Konec výroby softwaru: co oznámit podle CRA (čl. 13)

Rozhodli jste se ukončit vývoj softwarového produktu nebo celou produktovou řadu s digitálními prvky? Cyber Resilience Act (CRA) na tuto situaci pamatuje konkrétním ustanovením, o kterém se v přehledech CRA téměř nemluví – a přitom má vlastní adresáta, vlastní časování i vlastní sankční pásmo. Tento text se drží jen této jedné povinnosti: co musíte udělat ještě před tím, než ukončení nabude účinku, a komu to oznámit. Jde o obecnou informaci, ne o individuální právní radu – pro konkrétní situaci doporučujeme ověření u zdroje nebo formou rychlé prověrky.

Koho se povinnost týká

Povinnost dopadá na výrobce produktu s digitálními prvky – tedy softwaru nebo hardwaru s přímým či nepřímým datovým připojením (čl. 2 odst. 1, čl. 3 odst. 1 a 2 nařízení). Do působnosti spadá i čistě komerční software a firmware. Čisté SaaS řešení mimo CRA sice zůstává, ale pokud jde o zpracování dat na dálku, které výrobce sám navrhl a bez kterého produkt neplní svou funkci – typicky backend nebo API vaší aplikace – pod CRA spadá i ono (recitály 11 a 12 nařízení).

Pokud produkt uvádíte na trh pod vlastní značkou nebo jste na něm provedli podstatnou změnu, jste podle čl. 21 nařízení považováni za výrobce a vztahují se na vás povinnosti podle čl. 13 a čl. 14 – tedy i ta, o které je tento článek – bez ohledu na to, kdo produkt původně vyrobil. Podrobnosti k prodeji pod vlastní značkou přesahují téma tohoto textu.

Dvě povinnosti, které musíte splnit ještě před koncem

Nařízení ukládá výrobci, který ukončí činnost a v jejím důsledku nebude schopen dále dodržovat CRA, aby ještě předtím, než ukončení nabude účinku, splnil dvě věci současně (čl. 13 odst. 23 nařízení):

1. Informovat příslušné orgány dozoru nad trhem – bez výjimky, u všech dotčených produktů.
2. Informovat uživatele dotčených produktů v co největší míře – jde o povinnost vynaložit maximální rozumné úsilí, ne o záruku osobního kontaktu s každým jednotlivým uživatelem.

Proč je pořadí „ještě před koncem“ klíčové

Nařízení výslovně stanoví, že k oznámení musí dojít před tím, než ukončení nabude účinku – ne dodatečně, až firma přestane fungovat nebo produkt zmizí z nabídky. Plánujete-li ukončit produkt nebo činnost k určitému datu, oznámení orgánu dozoru i komunikace s uživateli musí tomuto datu předcházet, ne jej následovat.

Co znamená „ukončení činnosti, v jejímž důsledku nebudete schopni dodržovat CRA“

Text mluví o ukončení činnosti výrobce, které vede k neschopnosti dále plnit povinnosti CRA. Nařízení nespecifikuje, zda tím myslí výhradně zánik celé firmy, nebo i ukončení jedné produktové řady, pokud právě kvůli němu přestanete plnit povinnosti (například vydávat bezpečnostní aktualizace) k danému produktu. Bezpečnější přístup je počítat s oznamovací povinností i v druhém případě.

Rozhodovací vodítko:

• Pokud ukončujete jen jednu produktovou řadu a zbytek firmy běží dál, oznámení a komunikaci s uživateli připravte ve vztahu k dotčenému produktu – ne k celé firmě.
• Pokud ukončujete celou firmu nebo přestáváte poskytovat podporu ke všem produktům, oznámení a komunikace se týkají všech produktů, u kterých ještě neuplynula slíbená doba podpory.
• Pokud povinnosti k produktu přebírá jiný subjekt, který bude dále zajišťovat soulad s CRA (například při prodeji divize), nejprve ověřte, zda vy sami skutečně přecházíte do stavu, kdy nebudete schopni CRA dodržovat – oznamovací povinnost se váže právě na tuto neschopnost.

Kdy povinnost skutečně nastává

CRA je nařízení, tedy přímo použitelný předpis bez nutnosti transpozice do českého práva. Vstoupilo v platnost 10. prosince 2024, klíčová data použitelnosti jednotlivých povinností stanoví čl. 71 nařízení:

• Hlášení aktivně zneužívaných zranitelností a závažných incidentů podle čl. 14 se použije od 11. září 2026 – to je jiná povinnost než ta, o které je tento článek, a týká se bezpečnostních incidentů, ne konce podnikání.
• Hlavní povinnosti výrobce, mezi něž patří celý čl. 13 včetně odstavce 23 o ukončení činnosti, se použijí od 11. prosince 2027.

Do 11. prosince 2027 tedy oznamovací povinnost při ukončení činnosti formálně nenastává – nařízení sice existuje a je v platnosti, ale toto konkrétní ustanovení se ještě nepoužije. To ale neznamená, že se vyplatí čekat: plánujete-li ukončení produktu nebo činnosti kolem tohoto data nebo později, je rozumné mít proces oznámení a komunikace připravený s dostatečným předstihem už dnes.

Praktický scénář z české praxe

Příklad: menší česká firma vyvíjí mobilní aplikaci pro správu hesel, kterou distribuuje přes vlastní e-shop i přes obchody s aplikacemi. Podle klasifikace CRA jde o produkt třídy I podle přílohy III, upřesněné prováděcím nařízením (EU) 2025/2392 – správci hesel patří mezi produkty této třídy stejně jako VPN, antimalware nebo prohlížeče (čl. 7, 8 nařízení). Firma se po roce 2027 rozhodne aplikaci dále nevyvíjet a ukončit její podporu, protože se jí obchodně nevyplácí.

Než k ukončení dojde, musí:

• oznámit tento krok příslušnému orgánu dozoru nad trhem,
• v co největší míře informovat uživatele aplikace – typicky oznámením v aplikaci, e-mailem registrovaným uživatelům a informací na webu,
• zkontrolovat, zda ukončení nezasahuje do doby podpory, kterou uživatelům dříve slíbila.

Druhý příklad: totéž řešení, jiná struktura vlastnictví. Aplikaci vyvíjí dodavatel na Slovensku, ale firma ji prodává pod vlastní značkou přes český e-shop. V takovém případě je z hlediska CRA výrobcem právě ona – a povinnost oznámit ukončení činnosti (i všechny ostatní povinnosti podle čl. 13 a 14) by ji zastihla stejně, jako kdyby aplikaci vyvíjela sama.

Vazba na dobu podpory a evidenci dodávek

Ukončení činnosti nezbavuje výrobce dalších, samostatných povinností, které s CRA souvisejí a které tento text rozvíjí jen okrajově. Doba bezpečnostní podpory je zpravidla minimálně 5 let a vydané aktualizace musí zůstat dostupné minimálně 10 let nebo po zbytek doby podpory, podle toho, co je delší (čl. 13 odst. 8 a 9 nařízení). Každý hospodářský subjekt musí navíc být schopen orgánu dozoru na žádost sdělit, od koho produkt dostal, a – jsou-li tyto údaje k dispozici – komu ho dodal, a to po dobu deseti let od dodání v obou směrech (čl. 23 odst. 1 a 2 nařízení). Ukončení činnosti tuto evidenční povinnost samo o sobě neruší.

Sankce za nesplnění

Porušení povinností podle čl. 13 nařízení – kam patří i odstavec 23 o ukončení činnosti – spadá do nejvyššího sankčního pásma podle čl. 64 nařízení: pokuta až do výše 15 000 000 EUR, nebo je-li vyšší, odpovídající podíl z celosvětového ročního obratu. Do stejného pásma spadá i porušení čl. 14 a přílohy I; ostatní role a méně závažná porušení mají nižší pásma.

Výjimka pro mikropodniky a malé podniky se podle nařízení vztahuje jen na pokuty za zmeškání 24hodinových lhůt hlášení zranitelností podle čl. 14 – na oznamovací povinnost při ukončení činnosti se tedy nevztahuje a menší firmy z ní úlevu nemají.

Co platí najisto od prosince 2027

Od 11. prosince 2027 platí najisto: výrobce, který ukončí činnost a v jejím důsledku nebude schopen dále dodržovat CRA, musí před nabytím účinku tohoto ukončení informovat příslušné orgány dozoru nad trhem a v co největší míře i uživatele dotčených produktů (čl. 13 odst. 23 nařízení). Porušení spadá do nejvyššího sankčního pásma podle čl. 64 nařízení a žádná výjimka pro malé firmy se na něj nevztahuje.

Co teprve upřesní prováděcí předpisy a český zákon (výhled)

Nařízení neurčuje formu ani konkrétní kanál oznámení orgánu dozoru – jen kdo, komu a s jakým předstihem. Přesné určení příslušného orgánu v Česku má stanovit český adaptační zákon, který byl k srpnu 2026 ve stavu návrhu (mezirezortní připomínkové řízení probíhalo v červenci 2026). Návrh počítá s dozorem České obchodní inspekce nad většinou trhu a se sektorovými orgány pro zbytek, zatímco NÚKIB má být oznamujícím orgánem pro notifikované osoby posuzující shodu – tedy jinou rolí, než je dozor nad trhem. Finální znění zákona se ještě může změnit, proto konkrétního adresáta oznámení doporučujeme ověřit před samotným podáním u zdroje.

Akční plán 30/60/90 dní

1. 0–30 dní: Zmapujte, které vaše produkty spadají pod CRA jako produkty s digitálními prvky, a u kterých z nich reálně uvažujete o ukončení vývoje, podpory nebo celé produktové řady.
2. 0–30 dní: Ověřte u každého takového produktu, do jaké doby jste uživatelům slíbili bezpečnostní podporu, a zda plánované ukončení tento slib nenaruší.
3. 30–60 dní: Připravte text oznámení pro orgán dozoru nad trhem a komunikační plán pro uživatele (e-mail, oznámení v aplikaci, informace na webu) – s dostatečným předstihem před plánovaným datem ukončení.
4. 30–60 dní: Zkontrolujte, zda máte v pořádku evidenci dodavatelů a odběratelů daného produktu pro účely desetileté sledovatelnosti – ukončení činnosti tuto povinnost neruší.
5. 60–90 dní: Podejte oznámení orgánu dozoru nad trhem a spusťte komunikaci s uživateli – oboje ještě před tím, než ukončení nabude účinku.
6. 60–90 dní: Pokud vydáváte poslední bezpečnostní aktualizace, doplňte je bezpečnostním advisory a jasně uveďte datum konce podpory.
7. Nejste-li si jistí, zda se povinnost týká i vaší konkrétní situace (například ukončení jen jedné produktové řady nebo prodej divize jinému subjektu), ověřte to formou rychlé prověrky.

Časté omyly

„Stačí produkt přestat prodávat, nikoho informovat nemusím.“ Nařízení vyžaduje aktivní oznámení orgánu dozoru nad trhem ještě před ukončením – mlčení a prosté stažení z nabídky povinnost nesplní.

„Musím kontaktovat úplně každého uživatele osobně.“ Text ukládá informovat uživatele „v co největší míře“, tedy vynaložit maximální rozumné úsilí (e-mail, oznámení v aplikaci, web) – ne zaručit osobní kontakt s každým jednotlivým uživatelem. U orgánu dozoru naproti tomu žádná úleva neplatí.

„Je to totéž jako hlášení zranitelnosti do 24 hodin.“ Nejde o stejnou povinnost. Hlášení podle čl. 14 řeší bezpečnostní incidenty a zneužité zranitelnosti od 11. září 2026; oznámení podle čl. 13 odst. 23 řeší ukončení činnosti výrobce a nastupuje s hlavními povinnostmi od 11. prosince 2027.

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění – CELEX 02024R2847-20241120: https://publications.europa.eu/resource/celex/02024R2847-20241120
• Nařízení (EU) 2024/2847, čl. 13 odst. 23 (oznamovací povinnost při ukončení činnosti) a čl. 71 odst. 2 (data použitelnosti) – CELEX 32024R2847: https://publications.europa.eu/resource/celex/32024R2847
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, MPO, VeKLEP: https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Ukončujete-li vývoj nebo podporu produktu s digitálními prvky a kvůli tomu přestanete plnit povinnosti CRA, musíte ještě před tím, než ukončení nabude účinku, informovat příslušné orgány dozoru nad trhem a v co největší míře i uživatele dotčených produktů (čl. 13 odst. 23 nařízení). Tato povinnost nastoupí s hlavními povinnostmi CRA od 11. prosince 2027, spadá do nejvyššího sankčního pásma podle čl. 64 nařízení a žádná úleva pro malé firmy se na ni nevztahuje. Přesné určení orgánu dozoru v Česku ještě upřesní finální znění adaptačního zákona, který byl k srpnu 2026 ve stavu návrhu. Pokud si nejste jistí, jak se povinnost týká právě vašeho produktu nebo obchodního modelu, ověřte to formou rychlé prověrky.