Evropské nařízení CRA vstoupilo v platnost již v prosinci 2024, a přestože jeho hlavní část začne platit až v prosinci 2027, povinnost hlásit zranitelnosti a bezpečnostní incidenty přichází už 11. září 2026. Řada firem si mylně myslí, že má na přípravu stále dost času, a jejich připravenost je podle dostupných průzkumů obecně nízká.
„Firmy si datum 2027 vyložily jako ‚máme ještě rok a půl‘. Ve skutečnosti jim už zanedlouho vznikne povinnost, na kterou se měly připravovat už dávno. Nová potřeba reakce v řádu hodin nicméně vyžaduje, aby už měly nastavený proces, pověřenou odpovědnou osobu i zřízený přístup do systému, přes který se bezpečnostní incidenty ohlašují,“ říká Jan Tomíšek, partner ROWAN LEGAL a odborník na IT právo. Podle průzkumu OpenSSF a Linux Foundation z června 2026 CRA nezná 66 % dotázaných. Agentura EU pro kybernetickou bezpečnost ENISA zároveň řadí zvládání bezpečnostních incidentů mezi slabší schopnosti malých a středních podniků.
Často přehlížená jsou také přechodná ustanovení nařízení. Většina požadavků CRA se na produkty uvedené na trh před 11. prosincem 2027 vztahuje pouze tehdy, pokud projdou podstatnou změnou. Povinnost hlášení je ale výjimkou a dopadá i na dříve uvedené produkty, pokud spadají do působnosti nařízení. „Právě to manažery často překvapuje nejvíc. Nestačí zavést nový proces pro produkty, které teprve vzniknou. Firma musí vědět, co všechno má v tuto chvíli na evropském trhu, kdo za jednotlivé produkty odpovídá a jak se vůbec o případné zranitelnosti společnost dozví,“ doplňuje Michaela Holíková, associate ROWAN LEGAL a odbornice na IT právo.
Výrobcem podle CRA není jen ten, kdo produkt přímo vyvinul. Je jím i firma, která pod svou značkou nabízí software vyvinutý na zakázku někým jiným. CRA se tak netýká jen technologických společností, ale například i bank, pojišťoven nebo výrobců, kteří dodávají chytrá zařízení s přidruženou aplikací. Samotné hlášení není omezené na jednu čtyřiadvacetihodinovou lhůtu. Do 24 hodin od chvíle, kdy se výrobce o aktivně zneužívané zranitelnosti nebo závažném incidentu dozví, musí odeslat první oznámení. Do 72 hodin následuje podrobnější oznámení a u zranitelností poté závěrečná zpráva do 14 dnů od dostupnosti nápravného opatření; u závažných incidentů do jednoho měsíce. Hlášení probíhá prostřednictvím centrální platformy provozované agenturou ENISA.
Pokud náprava vyžaduje součinnost uživatelů, musí je výrobce bez zbytečného odkladu informovat o zranitelnosti či incidentu a o nápravných opatřeních, které může uživatel podniknout. Za porušení těchto povinností mohou hrozit pokuty až 10 milionů eur nebo 2 % celosvětového ročního obratu. Vymáhání CRA v Česku má upravit samostatný zákon o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, který připravilo Ministerstvo průmyslu a obchodu. Návrh počítá mimo jiné s Českou obchodní inspekcí jako hlavním orgánem dozoru nad trhem. Zákon v létě 2026 prošel připomínkovým řízením.
„Evropská povinnost hlásit zranitelnosti a incidenty začne platit 11. září bez ohledu na to, v jaké fázi bude český zákon. Firmy nesmějí čekat na jeho schválení, protože nařízení je přímo použitelné. Národní úprava dořeší především to, kdo a jak bude plnění povinností kontrolovat a sankcionovat,“ uzavírá Jan Tomíšek. Firmy by si proto měly co nejdříve zmapovat produkty s digitálními prvky, které mají na trhu EU, určit odpovědné osoby a jejich zastupitelnost a ověřit si přístup do systému pro hlášení. Stejně důležité je nastavit, jak se budou o zranitelnostech dozvídat od zákazníků, bezpečnostních výzkumníků nebo dodavatelů a jak budou v případě potřeby komunikovat se zákazníky.
Pomoc nabízí také stát. NÚKIB provozuje národní politiku koordinovaného zveřejňování zranitelností a v rámci projektu TEST-CERT-CZ podporuje nástroje pro sebehodnocení podle CRA a osvětu zaměřenou na malé a střední firmy. Evropská komise pak na konci července 2026 vydala výkladové stanovisko k CRA s praktickými příklady určenými především menším firmám.
foto: ROWAN LEGAL
Publikace vychází z původní tiskové zprávy, která byla dále redakčně zpracována – pozn. red.
Advokátní kancelář ROWAN LEGAL je partnerem legalwebu, v rámci této spolupráce byl publikován rovněž tento text.
Webové stránky ROWAN LEGAL je možné navštívit na adrese https://rowan.legal/
