EU prohlášení o shodě podle CRA: kdo ho vydává a kdy

Než produkt s digitálními prvky uvedete na trh v plném režimu CRA, musí za ním stát podpis na jednom konkrétním dokumentu – EU prohlášení o shodě. Kdo ho podepisuje, co musí obsahovat a čím ho podložit, je otázka, na které se v praxi pletou i zkušení nákupčí a produktoví manažeři – nejčastěji v okamžiku, kdy firma změní roli z dovozce na výrobce, aniž si to uvědomí. Tento text jde přímo k věci: kdo dokument vydává, co za ním musí stát a od kdy to reálně platí.

Upozornění na úvod: jde o obecný informační přehled, ne o individuální právní posouzení vašeho konkrétního produktu. Pro ověření vlastní situace využijte rychlou prověrku.

Co je EU prohlášení o shodě a co za ním stojí

EU prohlášení o shodě je dokument, kterým výrobce potvrzuje, že konkrétní produkt splňuje základní kyberbezpečnostní požadavky nařízení (EU) 2024/2847. Nejde o formalitu navíc – je to výstup celého procesu posouzení shody, který musí mít oporu v technické dokumentaci (čl. 28, 30 a 31 nařízení, přílohy V až VII).

Prohlášení bez podložené dokumentace je bezcenné. Zjistí-li orgán dozoru nad trhem, že prohlášení existuje, ale dokumentace za ním chybí nebo neodpovídá skutečnosti, jde o samostatné porušení, které nařízení sankcionuje.

Kdo prohlášení vydává – a kdo ho jen ověřuje

Povinnost vypracovat EU prohlášení o shodě, technickou dokumentaci a připojit CE nese výrobce (čl. 28, 30, 31 nařízení). Dovozce a distributor mají v tomto ohledu jinou, užší roli:

• Dovozce ověřuje, že výrobce provedl posouzení shody, že existuje technická dokumentace, CE, prohlášení o shodě a viditelně uvedený konec podpory (čl. 19 nařízení).
• Distributor ověřuje CE a to, že výrobce i dovozce splnili své povinnosti (čl. 20 nařízení).

Ani jeden z nich tedy prohlášení sám nevydává – pokud zůstává ve své roli.

Kdy se dovozce nebo distributor stává výrobcem

Role se změní ve dvou situacích, které nařízení popisuje samostatně:

• Prodej pod vlastní značkou. Uvede-li dovozce nebo distributor produkt na trh pod svým jménem nebo vlastní ochrannou známkou, považuje se za výrobce a vztahují se na něj povinnosti podle čl. 13 a 14 nařízení (čl. 21) – tedy i vydání EU prohlášení o shodě.
• Podstatná změna produktu. Provede-li kdokoli – výrobce, dovozce, distributor, nebo i jiná osoba mimo tento okruh – podstatnou změnu produktu už uvedeného na trh a dodá ho na trh znovu, stává se výrobcem podle čl. 22 nařízení. Povinnosti se ale vztahují jen na tu část produktu, kterou změna ovlivnila; ovlivní-li změna kybernetickou bezpečnost produktu jako celku, vztahují se na celý produkt (čl. 22 odst. 1 a 2).

Příklad z praxe: e-shop dováží hotové Wi-Fi routery od výrobce ze třetí země a prodává je pod svou vlastní značkou. Routery patří mezi produkty třídy I podle přílohy III (čl. 7, 8, prováděcí nařízení 2025/2392). V okamžiku, kdy je e-shop opatří vlastním logem a uvede na trh pod svým jménem, přestává být jen distributorem – stává se výrobcem podle čl. 21 a musí sám vypracovat technickou dokumentaci a EU prohlášení o shodě, ne se spoléhat na dokumenty původního dodavatele.

Co prohlášení musí obsahovat a na čem stojí

Prohlášení o shodě musí jednoznačně identifikovat produkt a výrobce a potvrdit, že produkt splňuje základní požadavky přílohy I nařízení. Přesnou strukturu a povinné náležitosti stanoví příloha V nařízení – před vyplněním doporučujeme nahlédnout přímo do jejího aktuálního znění, protože jde o formulářový dokument s přesně vymezenými poli.

Klíčové je, že prohlášení nestojí samo o sobě. Musí navazovat na:

• klasifikaci produktu – zda jde o běžný produkt (interní posouzení, modul A), nebo o produkt důležité třídy I či II podle přílohy III, případně kritický produkt podle přílohy IV (čl. 7, 8 nařízení);
• výsledek posouzení shody, který se podle třídy liší – u běžných produktů obvykle postačí interní posouzení, u tříd I a II a u kritických produktů zpravidla vstupuje do hry notifikovaná osoba.

Modul A a hranice interního posouzení

U třídy I je interní posouzení (modul A) možné jen tehdy, jsou-li plně uplatněny harmonizované normy nebo společné specifikace pro daný produkt – k 4. srpnu 2026 ale vydané nejsou (čl. 32 odst. 2, 3, příloha VIII nařízení). Bez nich se u třídy I, u třídy II a u kritických produktů neobejdete bez notifikované osoby. Tohle je bod, kde si řada firem plánuje časovou rezervu příliš krátkou – notifikované osoby budou procházet vlastním schvalovacím procesem a jejich kapacita nebude neomezená.

Technická dokumentace jako povinný podklad

Prohlášení o shodě je vrcholem, technická dokumentace je jeho základ. Podle čl. 31 nařízení a příloh VI a VII musí obsahovat:

• popis produktu a jeho zamýšleného použití,
• posouzení kybernetického bezpečnostního rizika,
• softwarový kusovník (SBOM),
• odůvodnění stanovené doby podpory,
• zprávy z provedených testů.

Dokumentaci i prohlášení musí výrobce uchovávat po dobu deseti let od uvedení produktu na trh, nebo po celou dobu podpory produktu, je-li delší (čl. 28, 30, 31 a přílohy V až VII nařízení). Jde o samostatnou lhůtu uchovávání dokumentace – nezaměňujte ji s desetiletou evidencí toho, kdo produkt komu dodal, kterou upravuje jiné ustanovení nařízení (čl. 23) a která patří k jinému okruhu povinností.

Mikropodniky a malé podniky mají podle čl. 33 odst. 5 nařízení možnost vypracovat prvky technické dokumentace podle přílohy VII ve zjednodušeném formátu. Rozhodnou-li se tak učinit, musí ale použít formulář, který má stanovit Komise prováděcím aktem – a k 4. srpnu 2026 tento formulář Komise ještě nevydala. Do jeho vydání je tato výjimka v praxi nepoužitelná; spoléhat na ni v plánování je předčasné.

CE označení a jeho vztah k prohlášení

CE označení je viditelným vyjádřením toho, co prohlášení potvrzuje. U hardwarových produktů se připojuje přímo k produktu. U softwaru se CE připojuje k EU prohlášení o shodě, nebo je zpřístupněno na webu výrobce – fyzické umístění na produktu zde nedává smysl a nařízení to zohledňuje (čl. 30, 31 nařízení).

Co platí najisto od 11. prosince 2027

Hlavní povinnosti nařízení (EU) 2024/2847 – tedy povinnost vypracovat technickou dokumentaci, vydat EU prohlášení o shodě a připojit CE – se použijí od 11. prosince 2027 (čl. 71 odst. 2 nařízení). Do tohoto data tyto konkrétní povinnosti pro uvádění produktů na trh nevznikají.

Samostatně a dříve – od 11. září 2026 – platí povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty podle čl. 14, a to i pro produkty, které jsou na trhu už dnes (čl. 71 odst. 2, čl. 69 odst. 3 nařízení). Tato lhůta s dokumentací a prohlášením o shodě přímo nesouvisí, ale je snadné si obě data zaměnit – proto je dobré je od sebe důsledně oddělovat.

Ještě dříve, od 11. června 2026, se použije kapitola IV nařízení (čl. 35 až 51) upravující oznamování subjektů posuzování shody – tedy notifikovaných osob (čl. 71 odst. 2 druhý pododstavec nařízení). Tento předstih dává smysl: notifikované osoby se musí stihnout formálně ustavit dřív, než na ně od prosince 2027 dopadne poptávka výrobců tříd I a II a kritických produktů, kteří interní posouzení podle výše uvedeného modulu A využít nemohou.

Pro produkty uvedené na trh před 11. prosincem 2027 platí zvláštní pravidlo: požadavky nařízení se na ně vztahují jen tehdy, procházejí-li po tomto datu podstatnou změnou (čl. 69 odst. 2 nařízení). Podstatnou změnou se rozumí změna produktu po jeho uvedení na trh, která ovlivňuje soulad se základními požadavky přílohy I části I, nebo která vede ke změně zamýšleného účelu, pro nějž bylo provedeno posouzení (čl. 3 bod 30 nařízení). Pokud tedy prodáváte produkt beze změny, nemusíte kvůli němu dokumentaci a prohlášení dodatečně dohánět – pokud jej ale upravíte tak, že to ovlivní jeho bezpečnost nebo účel, povinnost se aktivuje.

Co teprve upřesní prováděcí akty (výhled)

Několik oblastí kolem prohlášení a dokumentace zůstává otevřených:

• Harmonizované normy pro třídu I k 4. srpnu 2026 ještě nejsou vydány, takže interní posouzení (modul A) pro tuto třídu je zatím v praxi nedostupné a je nutné počítat s notifikovanou osobou (čl. 32 odst. 2, 3, příloha VIII nařízení).
• Zjednodušený formulář technické dokumentace pro mikropodniky a malé podniky má stanovit Komise prováděcím aktem; k 4. srpnu 2026 nebyl vydán (čl. 33 odst. 5 nařízení).
• Český adaptační zákon je ve stavu návrhu. Prošel mezirezortním připomínkovým řízením (3. až 30. 7. 2026); k 4. srpnu 2026 nebyl schválen a čeká na další legislativní kroky. Návrh počítá s dozorem ČOI a sektorových orgánů, s NÚKIB jako oznamujícím orgánem a s požadavkem na češtinu u pokynů, bezpečnostních informací, prohlášení o shodě a kontaktních údajů. Finální znění se může od návrhu lišit, proto neplánujte jazykovou lokalizaci dokumentace na poslední chvíli.

Sankce za chybné nebo chybějící prohlášení

Porušení povinností vydat EU prohlášení o shodě (čl. 28), připojit CE (čl. 30) nebo vypracovat technickou dokumentaci (čl. 31) spadá do sankčního pásma až do výše 10 000 000 EUR, nebo do výše 2 % celosvětového ročního obratu, podle toho, která hodnota je vyšší (čl. 64 odst. 3 nařízení). Toto pásmo se týká přímo výrobce – není určeno jen pro dovozce nebo distributora, i když totéž ustanovení zahrnuje i některé jejich povinnosti.

Nařízení počítá i s přísnějším pásmem pokut pro porušení základních požadavků přílohy I a čl. 13 a 14 (čl. 64 odst. 2 nařízení) – to se ale týká jiného okruhu povinností než samotné prohlášení o shodě a přesahuje téma tohoto textu.

Samostatně nařízení postihuje uvedení nepravdivých informací – zde je horní hranice nižší, až 5 000 000 EUR nebo 1 % celosvětového obratu (čl. 64 nařízení). Pokud tedy do prohlášení uvedete údaj, který neodpovídá skutečnosti – například chybnou klasifikaci produktu nebo neexistující posouzení shody – nejde o totéž jako prosté opomenutí dokument vydat.

Akční plán 30/60/90 dní

1. Dní 1–30: zjistěte, kdo je u vašich produktů skutečným výrobcem. Projděte portfolio a u každého produktu určete, zda jste výrobce, dovozce, nebo distributor – a zda u některého produktu prodáváte pod vlastní značkou nebo jste provedli změnu, která z vás dělá výrobce podle čl. 21 nebo 22.
2. Dní 1–30: zařaďte produkty do třídy. U produktů odpovídajících přílohám III nebo IV ověřte, zda spadají do třídy I, II, nebo mezi kritické produkty – to určuje, zda bude stačit interní posouzení, nebo bude nutná notifikovaná osoba.
3. Dní 30–60: připravte kostru technické dokumentace. Sepište popis produktu, zamýšlené použití, dostupný SBOM a odůvodnění plánované doby podpory – i když povinnost formálně nastupuje až s obecnou použitelností nařízení, dokumentace se nedá vytvořit za týden.
4. Dní 30–60: prověřte dodavatelský řetězec. U dovážených produktů si vyžádejte od výrobce podklady k posouzení shody a k technické dokumentaci – budete je jako dovozce nebo distributor muset ověřovat, případně je budete potřebovat, pokud se rozhodnete produkt prodávat pod vlastní značkou.
5. Dní 60–90: sledujte harmonizované normy a český zákon. Ověřte aktuální stav u zdroje – vydání norem pro třídu I i finální znění českého adaptačního zákona ovlivní, jak bude dokumentace a prohlášení vypadat v detailu.
6. Dní 60–90: ověřte si rozsah vlastní povinnosti. Nejste-li si jistí, zda u konkrétního produktu jste výrobcem, nebo zda se na vás vztahuje jen ověřovací role dovozce či distributora, prověřte to formou rychlé prověrky.

Časté omyly

Omyl první: „Jsme jen dovozce, prohlášení o shodě se nás netýká.“ Platí to jen do chvíle, kdy produkt neprodáváte pod vlastní značkou a nijak jej neupravujete. V okamžiku prodeje pod vlastním jménem nebo značkou se stáváte výrobcem se všemi povinnostmi podle čl. 21 nařízení.

Omyl druhý: „Software CE nepotřebuje, to je jen pro hardware.“ U softwaru se CE připojuje jinak – k prohlášení o shodě, nebo je zpřístupněno na webu – ale povinnost se ho netýká méně. Rozdíl je ve formě umístění, ne v existenci povinnosti.

Omyl třetí: „Máme dokumentaci od výrobce, to nám stačí.“ Pokud jste se vy sami stali výrobcem – protože jste produkt prodali pod vlastní značkou nebo jej podstatně upravili – dokumentace původního výrobce vaši vlastní povinnost nenahrazuje. Musíte mít vlastní technickou dokumentaci a vlastní EU prohlášení o shodě, opřené o vaši vlastní odpovědnost za produkt.

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění – CELEX 02024R2847-20241120, https://publications.europa.eu/resource/celex/32024R2847
• Čl. 28, 30, 31, 32, 33 nařízení – EU prohlášení o shodě, CE, technická dokumentace, postupy posouzení shody
• Čl. 19, 20, 21, 22, 23 nařízení – povinnosti dovozce, distributora, osob provádějících podstatnou změnu a evidence dodavatelského řetězce
• Čl. 64, 69, 71 nařízení – sankce, přechodná ustanovení, data použitelnosti
• Přílohy III, IV, V, VI, VII, VIII nařízení
• Prováděcí nařízení (EU) 2025/2392 – upřesnění klasifikace produktů do tříd
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, MPO, mezirezortní připomínkové řízení (stav k 4. 8. 2026), https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

EU prohlášení o shodě vydává výrobce – dovozce a distributor ho pouze ověřují, dokud neprodávají produkt pod vlastní značkou nebo jej podstatně nezmění; v tom okamžiku se povinnosti výrobce, včetně vydání prohlášení, vztahují i na ně (čl. 21, 22). Prohlášení musí stát na technické dokumentaci – popisu produktu, posouzení rizika, SBOM, odůvodnění doby podpory a zprávách z testů – a na správně určené třídě produktu, která rozhoduje, zda stačí interní posouzení nebo je nutná notifikovaná osoba. CE se u softwaru připojuje k prohlášení nebo na web, u hardwaru přímo na produkt. Hlavní povinnosti nastupují od 11. prosince 2027 a netýkají se automaticky produktů už na trhu – pokud je po tomto datu podstatně nezměníte; hlášení aktivně zneužívaných zranitelností podle čl. 14 ale platí už od 11. září 2026, a to i pro stávající produkty. Nejasnosti kolem harmonizovaných norem, zjednodušeného formuláře pro malé podniky a českého adaptačního zákona zatím přetrvávají a je třeba je sledovat u zdroje, ne domýšlet.