Vaší povinností je ověřit, že produkt nese CE označení a že výrobce i dovozce splnili své povinnosti. Pokud toto ověření zanedbáte, hrozí vám pokuta ve středním pásmu podle čl. 18 až 23 - ne v nejvyšším, dokud produkt sami neměníte ani neprodáváte pod vlastní značkou.

Akční plán 30/60/90 dní

1. Do 30 dnů: U každého prodávaného produktu s digitálními prvky určete svou skutečnou roli – výrobce, dovozce, distributor, nebo subjekt prodávající pod vlastní značkou. Ověřte, zda u některého produktu neprovádíte podstatnou změnu (přebalení se změnou funkce, úprava firmwaru): u dovozce nebo distributora ji řeší čl. 21, u jiné osoby mimo dodavatelský řetězec čl. 22 - v obou případech na vás dopadají povinnosti výrobce podle čl. 13 a 14.
2. Do 60 dnů: Připravte interní proces a kontaktní místo pro hlášení zranitelností a incidentů podle čl. 14 - lhůty se váží k datu 11. září 2026, kdy se tato povinnost stává použitelnou, a platí i pro produkty dávno na trhu. Zaveďte evidenci dodavatelů a odběratelů, kterou musíte být schopni doložit orgánu dozoru po dobu deseti let.
3. Do 90 dnů: Zkontrolujte stav technické dokumentace, CE přípravy a smluvního zajištění s dodavateli před datem 11. prosince 2027. Sledujte finální podobu českého adaptačního zákona a určeného dozorového orgánu. Pokud si nejste jistí, do kterého sankčního pásma vaše role a produkt spadají, ověřte to formou rychlé prověrky.

Časté omyly

„Do prosince 2027 nemusíme nic řešit.“ Neplatí – povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty podle čl. 14 je použitelná už od 11. září 2026, a to i pro produkty dávno uvedené na trh. Sankční čl. 64 se sice použije až od 11. prosince 2027 a návrh českého zákona počítá s přestupky od téhož data, samotná povinnost hlásit ale platí už nyní.

„Jsme malá firma, pokuty se nás netýkají.“ Úleva pro mikropodniky a malé podniky se vztahuje výhradně na pokuty za zmeškání 24hodinových lhůt hlášení podle čl. 14. Na ostatní povinnosti – včetně SBOM, bezpečnostních aktualizací nebo technické dokumentace – a jejich sankční pásma platí stejná pravidla jako pro velké firmy.

„Distributor nikdy nemůže dostat nejvyšší pokutu.“ Neplatí, pokud produkt prodává pod vlastní značkou nebo jej podstatně mění. V takovém okamžiku se podle čl. 21 stává výrobcem a přebírá jeho povinnosti podle čl. 13 a 14 - tedy i vystavení nejvyššímu sankčnímu pásmu. Pokud produkt jen ověřuje a přeprodává beze změny, zůstává ve středním pásmu podle čl. 18 až 23.

Zdroje

• Nařízení Evropského parlamentu a Rady (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění – CELEX 02024R2847-20241120: https://publications.europa.eu/resource/celex/02024R2847-20241120
• Nařízení Evropského parlamentu a Rady (EU) 2024/2847, původní znění – CELEX 32024R2847: https://publications.europa.eu/resource/celex/32024R2847
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, Ministerstvo průmyslu a obchodu (VeKLEP): https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Sankce podle CRA nejsou jedno číslo, ale tři samostatná pásma vázaná na konkrétní porušené ustanovení: nejvyšší (15 milionů eur nebo 2,5 % obratu) za porušení přílohy I a čl. 13 a 14, střední (10 milionů eur nebo 2 %) za porušení čl. 18 až 23 a souvisejících ustanovení o CE a dokumentaci, nejnižší (5 milionů eur nebo 1 %) za nesprávné, neúplné nebo zavádějící informace poskytnuté na žádost notifikovaným osobám a orgánům dozoru. Rozhoduje to, co skutečně děláte s produktem – dovozce nebo distributor, který prodává pod vlastní značkou nebo produkt podstatně mění, se podle čl. 21 stává výrobcem a přebírá i nejvyšší riziko. Úleva pro malé firmy se týká jen zmeškaných 24hodinových lhůt hlášení, ne pokut jako celku. Povinnost hlásit zranitelnosti podle čl. 14 je použitelná už od 11. září 2026, i pro produkty dávno na trhu; zbytek nařízení včetně sankčního čl. 64 nastupuje od 11. prosince 2027. Kdo si dnes ověří svou roli a připraví hlásicí proces, vyhne se tomu nejdražšímu překvapení.