Evropská komise vydala dne 27. července 2026 rozsáhlé pokyny k implementaci nařízení Evropského parlamentu a Rady (EU) 2024/2847 o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky, známého jako Cyber Resilience Act (CRA).
Dokument obsahuje praktické příklady, výklad jednotlivých ustanovení i rozhodovací schémata. Přestože pokyny nejsou právně závazné a konečný výklad práva Evropské unie přísluší Soudnímu dvoru EU, představují důležitý návod, jak Evropská komise očekává uplatňování CRA v praxi.
První povinnosti již od 11. září 2026
Již od 11. září 2026 začnou platit oznamovací povinnosti podle článku 14 CRA týkající se zejména aktivně zneužívaných zranitelností a závažných bezpečnostních incidentů. Výrobci budou muset být schopni reagovat ve velmi krátkých lhůtách. První upozornění se podává do 24 hodin od okamžiku, kdy se výrobce o relevantní skutečnosti dozví, následované podrobnějšími informacemi ve lhůtě 72 hodin a následným konečným reportem. Důležité je, že tyto oznamovací povinnosti mohou dopadat také na produkty, které byly uvedeny na trh ještě před 11. prosincem 2027.
Pro výrobce proto představuje září 2026 první skutečný termín CRA compliance. Již nyní by měli mít nastaven proces identifikace zranitelností a incidentů, jejich interní eskalace, vyhodnocení a případného oznámení příslušným orgánům.
Starší produkty nemusí být upravovány
Jednou z významných praktických otázek je, co se stane s produkty, které byly navrženy ještě před plnou použitelností CRA, ale budou se vyrábět a uvádět na evropský trh i po 11. prosinci 2027.
Pokyny Komise potvrzují poměrně pragmatický přístup. Samotná skutečnost, že byl produkt vyvinut před tímto datem, neznamená automatickou povinnost celý produkt přepracovat. Výrobce však musí posoudit kybernetická rizika produktu podle CRA a prokázat splnění všech relevantních základních požadavků na kybernetickou bezpečnost. Součástí procesu bude také příslušné posouzení shody, technická dokumentace, EU prohlášení o shodě a označení CE. Pokud stávající konstrukce produktu požadavky CRA fakticky splňuje, není nutné provádět úpravy pouze proto, že produkt vznikl ještě před účinností nových pravidel. Pro firmy s rozsáhlým existujícím portfoliem jde o důležité upřesnění. Místo plošného redesignu všech produktů bude vhodnější provést produktovou analýzu založenou na rizicích a skutečné míře souladu jednotlivých výrobků s CRA.
CRA se netýká jen fyzických zařízení
Významnou oblastí pokynů jsou také tzv. remote data processing solutions, tedy vzdálená řešení pro zpracování dat. CRA totiž nemusí dopadat pouze na samotný hardware nebo software instalovaný přímo v zařízení. Součástí produktu s digitálními prvky mohou být za určitých podmínek také cloudové nebo jiné vzdálené softwarové komponenty. Typickým příkladem může být IoT zařízení, jehož některé funkce závisí na mobilní aplikaci a cloudové infrastruktuře výrobce.
Podle výkladu Komise je důležité zejména to, zda je vzdálené zpracování dat nezbytné pro některou z funkcí produktu a zda bylo příslušné řešení navrženo nebo vyvinuto výrobcem, případně pod jeho odpovědností. Výrobci by proto při mapování rozsahu CRA neměli posuzovat pouze samotné koncové zařízení. Je třeba zahrnout také cloudovou architekturu, aplikační rozhraní, aktualizační infrastrukturu, autentizační služby a další backendové komponenty, které jsou nezbytné pro fungování produktu.
Klasifikace produktu rozhodne o náročnosti posouzení shody
CRA rozděluje produkty podle jejich významu a kybernetického rizika. Vedle běžných produktů rozlišuje zejména důležité produkty třídy I a II a kritické produkty. Zařazení výrobku do konkrétní kategorie zásadně ovlivňuje způsob, jakým bude výrobce prokazovat jeho shodu.
U běžných produktů bude ve značné části případů možné využít vlastní posouzení výrobce. U produktů s vyšší mírou rizika mohou být podmínky výrazně přísnější a v řadě případů bude nutné zapojení nezávislého subjektu posuzování shody. Pokyny současně zdůrazňují význam hlavní funkce produktu – core functionality. Výrobek se nemá automaticky stát produktem vyšší rizikové kategorie pouze proto, že obsahuje jednu bezpečnostní funkci nebo komponentu.
Správná klasifikace tak nebude pouze právní otázkou. Může přímo ovlivnit náklady, délku přípravy produktu na trh a potřebu zapojení oznámeného subjektu.
Posouzení kybernetických rizik
CRA je postaven na přístupu založeném na riziku. Výrobce musí provést a zdokumentovat cybersecurity risk assessment, který se následně promítne do návrhu, vývoje, výroby i následné podpory produktu. Právě tento dokument bude jedním ze základních podkladů pro prokázání, proč výrobce zvolil konkrétní bezpečnostní opatření a jakým způsobem vyhodnotil relevantní hrozby.
Nestačí tedy pouze deklarovat splnění jednotlivých technických požadavků. Výrobce musí být schopen doložit logickou vazbu mezi identifikovaným rizikem → přijatým bezpečnostním opatřením → výslednou úrovní zabezpečení produktu.
Posouzení rizik navíc nebude jednorázovým dokumentem vytvořeným před uvedením produktu na trh. V průběhu životního cyklu produktu jej bude nutné podle okolností aktualizovat.
Významné změny již existujících produktů
CRA bude mít význam také pro výrobce, kteří po uvedení produktu na trh průběžně mění jeho software nebo firmware. Produkt uvedený na trh před plnou použitelností CRA může být do nového režimu vtažen v případě, že po 11. prosinci 2027 projde podstatnou změnou – substantial modification. Běžná bezpečnostní oprava nebo aktualizace sama o sobě zpravidla nebude znamenat podstatnou změnu. Situace však může být jiná například tehdy, pokud aktualizace zásadně mění účel nebo funkčnost produktu, přidává nové síťové rozhraní, vytváří nové datové toky nebo vede ke vzniku nových či významně vyšších kybernetických rizik. Pro výrobce softwaru, firmware a průběžně aktualizovaných zařízení proto bude důležité začlenit hodnocení podle CRA také do change managementu a release managementu.
Co by firmy měly udělat nyní
Nové pokyny potvrzují, že příprava na CRA již není otázkou vzdáleného roku 2027. První prioritou by mělo být dokončení procesů pro hlášení zranitelností a bezpečnostních incidentů tak, aby byly funkční nejpozději 11. září 2026.
Současně je vhodné provést inventarizaci produktového portfolia a u jednotlivých produktů určit:
zda vůbec spadají do působnosti CRA,
kdo má postavení výrobce,
jaká je hlavní funkce produktu,
zda produkt spadá do některé z kategorií důležitých nebo kritických produktů,
jaký způsob posouzení shody bude potřebný,
které cloudové nebo vzdálené komponenty jsou součástí produktu,
jak dlouhá bude doba jeho bezpečnostní podpory,
a zda je již k dispozici odpovídající technická a bezpečnostní dokumentace.
Zvláštní pozornost si zaslouží také stávající produktové portfolio. Je vhodné oddělit produkty, které již byly uvedeny na trh, od starších modelů, které budou nově uváděny na trh také po 11. prosinci 2027.
Praktický, ale nikoliv benevolentní výklad Komise
Nové pokyny lze z pohledu výrobců hodnotit pozitivně. Evropská komise v řadě případů potvrzuje praktický a rizikově orientovaný přístup a například nepožaduje automatické přepracování každého staršího produktu. Současně však zveřejnění podrobné guidance významně snižuje prostor pro argumentaci, že praktická aplikace CRA není dostatečně jasná. Pro management firem vyrábějících hardware, software a další produkty s digitálními prvky proto nyní dává smysl přejít od obecného sledování legislativy ke konkrétnímu implementačnímu projektu.
Nejbližším milníkem je 11. září 2026. Hlavní produktové požadavky budou následovat 11. prosince 2027. Firmy, které chtějí po tomto datu bez komplikací uvádět své produkty na evropský trh, by již nyní měly mít jasno v rozsahu regulace, klasifikaci produktů, odpovědnostech a způsobu prokazování shody.
