Výrobci digitálních produktů musí od 11. září hlásit zneužívané zranitelnosti do 24 hodin

Nařízení platí dva roky, povinnosti začínají teď

Nařízení (EU) 2024/2847, kterému se běžně říká Cyber Resilience Act (CRA), vstoupilo v platnost 10. prosince 2024. Klade jednotné požadavky na kybernetickou bezpečnost produktů s digitálními prvky po celou dobu jejich životního cyklu, tedy od návrhu přes vývoj až po údržbu a bezpečnostní aktualizace. Většina jeho ustanovení se ale začne uplatňovat až 11. prosince 2027. Výjimkou jsou oznamovací povinnosti a ty platí od 11. září 2026.

Rozsah je široký. Evropská komise ho popisuje jako připojitelný hardware i software, od chůviček po chytré hodinky, od aplikací po počítačové programy. Server Lupa.cz k tomu doplňuje počítače, chytré telefony, routery, zařízení internetu věcí, chytré spotřebiče, operační systémy, mobilní aplikace i cloudové služby. Produkty ponesou označení CE a dodržování pravidel budou hlídat vnitrostátní orgány dozoru nad trhem.

Do 24 hodin varování, do 72 podrobnosti

Oznamovací povinnost upravuje článek 14 nařízení a týká se dvou věcí: aktivně zneužívaných zranitelností a závažných incidentů s dopadem na bezpečnost produktu. Slovo „aktivně“ tu není ozdoba. Nařízení jím míní případy, kdy výrobce zjistil narušení bezpečnosti, které způsobil škodlivý aktér využitím chyby v jeho produktu. Zranitelnost, kterou zatím nikdo nezneužil, sem tedy nepatří.

Lhůty jsou dvě. Do 24 hodin od okamžiku, kdy se výrobce o věci dozví, musí podat včasné varování; v něm podle možností uvede i členské státy, ve kterých je jeho produkt dostupný. Do 72 hodin musí doplnit oznámení o zranitelnosti s obecnými informacemi o dotčeném produktu, o povaze zneužití a o nápravných či zmírňujících opatřeních, včetně těch, která můžou přijmout sami uživatelé.

Oznámení nemíří na jedno místo do Bruselu. Jde koordinujícímu týmu CSIRT a zároveň agentuře ENISA, a to přes jednotnou platformu pro podávání zpráv. Tu podle článku 16 zřizuje ENISA a také ji každodenně provozuje; členské státy si v ní zavádějí vlastní koncové body elektronického oznamování. Který tým je v dané zemi koordinátorem, samo nařízení neurčuje.

Výrobce má dát vědět i uživatelům

Hlášením úřadům povinnosti nekončí. Podle článku 14 odst. 8 musí výrobce poté, co se o zneužívané zranitelnosti nebo závažném incidentu dozví, informovat zasažené uživatele produktu, a je-li to potřeba, i všechny uživatele. Součástí má být popis opatření, kterými se dá dopad zmírnit. Nařízení počítá s tím, že to výrobce udělá třeba zveřejněním na svých stránkách, případně přímým oslovením, pokud uživatele kontaktovat umí.

Pokyny Komise jsou nezávazné a mají 67 příkladů

Komise 27. července 2026 zveřejnila sdělení C(2026) 5252 a v jeho příloze praktické pokyny k uplatňování nařízení. Závazné nejsou. Odpovídají na otázky, které podle Komise zaznívaly nejčastěji: kdy produkt do rozsahu nařízení spadá, a to včetně řešení pro vzdálené zpracování dat a svobodného a otevřeného softwaru, co je podstatná změna produktu, jak se chápe doba podpory a jak plnit oznamovací povinnosti a posuzování rizik.

Komise uvádí, že zvláštní pozornost věnovala mikropodnikům a malým a středním firmám: pokyny obsahují 67 praktických příkladů, příklady použití, vývojové diagramy a grafy. Vznikly po konzultaci s expertní skupinou pro kybernetickou bezpečnost produktů s digitálními prvky a po letošní veřejné konzultaci. Podle článku 26 nařízení Komise zváží vydání dalších pokynů, pokud budou potřeba.

Co na to firmy

Hospodářská komora ČR na termín upozornila tiskovou zprávou ze 17. srpna. „Pro firmy je nyní podstatné především to, že první povinnosti nezačínají až v roce 2027, ale už 11. září 2026,“ uvedl v ní člen jejího představenstva Jakub Rejzek. Komora firmám doporučuje připravit si vnitřní postup, jak takový případ rozpoznat a jak ho rychle předat odpovědným lidem. Při lhůtě 24 hodin se nedá čekat, až se sejde vedení.

Otevřenou otázkou zůstávají ceny. Distributor EET Group v komentáři pro Lupa.cz odhaduje, že se část nákladů na bezpečnější vývoj, testování, dokumentaci a dlouhodobé řešení zranitelností může promítnout do koncových cen. Plošné zdražení veškerého IT hardwaru z toho podle něj nebude: největší dopad čeká u složitějších síťových zařízení a zařízení internetu věcí, u jednodušších produktů menší. Je to odhad prodejce, ne měření.

Nejméně se mluví o té části, která se běžného uživatele týká nejvíc, tedy o povinnosti výrobce dát vědět. Dosud záleželo na tom, jestli firma sama uzná za vhodné o zneužité chybě mluvit. Od 11. září to má být povinnost a jestli se to na chování výrobců projeví, ukážou až první případy.

Zdroje

• Evropská komise: pokyny k uplatňování aktu o kybernetické odolnosti (27. 7. 2026)
• Evropská komise: přehled k aktu o kybernetické odolnosti
• EUR-Lex: nařízení Evropského parlamentu a Rady (EU) 2024/2847
• Hospodářská komora ČR: upozornění na nové povinnosti podle CRA (17. 8. 2026)
• Lupa.cz: o dopadu regulace na dodavatele elektroniky, softwaru a online služeb (17. 8. 2026)