Tři třídy rizika CRA: kam patří váš produkt a co dělat

Než začnete řešit dokumentaci, testování nebo výběr certifikačního postupu podle CRA (nařízení (EU) 2024/2847), potřebujete odpovědět na jednu předchozí otázku: do jaké rizikové třídy váš produkt vůbec patří. Od toho se odvíjí, zda si posouzení shody uděláte interně, nebo budete nutně potřebovat notifikovanou osobu – a to je rozdíl, který se počítá na měsíce práce a na tisíce eur nákladů navíc. Tento text je obecná informace, ne individuální právní rada k vašemu konkrétnímu produktu.

Co platí najisto

Nařízení (EU) 2024/2847 vstoupilo v platnost 10. 12. 2024 (čl. 71). Povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty se použije od 11. 9. 2026, a to i pro produkty, které byly na trh uvedeny už dříve. Hlavní povinnosti – tedy i požadavek na CE značku a na správné zařazení do třídy – se použijí od 11. 12. 2027 (čl. 71 odst. 2).

Zvláštní režim platí pro kapitolu IV nařízení, která upravuje oznamování subjektů posuzování shody, tedy notifikovaných osob. Ta se použije už od 11. 6. 2026 – o rok a půl dříve než zbytek nařízení (čl. 71 odst. 2 druhý pododstavec). Nejde o náhodu: pokud má být pro důležité a kritické produkty od konce roku 2027 k dispozici dostatek notifikovaných osob s volnou kapacitou, musí systém jejich oznamování a akreditace naběhnout dřív.

Pro produkty, které jsou na trhu už teď, platí ochranná lhůta. Produkt uvedený na trh před 11. 12. 2027 se řídí požadavky CRA jen tehdy, pokud po tomto datu projde podstatnou změnou (čl. 69 odst. 2). Podstatnou změnou se rozumí zásah do produktu po jeho uvedení na trh, který ovlivní soulad se základními požadavky přílohy I části I, nebo který změní zamýšlený účel, pro nějž bylo posouzení shody původně provedeno (čl. 3 bod 30). Jinými slovy: běžná bezpečnostní záplata vás do režimu CRA nevrací, přepracování produktu pro nový účel ano. Jedna výjimka z ochranné lhůty ale existuje a je v praxi ta nejdůležitější: povinnosti hlášení podle čl. 14 se podle čl. 69 odst. 3 vztahují na všechny produkty spadající do působnosti nařízení, které byly uvedeny na trh před 11. prosincem 2027. Ochranná lhůta tedy hlášení nekryje.

Co teprve upřesní prováděcí akty (výhled)

Dva prvky klasifikačního systému dnes ještě nejsou hotové a přímo ovlivní, jak nákladné bude posouzení shody v praxi.

Prvním je stav opor, o které se u třídy I dá opřít interní posouzení. Podle čl. 32 odst. 2 zůstává modul A u důležitých produktů třídy I otevřený jen tehdy, uplatní-li výrobce v plném rozsahu jednu ze tří opor: harmonizované normy, společné specifikace, nebo evropské schéma certifikace kybernetické bezpečnosti alespoň na úrovni záruky „významná“ podle čl. 27. Neuplatní-li žádnou, uplatní-li ji jen zčásti, nebo žádná neexistuje, musí projít modulem B a navazujícím modulem C, anebo modulem H – tedy přes notifikovanou osobu. K 7. srpnu 2026 nebyla v Úředním věstníku citována žádná harmonizovaná norma k CRA, Komise nevydala společné specifikace podle čl. 27 odst. 2 ani akt v přenesené pravomoci podle čl. 27 odst. 9, který teprve určí, která evropská schémata certifikace lze k prokázání shody použít. Prakticky tedy dnes u třídy I není k dispozici ani jedna ze tří opor a modul A je zatím nedosažitelný.

Druhým je stav českého adaptačního zákona. Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky prošel mezirezortním připomínkovým řízením v roce 2026 a počítá s dozorem České obchodní inspekce pro naprostou většinu trhu, s Národním úřadem pro kybernetickou a informační bezpečnost jako oznamujícím orgánem pro notifikované osoby a s požadavkem na češtinu u pokynů, bezpečnostních informací a prohlášení o shodě. Jde o návrh, nikoli o účinný zákon – konečné znění se ještě může změnit.

Tři třídy rizika: kam se produkt zařazuje

Klasifikace podle CRA rozlišuje běžné produkty, důležité produkty rozdělené na třídu I a třídu II a kritické produkty. Zařazení posuzuje výrobce podle klíčové funkce produktu, kterou dále upřesňuje prováděcí nařízení (EU) 2025/2392 (čl. 7, 8 a přílohy III, IV nařízení).

Nejdřív brána působnosti, teprve pak třída

Zařazení do třídy má smysl řešit až u produktu, který vůbec spadá pod CRA. Čl. 2 vylučuje z působnosti nařízení zdravotnické prostředky podle nařízení (EU) 2017/745 a diagnostické prostředky in vitro podle nařízení (EU) 2017/746, produkty, na něž se vztahuje nařízení (EU) 2019/2144 o schvalování motorových vozidel, výrobky certifikované podle nařízení (EU) 2018/1139 v letectví a lodní výstroj podle směrnice 2014/90/EU. Stranou stojí i náhradní díly dodávané na trh k nahrazení totožných komponent a vyrobené podle stejných specifikací (odst. 6) a produkty vyvinuté výlučně pro účely národní bezpečnosti nebo obrany či určené ke zpracování utajovaných informací (odst. 7). Nařízením v přenesené pravomoci (EU) 2025/1535 Komise navíc vyloučila některé produkty spadající do působnosti nařízení (EU) č. 168/2013. U takového produktu se otázka třídy vůbec neotevírá.

Běžné produkty – výchozí kategorie

Naprostá většina softwaru a hardwaru s digitálními prvky spadá do této výchozí skupiny. Patří sem produkty, které nejsou vyjmenované v přílohách III ani IV – typicky běžné mobilní aplikace bez bezpečnostní funkce, kancelářský software nebo jednoduchá IoT zařízení bez řídicí či autentizační role v domácí síti. U běžných produktů zůstává posouzení shody v rukou výrobce formou interního posouzení (modul A), bez povinné účasti notifikované osoby.

Zvláštní postavení má nezpeněžený open-source software: mimo komerční nabídku stojí mimo CRA úplně, a „správce open-source softwaru“ – typicky nadace udržující knihovnu – má odlehčený režim bez povinnosti CE a bez pokut (čl. 24, čl. 64 odst. 10). Pokud ale stejný kód začnete komerčně distribuovat pod vlastní značkou, výjimka mizí.

Důležité produkty – třída I

Do třídy I patří mimo jiné VPN, správci hesel, antimalware, prohlížeče, operační systémy, routery a modemy pro připojení k internetu, produkty pro chytré domácnosti s bezpečnostní funkcí (chytré dveřní zámky, bezpečnostní kamery, systémy pro monitorování dětí, poplašné systémy), hračky připojené k internetu se sociálními interaktivními funkcemi nebo sledováním polohy a osobní výrobky k nošení, jejichž účelem je sledovat zdravotní stav a na něž se nevztahuje nařízení (EU) 2017/745 ani (EU) 2017/746, nebo osobní výrobky k nošení určené pro děti (příloha III, třída I). Společný jmenovatel: produkt buď spravuje přístup a hesla, brání útoku, nebo tvoří páteř domácí či firemní sítě.

Formálně u třídy I nařízení interní posouzení umožňuje, ale jen při plném uplatnění některé ze tří opor podle čl. 32 odst. 2 – harmonizovaných norem, společných specifikací, nebo evropského schématu certifikace alespoň na úrovni záruky „významná“. Jak bylo uvedeno výše, k 7. srpnu 2026 není k dispozici žádná z nich. Dokud se to nezmění, počítejte s notifikovanou osobou i tady.

Důležité produkty – třída II

Do třídy II patří hypervizory a systémy runtime kontejnerů, firewally a systémy detekce a prevence narušení, mikroprocesory odolné proti manipulaci a mikrořadiče odolné proti manipulaci (příloha III, třída II). U třídy II nabízí čl. 32 odst. 3 jen tři cesty a všechny vedou mimo samotného výrobce: modul B a navazující modul C, modul H, anebo – je-li k dispozici – evropský certifikát kybernetické bezpečnosti alespoň na úrovni záruky „významná“. Modul A tu nestačí. Jedinou výjimkou je svobodný software s otevřeným zdrojovým kódem: podle čl. 32 odst. 5 může jeho výrobce u produktů spadajících do kategorií přílohy III použít kterýkoli z postupů podle čl. 32 odst. 1, tedy i modul A, je-li technická dokumentace podle čl. 31 v okamžiku uvedení na trh veřejně přístupná.

Kritické produkty

Příloha IV je krátký uzavřený seznam tří položek: hardwarová zařízení s bezpečnostními schránkami; přístroje smart meter gateway v rámci inteligentních měřicích systémů podle čl. 2 bodu 23 směrnice (EU) 2019/944 a další přístroje pro účely zajištění větší bezpečnosti, mimo jiné pro bezpečné přijímání plateb v kryptoměně; a čipové karty nebo podobná zařízení včetně zabezpečených prvků. Shodu u nich prokazuje výrobce podle čl. 32 odst. 4 evropským schématem certifikace kybernetické bezpečnosti podle čl. 8 odst. 1 – a nebyl-li přijat příslušný akt v přenesené pravomoci podle čl. 8 odst. 1 (k 7. srpnu 2026 přijat nebyl), použijí se postupy podle čl. 32 odst. 3, tedy tytéž jako u třídy II. Přílohu IV může Komise aktem v přenesené pravomoci měnit (čl. 8 odst. 2), proto si u konkrétního produktu ověřte její aktuální znění.

Proč třída mění jen postup posouzení, ne základní povinnosti

Bez ohledu na třídu platí pro každý produkt s digitálními prvky týž základ – jen má dvě vrstvy, které se nesmějí slít do jedné. Nepodmíněný je bod 1 přílohy I části I: produkt musí být navržen, vyvinut a vyroben tak, aby zajišťoval odpovídající úroveň kybernetické bezpečnosti zohledňující rizika. Bod 2 téže části je naopak podmíněný – začíná slovy „na základě posouzení kybernetického bezpečnostního rizika podle čl. 13 odst. 2 jsou v příslušných případech produkty s digitálními prvky…“ a teprve pod ním stojí požadavky, které se běžně citují jako plošně povinné: dodání na trh bez známých zneužitelných zranitelností, ochrana před neoprávněným přístupem, ochrana důvěrnosti dat například šifrováním, omezení prostoru k útoku, ochrana dostupnosti proti útokům na odepření služby nebo bezpečnostní logování. Zda a jak na váš produkt dopadnou, rozhoduje právě posouzení rizik (čl. 13 odst. 3) – a pokud se některý z nich neuplatní, musíte to podle čl. 13 odst. 4 odůvodnit v technické dokumentaci. Není to tedy volba, ale doložené rozhodnutí.

Naopak plošně, bez podmínky posouzením rizik, platí pro každou třídu požadavky na řešení zranitelností z přílohy I části II: softwarový kusovník (SBOM) v běžně používaném strojově čitelném formátu obsahující přinejmenším nejdůležitější závislosti produktu (bod 1), politika koordinovaného zveřejňování zranitelností (bod 5), kontaktní adresa pro oznamování zranitelností (bod 6) a neprodlené a bezplatné šíření bezpečnostních aktualizací (bod 8; u produktu zhotoveného na zakázku se lze s podnikatelským uživatelem dohodnout jinak). Odděleně od funkčních aktualizací se bezpečnostní aktualizace poskytují tam, kde je to technicky možné (bod 2). Zpřístupnění SBOM samotným uživatelům je až na rozhodnutí výrobce – rozhodne-li se pro něj, musí v pokynech uvést, kde k SBOM uživatel získá přístup (příloha II bod 9).

Třída tedy nerozhoduje o tom, zda tyto povinnosti nesete – rozhoduje jen o tom, kdo posoudí, že jste je splnili. U běžných produktů to je výrobce sám. U třídy I to bude prakticky notifikovaná osoba, dokud nebude k dispozici některá ze tří opor podle čl. 32 odst. 2. U třídy II a kritických produktů je notifikovaná osoba, případně evropský certifikát alespoň na úrovni záruky „významná“, povinná vždy – s jedinou výjimkou pro svobodný software s otevřeným zdrojovým kódem v kategoriích přílohy III s veřejnou technickou dokumentací (čl. 32 odst. 5).

Doba podpory je dalším prvkem společným pro všechny třídy: nejméně pět let, a očekává-li se kratší používání produktu, odpovídá doba podpory očekávané době použití (čl. 13 odst. 8). Vydané bezpečnostní aktualizace musí zůstat dostupné nejméně deset let, nebo po zbytek doby podpory, je-li delší (odst. 9). Konec doby podpory musí být v době nákupu uveden jasně a srozumitelně, a to alespoň měsícem a rokem (odst. 19).

Kdo klasifikaci provádí a nese odpovědnost

Zařazení produktu do třídy plyne z jeho klíčové funkce (čl. 7 odst. 1) a odpovědnost za ně nese výrobce – stejně jako za posouzení kybernetických bezpečnostních rizik (čl. 13 odst. 2 až 4), technickou dokumentaci (čl. 31, příloha VII), EU prohlášení o shodě (čl. 28, přílohy V a VI) a umístění označení CE (čl. 30). Dovozce má užší roli – ověřuje, že výrobce posouzení shody skutečně provedl, že existuje technická dokumentace, CE značka, prohlášení o shodě a viditelný konec podpory (čl. 19). Distributor pak ověřuje CE značku a to, že výrobce i dovozce svým povinnostem dostáli (čl. 20). Pokud ale produkt uvedete na trh pod svým jménem nebo ochrannou známkou anebo u již uvedeného produktu provedete podstatnou změnu, jste podle čl. 21 považováni za výrobce a vztahují se na vás články 13 a 14 – včetně odpovědnosti za správné zařazení a za posouzení shody.

Praktické scénáře z české praxe

Prodáváte chytré zámky s aplikací pro vzdálené odemykání. Podle výslovného výčtu v příloze III jde o smart-home zařízení s bezpečnostní funkcí, produkt spadá do třídy I. Znamená to nutnost technické dokumentace, SBOM a v praxi i zapojení notifikované osoby, dokud nevzniknou harmonizované normy pro modul A.

Dovážíte jednoduché fitness náramky bez zdravotní funkce a bez role v zabezpečení sítě. Pokud nespadají do žádné položky přílohy III ani IV, zůstávají v běžné kategorii – posouzení shody zůstává na výrobci formou interního modulu A, ale základní požadavky přílohy I platí stejně jako u vyšších tříd.

Vyvíjíte firemní firewall pro malé pobočkové sítě. Firewally patří výslovně do třídy II – notifikovaná osoba, případně evropský certifikát alespoň na úrovni záruky „významná“, je zde povinná bez ohledu na budoucí vývoj harmonizovaných norem. Výjimku má jen svobodný software s otevřeným zdrojovým kódem, jehož technická dokumentace je při uvedení na trh veřejná (čl. 32 odst. 5).

Akční plán 30/60/90 dní

1. 0–30 dní. Sepište úplný seznam produktů s digitálními prvky, které vyvíjíte, dovážíte nebo prodáváte pod vlastní značkou. U každého ověřte, zda odpovídá některé položce v příloze III nebo IV podle klíčové funkce produktu.
2. 30–60 dní. U produktů, které vycházejí jako třída I, třída II nebo kritické, zjistěte aktuální stav harmonizovaných norem a dostupnost notifikovaných osob ve vašem oboru – s ohledem na to, že systém jejich oznamování běží už od poloviny roku 2026. Souběžně začněte sestavovat technickou dokumentaci a SBOM podle přílohy I části II, bez ohledu na to, do jaké třídy produkt spadá.
3. 60–90 dní. Pokud jste mikropodnik nebo malý podnik, sledujte, zda Komise již vydala prováděcím aktem formulář pro zjednodušenou technickou dokumentaci podle čl. 33 odst. 5 – k 7. srpnu 2026 vydán nebyl (ověřeno v rejstříku aktů navázaných na nařízení v Úředním věstníku), takže zjednodušený formát zatím není použitelný: kdo se pro něj rozhodne, musí použít právě tento formulář. Připravte smluvní ujednání s dovozci a distributory tak, aby jasně věděli, kterou třídu produktu ověřují. Otevřené otázky ke klasifikaci vašeho produktu prověřte formou rychlé prověrky.

Časté omyly

„Náš produkt není kritický, takže se nás CRA netýká.“ Neplatí. Základní kyberbezpečnostní požadavky přílohy I platí pro všechny produkty s digitálními prvky bez ohledu na třídu – klasifikace mění jen postup posouzení shody, ne to, zda povinnosti existují.

„Naše SaaS aplikace je mimo CRA, protože běží v cloudu.“ Čistě komerční SaaS bez potřeby konkrétního hardwaru skutečně stojí mimo (řeší jej NIS2), ale pokud je zpracování dat na dálku navržené výrobcem a produkt bez něj neplní svou funkci – typicky backend nebo API, na kterém aplikace závisí – spadá pod CRA stejně jako klasický software.

„Produkt třídy I zvládneme posoudit sami, nařízení to dovoluje.“ Nařízení to dovoluje jen při plném uplatnění harmonizovaných norem, společných specifikací, nebo evropského schématu certifikace alespoň na úrovni záruky „významná“ (čl. 32 odst. 2). K 7. srpnu 2026 není k dispozici ani jedna z těchto tří opor, takže pro třídu I bude v praxi nutná notifikovaná osoba, dokud se to nezmění.

„SBOM musíme dát k dispozici každému uživateli.“ Povinnost SBOM vytvořit platí bez výjimky pro všechny třídy. Zpřístupnit ho koncovým uživatelům je ale až na vašem rozhodnutí – pokud se pro to rozhodnete, musíte v pokynech uvést, kde k němu uživatel získá přístup, ne ho nutně publikovat veřejně.

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), CELEX 32024R2847 – https://publications.europa.eu/resource/celex/32024R2847
• Konsolidované znění nařízení (EU) 2024/2847, CELEX 02024R2847-20241120 – https://publications.europa.eu/resource/celex/02024R2847-20241120
• Prováděcí nařízení Komise (EU) 2025/2392 ze dne 28. listopadu 2025 o technickém popisu kategorií důležitých a kritických produktů s digitálními prvky, CELEX 32025R2392 – https://publications.europa.eu/resource/celex/32025R2392
• Nařízení Komise v přenesené pravomoci (EU) 2025/1535 (vyloučení některých produktů v působnosti nařízení (EU) č. 168/2013), CELEX 32025R1535 – https://publications.europa.eu/resource/celex/32025R1535
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, MPO, VeKLEP – https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Klasifikace podle CRA má tři patra, ale otevírají se až po bráně působnosti podle čl. 2: běžné produkty s interním posouzením shody, důležité produkty třídy I a II podle přílohy III (u třídy I zatím prakticky s notifikovanou osobou, protože není k dispozici žádná ze tří opor podle čl. 32 odst. 2, u třídy II vždy mimo výrobce) a kritické produkty podle přílohy IV, kde se postupuje podle čl. 32 odst. 4. Výjimku z povinné třetí strany má u kategorií přílohy III jen svobodný software s otevřeným zdrojovým kódem s veřejnou technickou dokumentací (čl. 32 odst. 5). Rozhoduje klíčová funkce produktu, kterou upřesňuje prováděcí nařízení (EU) 2025/2392. Základní kyberbezpečnostní požadavky přílohy I platí pro všechny tři skupiny stejně – třída mění jen to, kdo shodu posoudí, ne to, zda ji musíte prokázat. Uvnitř přílohy I ale nepodmíněně platí jen bod 1 části I a celá část II; požadavky bodu 2 části I se uplatní na základě posouzení rizik a v příslušných případech. Hlavní povinnosti se použijí od 11. 12. 2027, systém notifikovaných osob naběhne už od poloviny roku 2026 a povinnost hlásit zneužívané zranitelnosti platí od září 2026 i pro produkty dávno na trhu. Pokud si nejste jistí, kam váš produkt patří, využijte rychlou prověrku ještě před tím, než se pustíte do dokumentace nebo výběru notifikované osoby.