Cyber Resilience Act: hlášení už platí, zbytek v roce 2027
Od 11. září 2026 výrobci hlásí zneužívané zranitelnosti a závažné incidenty na platformě ENISA. Celý CRA se použije od 11. prosince 2027.
Cyber Resilience Act (nařízení (EU) 2024/2847) stanoví bezpečnostní požadavky na hardware a software prodávaný v EU. Jeho první povinnost se skutečnou vahou už platí a hlavní požadavky přijdou za něco přes rok.
Co platí od 11. září 2026
Výrobci produktů s digitálními prvky musí hlásit dva druhy událostí přes jednotnou platformu pro podávání hlášení agentury ENISA, spuštěnou 11. září 2026:
- Aktivně zneužívané zranitelnosti ve svých produktech: včasné varování do 24 hodin od zjištění, oznámení do 72 hodin a závěrečnou zprávu do 14 dnů poté, co je k dispozici nápravné nebo zmírňující opatření.
- Závažné incidenty ovlivňující bezpečnost jejich produktů: včasné varování do 24 hodin, oznámení do 72 hodin a závěrečnou zprávu do jednoho měsíce od oznámení.
Hlášení jde týmu CSIRT členského státu výrobce, který působí jako koordinátor, a současně agentuře ENISA. Výrobce musí také informovat uživatele produktu, případně o opatřeních, která mohou přijmout.
Povinnosti se týkají i produktů, které už jsou na trhu, nejen nových (čl. 69 odst. 3). Vztahují se i na mikro a malé výrobce, kterým však nelze uložit pokutu jen za zmeškání 24hodinového včasného varování.
Co přijde dál
- 11. prosince 2027: CRA se použije v plném rozsahu: bezpečnost již od návrhu, řešení zranitelností po dobu podpory, technická dokumentace, posuzování shody a označení CE. Od tohoto data platí hlásné povinnosti i pro správce open source softwaru (open-source stewards).
- Od 11. června 2026 platí pravidla pro oznamování subjektů posuzování shody, aby oznámené subjekty byly připraveny před rokem 2027.
Co dělat teď
- Určete, kdo ve vaší organizaci může podat hlášení do 24 hodin, i o víkendu, a vyzkoušejte přístup k platformě.
- Veďte jeden záznam pro každou událost s okamžikem, kdy jste se o ní dozvěděli, protože od něj běží všechny lhůty.
- Připravte krátký vzorový text pro informování uživatelů.
- Čas do prosince 2027 využijte na požadavky na návrh a dokumentaci: soupis dotčených produktů, soupis softwarových komponent (SBOM) a proces řešení zranitelností.
Článek 14 podrobně v našem průvodci: hlášení podle Cyber Resilience Act.
Zdroje
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 14, 64, 69 and 71
- ENISA: The CRA Single Reporting Platform is launched (11 September 2026)
- European Commission: Cyber Resilience Act reporting obligations
Pouze pro informaci, nejde o právní poradenství. Naposledy aktualizováno 19. října 2026.
K dispozici také v jazyce: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Slovenčina, Dansk, Svenska, Norsk bokmål