Forlex. Buďte v právu. Kdykoliv. Kdekoliv.

Evropský Cyber Resilience Act („CRA“), tedy nařízení (EU) 2024/2847, zavádí jednotná pravidla kybernetické bezpečnosti pro produkty s digitálními prvky uváděné na trh Evropské unie.

Přestože se většina povinností začne uplatňovat až 11. prosince 2027, první významné povinnosti výrobců nastupují již 11. září 2026.

Na koho a na co se CRA vztahuje?

CRA se vztahuje zejména na výrobce hardwarových a softwarových produktů, jejichž použití zahrnuje přímé nebo nepřímé datové připojení k jinému zařízení nebo síti.

Může jít například o software, firmware, počítače, chytrá zařízení, průmyslová IoT zařízení nebo některé samostatně dodávané komponenty. Připojení přitom nemusí znamenat pouze přístup k internetu – může jít například i o USB, Ethernet, Bluetooth nebo softwarové rozhraní. Povinnosti CRA se netýkají pouze výrobců. Určité povinnosti mají také dovozci a distributoři produktů uváděných na evropský trh.

Co začne platit od 11. září 2026?

Od 11. září 2026 se začnou uplatňovat oznamovací povinnosti podle článku 14 CRA.

Výrobci budou muset prostřednictvím jednotné evropské platformy oznamovat zejména:

• aktivně zneužívané zranitelnosti; a

• závažné incidenty mající dopad na bezpečnost jejich produktů.

První oznámení bude v relevantních případech nutné podat nejpozději do 24 hodin od okamžiku, kdy se výrobce o problému dozví. Současně může vzniknout povinnost informovat dotčené uživatele produktu.

Co se změní od 11. prosince 2027?

Od 11. prosince 2027 začne CRA platit v plném rozsahu.

Výrobci budou muset mimo jiné:

• zohledňovat kybernetickou bezpečnost již při návrhu a vývoji produktu;

• provádět posouzení kybernetických rizik;

• zavést procesy pro řešení zranitelností;

• poskytovat potřebné bezpečnostní aktualizace;

• vést technickou dokumentaci;

• provést příslušné posouzení shody;

• vystavit EU prohlášení o shodě a zajistit CE marking.

Nové požadavky se budou posuzovat ve vztahu ke každému jednotlivému produktu, nikoliv pouze k modelu nebo produktové řadě. Pokud tedy výrobce prodává stejný model již před rokem 2027, nové kusy uvedené na trh po 11. prosinci 2027 již musí CRA splňovat.

Produkty uvedené na trh před tímto datem obecně není nutné dodatečně uvádět do plného souladu s CRA, pokud později neprojdou podstatnou změnou. Reportingové povinnosti od září 2026 se však vztahují i na ně.

Přípravu není vhodné odkládat

Přestože plná účinnost CRA nastane až v prosinci 2027, požadavky se týkají samotného návrhu, vývoje, dokumentace a následné podpory produktů. Je tedy vhodné již nyní ověřit, které produkty do působnosti CRA spadají a jaké procesy bude nutné upravit.

Pokud si nejste jisti, zda se CRA vztahuje na vaše produkty, nebo potřebujete pomoci s přípravou na nové povinnosti, rádi s vámi projdeme konkrétní situaci a pomůžeme nastavit další postup.