Jaké povinnosti má výrobce podle CRA a od kdy platí?

Koho se povinnosti podle CRA týkají?

Hlavně výrobce. Je jím podle nařízení (EU) 2024/2847, známého jako Cyber Resilience Act (CRA), každý, kdo produkt s digitálními prvky vyvíjí nebo vyrábí, případně si ho nechá navrhnout, vyvinout nebo vyrobit, a nabízí ho pod svým jménem nebo ochrannou známkou, i bezplatně (čl. 3 bod 13). Definice nerozlišuje velikost firmy ani zemi sídla.

Produkt spadá pod CRA, když je dodaný na trh a jeho zamýšlený účel nebo rozumně předvídatelné použití zahrnuje přímé nebo nepřímé datové připojení k zařízení nebo síti (čl. 2 odst. 1). Platí to pro software i hardware, včetně samostatně uváděných komponent (čl. 3 bod 1). Výjimky jsou v čl. 2 odst. 2 až 7.

Která povinnost výrobce platí od kdy?

Hlášení podle čl. 14 platí od 11. září 2026, všechno ostatní v tabulce od 11. prosince 2027 (čl. 71 odst. 2). V platnosti je nařízení už od 10. prosince 2024 (shrnutí Komise), povinnosti se ale používají až od těchto dat.

Řádky od 11. prosince 2027 se týkají produktů uvedených na trh od tohoto dne. Dřívější produkt se řídí požadavky CRA, jen když od tohoto dne projde podstatnou změnou (čl. 69 odst. 2); čl. 14 pro něj platí i bez ní (čl. 69 odst. 3). Rozhoduje kus, ne typ: podle FAQ Komise 10 000 routerů typu, který CRA nesplňuje, uvedených na trh včas upravovat nemusíte, dalších 5 000 po tomto dni na trh uvést nesmíte. Kdy lhůty pro hlášení začínají běžet, rozebírá stránka hlášení zranitelností podle CRA.

Jaké požadavky stanoví příloha I?

Příloha I má dvě části. Část II o řešení zranitelností plníte po dobu podpory celou. U části I na základě posouzení rizik určíte, které požadavky se na produkt vztahují; u ostatních uvedete v technické dokumentaci jasné odůvodnění (čl. 13 odst. 4; FAQ Komise).

Část I: vlastnosti produktu

• a) žádné známé zneužitelné zranitelnosti při dodání na trh
• b) zabezpečené výchozí nastavení a obnovení původního stavu
• c) bezpečnostní aktualizace, kde je to možné automatické, s možností výjimky a odložení
• d) ochrana před neoprávněným přístupem
• e) důvěrnost údajů, například šifrováním
• f) integrita údajů, příkazů, programů a konfigurace
• g) minimalizace údajů
• h) dostupnost základních a klíčových funkcí i po incidentu
• i) co nejmenší dopad na služby jiných zařízení a sítí
• j) omezení prostoru k útoku
• k) snížení dopadu incidentu mechanismy zmírňujícími zneužití
• l) záznam příslušné interní činnosti s možností výjimky pro uživatele
• m) bezpečné a trvalé odstranění údajů a nastavení

Část II: řešení zranitelností

• 1) určit a zdokumentovat zranitelnosti a komponenty, mimo jiné softwarovým kusovníkem (SBOM)
• 2) zranitelnosti neprodleně řešit; bezpečnostní aktualizace, je-li to technicky možné, oddělit od funkčních
• 3) pravidelně a účinně testovat bezpečnost
• 4) uveřejnit informace o opravených zranitelnostech
• 5) zavést a prosazovat politiku koordinovaného zveřejňování zranitelností
• 6) usnadnit sdílení informací o zranitelnostech, mimo jiné kontaktní adresou
• 7) bezpečně distribuovat aktualizace
• 8) bezpečnostní aktualizace šířit neprodleně a bezplatně, s informacemi pro uživatele; u produktu na zakázku se lze s podnikatelským uživatelem dohodnout jinak

Jak dlouhá musí být doba podpory?

Nejméně pět let, pokud se nepředpokládá kratší používání produktu; pak odpovídá očekávané době použití (čl. 13 odst. 8). Pět let ale není výchozí hodnota: podle pokynů Komise z 27. července 2026 by produkty, u nichž se rozumně očekává používání delší než pět let, měly mít delší podporu (bod 126). Z čeho jste vycházeli, patří do technické dokumentace.

• Software: každá podstatně změněná verze potřebuje vlastní dobu podpory (bod 128). Zranitelnosti smíte odstraňovat jen v poslední verzi, když k ní uživatelé starších verzí mají bezplatný přístup a nevzniknou jim dodatečné náklady na úpravu prostředí (čl. 13 odst. 10). Takovým nákladem je povinný nákup nového hardwaru, ne běžné testování (bod 130). Ostatní požadavky části II platí dál (bod 131).
• Podstatná změna dobu podpory automaticky neprodlužuje (bod 133).
• Po konci podpory končí řešení zranitelností podle části II, hlášení podle čl. 14 ne (bod 210).

Co musí zkontrolovat dovozce a distributor?

Dovozce toho kontroluje víc: navíc zajišťuje, že výrobce provedl posouzení shody a vypracoval technickou dokumentaci (čl. 19 odst. 2). Je usazený v EU a uvádí na trh produkt se jménem nebo ochrannou známkou osoby usazené mimo EU (čl. 3 bod 16). Distributor před dodáním na trh ověřuje body z čl. 20 odst. 2.

• Neshoda: když mají důvod se domnívat, že produkt nebo postupy výrobce nejsou ve shodě, produkt na trh neuvedou ani nedodají, dokud nebude dosaženo shody (čl. 19 odst. 3, čl. 20 odst. 3).
• Zranitelnost: informují výrobce bez zbytečného odkladu, při významném kybernetickém bezpečnostním riziku neprodleně i orgány dozoru nad trhem (čl. 19 odst. 5, čl. 20 odst. 4).
• Změna role: kdo produkt uvede na trh pod svým jménem nebo ochrannou známkou nebo ho podstatně změní, je výrobce a platí pro něj čl. 13 a 14 (čl. 21).
• Zásoby: distributor nemusí uvádět do souladu produkty uvedené na trh před 11. prosincem 2027, pokud je sám podstatně nezmění (FAQ Komise).

V jakém pořadí povinnosti plnit?

Začněte hlášením, protože jediné už platí. Dokumenty nechte nakonec, vycházejí z předchozích kroků. Pořadí je naše doporučení, nařízení ho nepředepisuje.

1. Zaveďte postup hlášení podle čl. 14.
2. Určete třídu produktu a postup posouzení shody, například kontrolou produktu podle CRA.
3. Posuďte rizika a odvoďte z toho, které požadavky části I se vás týkají.
4. Zapracujte část I do produktu, zaveďte procesy z části II a stanovte dobu podpory.
5. Vypracujte technickou dokumentaci, proveďte posouzení shody, vydejte EU prohlášení o shodě a umístěte označení CE. Teprve pak produkt uveďte na trh.

Co z toho platí pro váš produkt, s vámi projde inženýr v úvodním posouzení zdarma, bez přístupu ke kódu. Právní ověření zůstává na vašem právníkovi.

Časté otázky

Můžeme s přípravou počkat na harmonizované normy?

Nedoporučujeme to. Podle FAQ Komise se má norma k části I přílohy I přijmout do 30. října 2027, šest týdnů před 11. prosincem 2027, a Komise ji pak ještě posuzuje; stejné datum uvádí harmonogram Komise. Normy nejsou jediný způsob, jak shodu prokázat. U třídy I ale bez plného použití norem, společných specifikací nebo evropského schématu certifikace alespoň na úrovni záruky „významná“ potřebujete postup s oznámeným subjektem (čl. 32 odst. 2).

Jaké pokuty hrozí a platí už teď?

Za nedodržení přílohy I a čl. 13 a 14 hrozí pokuta až 15 mil. € nebo 2,5 % celosvětového ročního obratu, podle toho, co je vyšší; za další vyjmenované povinnosti, například dovozců a distributorů, až 10 mil. € nebo 2 % (čl. 64). Mikropodnikům a malým podnikům se pokuta za zmeškání 24hodinové lhůty neukládá (čl. 64 odst. 10, bod odůvodnění 120). Prosazování se podle FAQ Komise použije od 11. prosince 2027 a čl. 64 není mezi výjimkami v čl. 71 odst. 2. Co to znamená pro porušení čl. 14 před tímto dnem, ať posoudí váš právník. Hlásit musíte tak jako tak.

Musíme starší typ produktu kvůli CRA přepracovat?

Ne automaticky. Pokud posouzení rizik ukáže, že stávající opatření stačí, CRA samo o sobě přepracování nevyžaduje a výsledky testů z původního vývoje u postupů podle čl. 32 odst. 1 dokládat nemusíte (pokyny Komise, body 34 a 38). Posouzení shody, EU prohlášení o shodě a označení CE u kusů uváděných na trh od 11. prosince 2027 potřebujete i tak (bod 35).

Musíme technickou dokumentaci dát zákazníkům?

Ne. Podle FAQ Komise není povinnost zpřístupnit ji zákazníkům ani veřejnosti. Výjimkou je svobodný software v kategoriích přílohy III, jehož výrobce chce shodu posoudit sám (čl. 32 odst. 5). Orgánu dozoru ji ale na odůvodněnou žádost poskytnout musíte (čl. 13 odst. 22).

Kam u softwaru patří označení CE?

Na EU prohlášení o shodě, nebo na internetovou stránku, která software doprovází (čl. 30 odst. 1). Bez kladně dokončeného posouzení shody se označení CE umístit nesmí (FAQ Komise).