SBOM, CVD a bezplatné aktualizace podle čl. 13 CRA

Tento text je obecná informace, ne individuální právní rada – u konkrétního produktu vždy počítejte s ověřením u odborníka. Cyber Resilience Act (nařízení (EU) 2024/2847, dále CRA) nechce po výrobcích jen certifikát a CE na krabici. Chce tři fungující provozní procesy: evidenci softwarových komponent (SBOM), kanál pro koordinované zveřejňování zranitelností (CVD) a systém bezplatných bezpečnostních aktualizací. Bez nich se posouzení shody nedá poctivě provést, ať zvolíte jakýkoli modul. Tento článek popisuje, co přesně tyto tři procesy podle čl. 13 a přílohy I části II obnášejí, dokdy je musíte mít funkční a co se stane, když nebudou.

Rozhodovací vodítko na úvod: pokud váš produkt má datové připojení – přímé nebo nepřímé, včetně software, který bez cloudového backendu neplní svou funkci – procesy podle čl. 13 se vás týkají, ať produkt vyrábíte sami, nebo ho jen dovážíte a přebalujete (čl. 2 a 3, recitály 11 a 12 nařízení). Čistě lokální hardware bez jakéhokoli datového rozhraní pod CRA nespadá – u hraničních případů to ale vždy ověřte ke konkrétnímu produktu.

Co přesně čl. 13 a příloha I část II vyžadují

Nařízení v čl. 13 odst. 8 a příloze I části II ukládá výrobci pět provázaných povinností: strojově čitelný soupis softwarových komponent (SBOM), politiku koordinovaného zveřejňování zranitelností (CVD), jednotné kontaktní místo pro hlášení zranitelností, pravidelné testování bezpečnosti produktu a bezplatné bezpečnostní aktualizace distribuované bez zbytečného odkladu, pokud možno oddělené od funkčních aktualizací, doprovázené bezpečnostními advisories.

Těchto pět povinností nejsou samostatné administrativní úkony – jsou to na sobě závislé kroky jednoho cyklu: SBOM řekne, co je v produktu; CVD řekne, jak se o zranitelnosti dozvíte; aktualizace řeší, jak ji opravíte u zákazníka. Kontaktní místo navíc nesmí být omezené jen na automatizované nástroje – uživatel si musí moci zvolit preferovaný způsob komunikace (čl. 13 odst. 17).

Kam patří SBOM a CVD v technické dokumentaci

SBOM a odůvodnění doby podpory jsou podle přílohy VII součástí technické dokumentace, kterou výrobce vypracovává a uchovává po dobu deseti let nebo po dobu podpory, je-li delší (čl. 28, 30, 31 a přílohy V až VII). Jde tedy o dokument, který musíte umět kdykoli předložit orgánu dozoru – nemusí ale automaticky ležet na veřejném webu.

SBOM: interní nástroj, ne vždy veřejný dokument

Zveřejnění SBOM uživatelům je podmíněné, ne automatické. Teprve pokud se výrobce rozhodne SBOM zákazníkům zpřístupnit, musí v informacích a pokynech pro uživatele uvést, kde k němu získají přístup (příloha II bod 9). Bez tohoto rozhodnutí zůstává SBOM interním nástrojem pro správu zranitelností a součástí technické dokumentace pro orgán dozoru.

To je časté nedorozumění: řada týmů si myslí, že musí SBOM publikovat na webu vedle prohlášení o shodě. Nemusí – ale musí ho mít, udržovat aktuální a umět rychle zjistit, jaké komponenty (včetně open-source knihoven) produkt obsahuje.

Co dělat, když zranitelnost najdete v cizí komponentě

Pokud výrobce zjistí zranitelnost v komponentě začleněné do produktu – včetně komponenty s otevřeným zdrojovým kódem – musí ji oznámit tomu, kdo danou komponentu vyrábí nebo udržuje, na řešení spolupracovat a případný opravený kód nebo dokumentaci maintainerovi předat (čl. 13 odst. 6). Toto pravidlo dává SBOM smysl: bez přesné evidence komponent nevíte, koho kontaktovat, až se zranitelnost objeví.

Příklad: provozujete e-shop postavený na vlastní aplikaci s cloudovým backendem, bez kterého appka neplní svou funkci – takový produkt pod CRA spadá. Backend používá open-source knihovnu pro zpracování plateb. Objeví se v ní zranitelnost. Podle čl. 13 odst. 6 ji musíte nahlásit správci té knihovny a přispět k opravě – nemůžete jen počkat, až problém vyřeší někdo jiný.

Nezpeněžený open-source software mimo komerční kontext je z CRA vyňatý a jeho správci (nadace, komunity) mají lehčí režim bez CE a bez pokut – to ale neruší vaši povinnost jako výrobce koncového produktu, který takovou komponentu využívá.

CVD: kanál, kterým se k vám dostane hlášení zvenčí

Politika koordinovaného zveřejňování zranitelností je proces, kterým bezpečnostní výzkumníci nebo uživatelé mohou nahlásit nalezenou zranitelnost dřív, než ji zneužije někdo jiný. Nařízení vyžaduje, aby k tomu existovalo jednotné kontaktní místo s volbou komunikačního kanálu – nesmí jít o pouhý automatizovaný formulář bez možnosti lidského kontaktu (čl. 13 odst. 17).

Je důležité nezaměňovat CVD s hlášením podle čl. 14 – to jsou dva různé směry toku informací. CVD je vstupní kanál (výzkumník nebo uživatel hlásí vám), čl. 14 je výstupní povinnost (vy hlásíte aktivně zneužívanou zranitelnost nebo závažný incident koordinujícímu CSIRT a agentuře ENISA přes jednotnou oznamovací platformu, s lhůtami 24 hodin na včasné varování, 72 hodin na oznámení a dále 14 dnů, respektive u incidentu jeden měsíc, na závěrečnou zprávu – čl. 14 odst. 1 až 5 a 8, čl. 16). Bez funkčního CVD kanálu se ale k informaci, kterou byste podle čl. 14 měli hlásit, často vůbec nedostanete.

Proč CVD potřebujete provozně dřív, než formálně musíte

Povinnost hlásit aktivně zneužívané zranitelnosti podle čl. 14 se použije od 11. září 2026, a to i pro produkty uvedené na trh dávno předtím (čl. 71 odst. 2 a čl. 69 odst. 3). Znamená to, že kanál, kterým se o zranitelnosti vůbec dozvíte, potřebujete funkční fakticky už k tomuto datu – i když samotná povinnost mít SBOM a formální CVD politiku podle přílohy I části II nastupuje až s hlavními povinnostmi CRA.

Bezplatné aktualizace: co „zdarma“ znamená a jak dlouho platí

Bezplatné bezpečnostní aktualizace musí být distribuovány bez zbytečného odkladu a pokud je to technicky možné, oddělené od funkčních aktualizací, spolu s bezpečnostními advisories (čl. 13 odst. 8, příloha I část II). Tam, kde to podle posouzení kybernetického bezpečnostního rizika podle čl. 13 odst. 2 přichází v úvahu, musí produkt navíc umožnit instalaci aktualizací automaticky, v přiměřeném časovém rámci jako výchozí nastavení, s jasným mechanismem výjimky, s oznámením o dostupnosti aktualizace a s možností instalaci dočasně odložit (příloha I část I bod 2 písm. c). Tahle podmínka není univerzální příkaz „vše musí být automatické“ – závisí na tom, co ukáže vaše posouzení rizika.

Jak dlouho podpora trvá

Doba podpory činí zpravidla minimálně pět let; kratší je přípustná jen u produktů s kratší očekávanou dobou užití. Jednou vydané bezpečnostní aktualizace ale musí zůstat dostupné minimálně deset let, nebo po zbytek doby podpory, podle toho, co je delší (čl. 13 odst. 8 a 9). Datum konce podpory – alespoň měsíc a rok – musí být viditelné už při nákupu (čl. 13 odst. 19).

Pokud výrobce ukončí činnost a v důsledku toho nebude schopen dále dodržovat CRA, musí ještě předtím, než ukončení nabude účinku, informovat příslušné orgány dozoru nad trhem a v co největší míře i uživatele dotčených produktů (čl. 13 odst. 23). Jinými slovy: „zdarma navždy“ neplatí, ale ani konec firmy vás nezbavuje povinnosti uživatele informovat.

Co platí najisto od kdy

Nařízení vstoupilo v platnost 10. prosince 2024. Hlavní povinnosti – tedy i SBOM, CVD a bezplatné aktualizace podle čl. 13 a přílohy I části II, spolu s CE – se použijí ode dne 11. prosince 2027. Z tohoto data existují dvě jisté výjimky: čl. 14 (hlášení aktivně zneužívaných zranitelností a závažných incidentů) se použije už od 11. září 2026, a kapitola IV, tedy notifikace subjektů posuzování shody (čl. 35 až 51), se použije od 11. června 2026 – to je ale organizační předstupeň pro certifikační infrastrukturu, ne povinnost, kterou byste jako výrobce plnili přímo.

Produkty uvedené na trh před 11. prosincem 2027 se řídí požadavky CRA jen tehdy, pokud po tomto datu projdou podstatnou změnou – tou se rozumí změna ovlivňující soulad se základními požadavky přílohy I části I, nebo změna měnící zamýšlený účel, pro nějž bylo provedeno posouzení (čl. 3 bod 30, čl. 69 odst. 2). Povinnost hlásit zneužívané zranitelnosti je z tohoto přechodného pravidla vyňatá a platí od září 2026 i pro starší produkty.

Pokud tedy váš produkt je dnes na trhu a do popisu podstatné změny nezasáhnete, formální povinnost mít hotový SBOM a CVD podle přílohy I části II vám naskočí až s hlavní vlnou CRA. Pokud ale u téhož produktu neumíte přijmout a vyhodnotit hlášení o zneužívané zranitelnosti, riziko porušení čl. 14 běží bez ohledu na to, kdy jste produkt uvedli na trh.

Když se private labelem stáváte výrobcem i vy

Dovozce nebo distributor se považuje za výrobce a vztahují se na něj čl. 13 a 14 – tedy přesně povinnosti SBOM, CVD a bezplatných aktualizací – pokud uvede produkt na trh pod svým jménem nebo ochrannou známkou, anebo provede jeho podstatnou změnu (čl. 21). Stejně tak se za výrobce považuje jakákoli osoba, která provede podstatnou změnu produktu a dodá ho na trh; její povinnosti se ale vztahují jen na tu část produktu, které se změna týká – ledaže změna ovlivní bezpečnost celého produktu (čl. 22 odst. 1 a 2).

Příklad: dovážíte chytré zámky z Asie a prodáváte je pod vlastní značkou ve vlastním obalu. Podle čl. 21 se stáváte výrobcem a povinnosti SBOM, CVD a bezplatných aktualizací padají na vás – nikoliv na původního asijského výrobce, se kterým jako spotřebitel nemá váš zákazník žádný kontakt.

Pokud naopak jen prodáváte cizí produkt pod jeho vlastní značkou beze změny, zůstáváte v roli distributora s povinností ověřovat, zda výrobce splnil požadavky – plnou odpovědnost výrobce na sebe nepřebíráte.

Sankce, pokud procesy chybí

Sankční pásma se liší podle toho, které ustanovení porušíte, a rozsah pásma odpovídá závažnosti povinnosti. Za porušení přílohy I nebo čl. 13 a 14 – tedy právě SBOM, CVD, kontaktní místo a bezplatné aktualizace – hrozí pokuta až do výše 15 000 000 EUR, nebo je-li vyšší, odpovídající podíl z celosvětového ročního obratu podle čl. 64 odst. 2. Za porušení dalších výrobcových povinností – EU prohlášení o shodě (čl. 28), CE (čl. 30 odst. 1 až 4), technická dokumentace (čl. 31 odst. 1 až 4) nebo postupy posuzování shody (čl. 32 odst. 1 až 3) – hrozí pokuta do 10 000 000 EUR nebo 2 % obratu (čl. 64 odst. 3). Za poskytnutí nepravdivých informací orgánům hrozí pokuta do 5 000 000 EUR nebo 1 % obratu.

Mikropodniky a malé podniky mají výjimku jen z pokut za zmeškání 24hodinových lhůt hlášení – ne z povinnosti mít SBOM, CVD a bezplatné aktualizace jako takové (čl. 64).

Co teprve upřesní prováděcí akty (výhled)

Mikropodniky a malé podniky smějí technickou dokumentaci podle přílohy VII poskytnout ve zjednodušeném formátu, pokud použijí formulář, který má stanovit Komise prováděcím aktem (čl. 33 odst. 5). K 4. srpnu 2026 Komise tento formulář ještě nevydala, takže výjimka zatím není prakticky použitelná – u malých provozů proto s ní zatím nepočítejte a připravte si dokumentaci v plném rozsahu. Stav ověřte před termínem, kdy budete dokumentaci reálně sestavovat.

Český adaptační zákon k CRA je k témuž datu ve stavu návrhu – ministerstvo průmyslu a obchodu jej v létě 2026 předložilo do mezirezortního připomínkového řízení. Návrh počítá s dozorem České obchodní inspekce nad většinou trhu, s Národním úřadem pro kybernetickou a informační bezpečnost jako oznamujícím orgánem a s požadavkem na české jazykové mutace pokynů a prohlášení o shodě. Finální podoba zákona se ještě může změnit – u konkrétní vnitrostátní povinnosti proto stav ověřte před nastavením interních procesů.

Akční plán 30/60/90 dní

1. Do 30 dnů: Sepište seznam všech produktů s digitálními prvky, které prodáváte nebo pod svou značkou přebalujete – u soukromé značky se totiž stáváte výrobcem se všemi povinnostmi čl. 13 a 14. Zjistěte, zda pro každý produkt máte alespoň interní přehled softwarových komponent. Zřiďte jednotné kontaktní místo s možností volby komunikačního kanálu, ne jen formulář.
2. Do 60 dnů: Sepište draft CVD politiky – jak přijímáte hlášení, kdo je vyhodnocuje, jak komunikujete se zasaženými uživateli. Nastavte proces sledování zranitelností v použitých komponentách včetně open-source knihoven a určete, koho budete v případě nálezu kontaktovat jako maintainera. Pro každý produkt stanovte dobu podpory a datum konce podpory, které bude viditelné při nákupu.
3. Do 90 dnů: Propojte CVD kanál s interním postupem pro rychlé posouzení, zda jde o aktivně zneužívanou zranitelnost vyžadující hlášení. Otestujte, zda umíte SBOM vygenerovat automaticky při buildu. Připravte technickou dokumentaci podle přílohy VII a projděte smlouvy s dovozci a distributory, abyste věděli, kdo v řetězci nese jaké povinnosti. Otevřené otázky k vašemu konkrétnímu produktovému portfoliu proberte formou rychlé prověrky.

Časté omyly

„SBOM musí být veřejně dostupný.“ Není to pravda – zveřejnění je na rozhodnutí výrobce. Povinné je SBOM mít, udržovat a umět předložit orgánu dozoru jako součást technické dokumentace.

„Aktualizace zdarma znamená navždy.“ Ne – doba podpory je zpravidla minimálně pět let (kratší jen u produktů s kratší očekávanou dobou užití), vydané aktualizace pak zůstávají dostupné minimálně deset let nebo po zbytek podpory, podle toho, co je delší. Poté podpora legálně končí, pokud je to uvedeno viditelně už při nákupu.

„Tyto procesy potřebuji řešit až v roce 2027.“ Hlavní povinnost SBOM, CVD a bezplatných aktualizací skutečně nastupuje s hlavními povinnostmi CRA od 11. prosince 2027. Ale kanál pro hlášení zranitelností a schopnost rychle reagovat na aktivně zneužívanou zranitelnost potřebujete fakticky funkční už od 11. září 2026, protože povinnost hlásit takové případy podle čl. 14 dopadá i na starší produkty na trhu.

„Menší firma má z těchto povinností výjimku.“ Mikropodniky a malé podniky mají výjimku jen z pokut za zmeškání 24hodinových lhůt hlášení – povinnost mít funkční SBOM, CVD a systém aktualizací se jich týká stejně jako velkých výrobců.

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění, zejména čl. 2, 3, 13, 14, 16, 19–23, 28, 30–33, 64, 69, 71 a přílohy I, II, V–VIII – CELEX 02024R2847-20241120, https://publications.europa.eu/resource/celex/02024R2847-20241120
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, MPO, mezirezortní připomínkové řízení, VeKLEP – https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

SBOM, CVD a bezplatné aktualizace nejsou tři samostatné položky na checklistu, ale jeden provozní cyklus, který požaduje čl. 13 a příloha I část II nařízení (EU) 2024/2847: vědět, co je v produktu, mít kudy přijmout hlášení o zranitelnosti a umět ji bezplatně opravit u zákazníka po celou dobu podpory. Hlavní povinnosti nastupují s celým nařízením od 11. prosince 2027, ale povinnost hlásit aktivně zneužívané zranitelnosti podle čl. 14 běží už od 11. září 2026, a to i pro produkty dávno na trhu – proto se funkční kanál a interní proces vyplatí mít dřív, než to zákon vyžaduje formálně. Kdo prodává pod vlastní značkou nebo produkt podstatně upravuje, se stává výrobcem se všemi těmito povinnostmi bez ohledu na to, kdo produkt původně vyrobil.