CYBER RESILIENCE ACT · NAŘÍZENÍ (EU) 2024/2847
Cyber Resilience Act (CRA) je nařízení EU o kybernetické bezpečnosti softwaru a připojených zařízení; hlavní povinnosti platí od 11. prosince 2027. Do 48 hodin zdarma víte třídu produktu, postup posouzení shody a cenu; přípravu dodáme za 6 týdnů od 195 000 Kč bez DPH.
Rychle a zdarma:Kontrola produktu podle CRAČást už platí. Od 11. září 2026 musí výrobci hlásit aktivně zneužívané zranitelnosti do 24 hodin přes platformu ENISA, a to i u produktů prodaných dávno předtím (čl. 14 a čl. 69 odst. 3).
ReferenceT-Systems · Olingo Medical · Lumii · Rowan Legal
Nechte mi číslo, zavolám vám
Kryštof Olík · zakladatel a CEO
V pracovní dny ještě týž den, jinak další pracovní den ráno.
Novinky k CRA e-mailem. Jednou měsíčně, co se změnilo a co to znamená pro váš produkt.
Máme vlastní inteligentní nástroj a framework na testování CRA. Nekončí jednorázovým auditem: hlídá váš software po celý jeho životní cyklus.
Cyber Resilience Act (CRA, česky akt o kybernetické odolnosti) je nařízení EU 2024/2847 o kybernetické bezpečnosti produktů s digitálními prvky: od 11. prosince 2027 je smíte uvádět na trh EU, jen pokud splňují přílohu I a nesou označení CE. Vztahuje se na každý takový produkt, který prodáváte v EU a který se připojuje k zařízení nebo k síti (čl. 2).
Netýká se zdravotnických prostředků, vozidel, letecké a lodní techniky, které mají vlastní předpisy, ani čistého SaaS bez produktu u zákazníka; cloudové služby středních a velkých firem řeší NIS2.
Příloha I má dvě části: bezpečnostní vlastnosti produktu a postupy pro řešení zranitelností. V řeči vývojářů to znamená:
Záleží na třídě produktu. Rozhoduje jeho hlavní funkce, ne komponenty uvnitř: stroj s operačním systémem není „operační systém“ (čl. 7 odst. 1).
Záleží, jestli prodáváte hardware, nebo samostatný software.
NABÍDKA
Po posouzení víte, jak hluboko se vás CRA týká a kolik bude příprava stát. Rozhodnutí je pak na vás.
Krok 1 · Začněte tady
Víte, jak hluboko se vás CRA týká a co vás čeká.
Zdarma
Co dostanete
Krok 2
Jeden produkt je připravený na 11. prosinec 2027: kód, posouzení rizik, procesy a dokumentace.
od 195 000 Kčbez DPH jednorázově
Co dostanete
Krok 3
O CRA se staráme za vás: náš nástroj hlídá každé vydání i nové zranitelnosti a vy víte, co je potřeba.
od 14 900 Kč měsíčněbez DPH
Co dostanete
V CENĚ
ZÁRUKA
Pokud do 6 týdnů od zpřístupnění repozitáře nebudou posouzení rizik, procesy a návrh dokumentace hotové, pracujeme dál zdarma až do dokončení. Platí pro balíček „Připravenost na CRA za 6 týdnů“.
Nechte mi číslo, zavolám vám
Kryštof Olík · zakladatel a CEO
V pracovní dny ještě týž den, jinak další pracovní den ráno.
POSTUP
Produkt, trhy, jak vydáváte verze. Bez přístupu ke kódu.
Písemně třída, postup posouzení shody, termíny a nabídka na přípravu.
Prověrka kódu a infrastruktury, posouzení rizik, procesy, dokumentace. Každý týden přehled, co je hotové.
SBOM a kontrola zranitelností při každém vydání, pomoc s hlášením.
SROVNÁNÍ
| Ollsoft | Klasické poradenství | Samotný SCA nástroj | |
|---|---|---|---|
| Výchozí bod | Ollsoft: váš kód a CI | Klasické poradenství: rozhovory a dokumenty | Samotný SCA nástroj: váš kód |
| Výstup | Ollsoft: SBOM, mezery s místy v kódu, dokumentace | Klasické poradenství: zpráva o mezerách | Samotný SCA nástroj: seznam CVE |
| Příloha I, část I (vlastnosti produktu) | Ollsoft: kontrola v kódu | Klasické poradenství: dotazník | Samotný SCA nástroj: nepokrývá |
| Posouzení nálezů | Ollsoft: dosažitelnost v produktu, zapsaná jako VEX | Klasické poradenství: obvykle ne | Samotný SCA nástroj: závažnost bez kontextu |
| Cena | Ollsoft: pevná, po posouzení | Klasické poradenství: podle nabídky | Samotný SCA nástroj: licence |
Srovnání kategorií služeb, ne konkrétních firem.
REFERENCE
Postavili jsme pro T-Systems platformu pro soulad s CRA: požadavky jako testovatelné kontroly navázané na NIST SP 800-53, produkty propojené s git repozitáři, SBOM a zranitelnosti při každém pushi, posouzení nových CVE zapsané jako OpenVEX, export do OSCAL.
AI pro zdravotnickou dokumentaci, která běží ve fakultních nemocnicích. Připravili jsme ji na CRA.
olingomedical.comNaše partnerská advokátní kancelář pro CRA a NIS2: naši práci právně ověří a připraví smlouvy. Kanceláři jsme dodali i AI, která běží na jejích vlastních serverech bez externích API.
rowan.legalKONTAKT
Domluvíme krátký hovor nad vaším produktem. Do 48 hodin pošleme písemně třídu, postup posouzení shody, termíny a nabídku na přípravu. Zdarma a bez závazku.
Nechte mi číslo, zavolám vám
Kryštof Olík · zakladatel a CEO
V pracovní dny ještě týž den, jinak další pracovní den ráno.
ČASTÉ DOTAZY
Nevadí. První SBOM vytvoříme při prověrce kódu přímo z manifestů a lockfilů v repozitáři. Při přípravě pak jeho generování napojíme na váš postup vydávání verzí.
Na začátku přístup k repozitáři jen pro čtení a hovor s vývojářem, který zná vydávání verzí. Během přípravy potřebujeme odpovědi na otázky k architektuře a schválení výstupů. Posouzení rizik a dokumentaci píšeme my.
Většina produktů ne, stačí interní kontrola (modul A). Oznámený subjekt potřebují produkty třídy II, kritické produkty a produkty třídy I, které v plném rozsahu nepoužijí harmonizované normy nebo evropské certifikační schéma.
Ne. SBOM musíte vytvořit a udržovat, ale zveřejňovat ho nemusíte (bod odůvodnění 77). Orgán dozoru nad trhem o něj může odůvodněně požádat (příloha VII bod 8).
Úvodní posouzení je zdarma. Připravenost jednoho produktu za 6 týdnů stojí od 195 000 Kč bez DPH podle počtu repozitářů a stavu vašeho CI. Nabídku s cenou dostanete písemně spolu s výsledkem posouzení.
„Připravenost na CRA za 6 týdnů“ (od 195 000 Kč) už obsahuje postup hlášení přes platformu ENISA do 24 a 72 hodin. Balíček „Hlášení podle CRA připravené za 10 dnů“ (od 95 000 Kč) je pro ty, kdo potřebují nejdřív hlášení, které platí od 11. září 2026. Služby „CRA v provozu“ (14 900 Kč měsíčně) i „Hlídání CVE v provozu“ (9 900 Kč měsíčně) denně porovnávají s novými CVE, posuzují nálezy jako OpenVEX a pomáhají s hlášením; „CRA v provozu“ navíc vytváří SBOM při každém vydání a aktualizuje posouzení rizik a dokumentaci. Ceny jsou bez DPH.
Pracujeme s přístupem jen pro čtení nebo s git bundlem, na přání pod NDA. Po dokončení přípravy kopii smažeme.
Ne. Jsme inženýři: připravíme produkt, procesy a dokumentaci. Posouzení třetí stranou dělá oznámený subjekt. Právní ověření a smlouvy zajistí advokáti naší partnerské kanceláře Rowan Legal, nebo váš právník.
Newsletter
CRA se pořád doplňuje: pokyny Komise, harmonizované normy, oznámené subjekty. Jednou měsíčně, a navíc když se změní něco důležitého, vám pošleme krátký přehled, co se změnilo a co to znamená pro váš produkt.
DALŠÍ SLUŽBY
