Cyber Resilience Act: nové pokyny agentury ENISA k SBOM a bezpečným aktualizacím
ENISA zveřejnila technická doporučení k soupisům softwarových komponent (22. října) a bezpečným aktualizacím (4. listopadu) pro výrobce podle CRA.
Agentura Evropské unie pro kybernetickou bezpečnost (ENISA) zveřejnila 22. října 2026 Technical Advisory for Software Bill of Materials a 4. listopadu 2026 Technical Advisory on Secure Update Mechanisms. Oba dokumenty jsou určeny výrobcům podle Cyber Resilience Act (CRA), zejména malým a středním. Jde o pokyny, ne o právo, a nezakládají předpoklad shody.
Co se mění
CRA vyžaduje SBOM v běžně používaném strojově čitelném formátu, který pokrývá alespoň závislosti nejvyšší úrovně, a orgán dozoru nad trhem si jej může vyžádat (příloha I část II a příloha VII). Bezpečnostní aktualizace musí být šířeny bezpečně, bez zbytečného odkladu a bezplatně, pokud možno odděleně od funkčních aktualizací. ENISA nyní ukazuje, jak to udělat v praxi:
- SBOM: používat CycloneDX nebo SPDX, vytvářet SBOM při každém sestavení a poté jej ověřovat, podepisovat, ukládat a udržovat. Uchovávat důkazy pro audity a žádosti úřadů a zaznamenávat mezery v pokrytí.
- Aktualizace: podepisovat metadata a chránit klíče, přijímat aktualizace jen z důvěryhodných zdrojů přes šifrované spojení a odmítat zastaralá nebo opakovaná metadata. Kde je to možné, instalovat bezpečnostní aktualizace ve výchozím nastavení automaticky a ke každé opravě zveřejnit jasné upozornění.
Klíčová data
- 11. září 2026: hlášení aktivně zneužívaných zranitelností a závažných incidentů přes jednotnou platformu pro podávání hlášení agentury ENISA už platí. Společná prohlášení EU ke kritickým zranitelnostem PHP (21. října) a k incidentům chladicích systémů (4. listopadu) to výrobcům připomněla.
- 11. prosince 2027: CRA se použije v plném rozsahu, včetně SBOM, bezpečných aktualizací a doby podpory nejméně pět let, pokud se nepředpokládá kratší doba používání výrobku (čl. 13 odst. 8).
Více: Cyber Resilience Act: hlášení už platí.
Co dělat teď
Sepište výrobky v působnosti, ke každému vydání vytvořte SBOM a ověřte, kdo smí aktualizaci podepsat a jak ji zařízení kontrolují. Dazr Compliance to spojuje v jednom modulu CRA: klasifikace výrobků, nahrání SBOM ve formátu CycloneDX nebo SPDX JSON s kontrolou známých zranitelností, lhůty hlášení podle článku 14 a technická dokumentace podle přílohy VII.
Zdroje
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
Pouze pro informaci, nejde o právní poradenství. Naposledy aktualizováno 7. listopadu 2026.
K dispozici také v jazyce: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Slovenčina, Dansk, Svenska, Norsk bokmål