Cyber Resilience Act: hlásenia už platia, zvyšok v roku 2027

Zverejnené 19. októbra 2026 · Dazr

Od 11. septembra 2026 výrobcovia hlásia zneužívané zraniteľnosti a závažné incidenty na platforme ENISA. Celý CRA sa uplatní od 11. decembra 2027.

Cyber Resilience Act (nariadenie (EÚ) 2024/2847) stanovuje bezpečnostné požiadavky na hardvér a softvér predávaný v EÚ. Jeho prvá povinnosť so skutočnou váhou už platí a hlavné požiadavky prídu o niečo viac ako o rok.

Čo platí od 11. septembra 2026

Výrobcovia produktov s digitálnymi prvkami musia hlásiť dva druhy udalostí cez jednotnú platformu na podávanie hlásení agentúry ENISA, spustenú 11. septembra 2026:

Aktívne zneužívané zraniteľnosti vo svojich produktoch: včasné varovanie do 24 hodín od zistenia, oznámenie do 72 hodín a záverečnú správu do 14 dní po tom, ako je k dispozícii nápravné alebo zmierňujúce opatrenie.
Závažné incidenty ovplyvňujúce bezpečnosť ich produktov: včasné varovanie do 24 hodín, oznámenie do 72 hodín a záverečnú správu do jedného mesiaca od oznámenia.

Hlásenie ide tímu CSIRT členského štátu výrobcu, ktorý pôsobí ako koordinátor, a zároveň agentúre ENISA. Výrobca musí informovať aj používateľov produktu, prípadne o opatreniach, ktoré môžu prijať.

Povinnosti sa týkajú aj produktov, ktoré už sú na trhu, nielen nových (čl. 69 ods. 3). Vzťahujú sa aj na mikro a malých výrobcov, ktorým však nemožno uložiť pokutu len za zmeškanie 24-hodinového včasného varovania.

Čo príde ďalej

11. decembra 2027: CRA sa uplatní v plnom rozsahu: bezpečnosť už od návrhu, riešenie zraniteľností počas obdobia podpory, technická dokumentácia, posudzovanie zhody a označenie CE. Od tohto dátumu platia ohlasovacie povinnosti aj pre správcov open source softvéru (open-source stewards).
Od 11. júna 2026 platia pravidlá pre notifikáciu orgánov posudzovania zhody, aby notifikované osoby boli pripravené pred rokom 2027.

Čo robiť teraz

Určte, kto vo vašej organizácii môže podať hlásenie do 24 hodín, aj cez víkend, a vyskúšajte prístup k platforme.
Veďte jeden záznam pre každú udalosť s okamihom, keď ste sa o nej dozvedeli, lebo od neho plynú všetky lehoty.
Pripravte krátky vzorový text na informovanie používateľov.
Čas do decembra 2027 využite na požiadavky na návrh a dokumentáciu: zoznam dotknutých produktov, zoznam softvérových komponentov (SBOM) a proces riešenia zraniteľností.

Článok 14 podrobne v našom sprievodcovi: hlásenie podľa Cyber Resilience Act.

Zdroje

Len na informačné účely, nejde o právne poradenstvo. Naposledy aktualizované 19. októbra 2026.

Témy: Cyber Resilience Act, ENISA, EÚ

K dispozícii aj v jazyku: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Dansk, Svenska, Norsk bokmål