Od 11. září běží u chytrých výrobků lhůta 24 hodin. Hlásit musí i malí výrobci a softwarové firmy - Unie malých a středních podniků

Od 11. září 2026 platí první povinnost z evropského nařízení o kybernetické odolnosti, známého jako Cyber Resilience Act. Kdo vyrábí nebo pod svou značkou prodává cokoli, co má software nebo se připojuje, musí od toho dne hlásit aktivně zneužívanou zranitelnost do 24 hodin. Netýká se to jen velkých firem a nevztahuje se to jen na nové produkty: hlásit se musí i závady v tom, co je na trhu už dnes. Zbytek nařízení začne platit až 11. prosince 2027.

Co přesně začne 11. září platit

Nařízení Evropského parlamentu a Rady (EU) 2024/2847 stanoví v závěrečném ustanovení: „Toto nařízení se použije ode dne 11. prosince 2027. Článek 14 se však použije se ode dne 11. září 2026 a kapitola IV (články 35 až 51) se použije ode dne 11. června 2026.“

Článek 14 je ohlašovací povinnost výrobce. Ostatní povinnosti, tedy bezpečnostní požadavky na produkt, technická dokumentace, posuzování shody a značka CE, přijdou až s prosincem 2027. Kdo tedy čte, že „CRA začne platit až za rok a půl“, má pravdu jen zpola.

Tři lhůty, které je potřeba znát

U zranitelnosti, kterou už někdo aktivně zneužívá, jsou podle čl. 14 odst. 2 tři kroky:

do 24 hodin od okamžiku, kdy se o ní výrobce dozví, včasné varování,
do 72 hodin oznámení o zranitelnosti s popisem dotčeného produktu, povahy zneužívání a přijatých opatření,
do 14 dnů od chvíle, kdy je k dispozici oprava nebo zmírňující opatření, závěrečná zpráva.

U závažného incidentu s dopadem na bezpečnost produktu platí podle čl. 14 odst. 4 stejné lhůty 24 a 72 hodin, závěrečná zpráva se ale podává do jednoho měsíce od oznámení podle druhého kroku.

Nařízení také říká, co je závažný incident. Podle čl. 14 odst. 5 jde o situaci, kdy incident negativně ovlivňuje nebo může ovlivnit schopnost produktu chránit dostupnost, autenticitu, integritu nebo důvěrnost citlivých či důležitých dat nebo funkcí, anebo vedl či může vést ke spuštění škodlivého kódu v produktu nebo v systémech uživatele.

Koho se to týká

Klíčová je definice v čl. 3 bodu 1: produktem s digitálními prvky je „softwarový nebo hardwarový produkt a jeho řešení pro zpracování dat na dálku, včetně softwarových nebo hardwarových komponent, které jsou uváděny na trh samostatně“. Prakticky tedy nejde jen o IT firmy. Spadá sem stroj s řídicí jednotkou, měřicí přístroj s Wi-Fi, chytrá zásuvka, kamerový systém, mobilní aplikace i software prodávaný samostatně.

Nařízení nedělá výjimku podle velikosti firmy. Naopak dělá výjimku u nekomerčního vývoje: nevztahuje se na osoby, které přispívají zdrojovým kódem k svobodnému softwaru s otevřeným zdrojovým kódem, za nějž nenesou odpovědnost.

Pozor na jeden detail, který se snadno přehlédne. Podle čl. 69 odst. 2 se produkty uvedené na trh před 11. prosincem 2027 řídí nařízením jen tehdy, pokud po tomto datu projdou podstatnou změnou. Odstavec 3 ale stanoví výjimku z této výjimky: „povinnosti stanovené v článku 14 se vztahují na všechny produkty s digitálními prvky spadající do oblasti působnosti tohoto nařízení, které byly uvedeny na trh před 11. prosincem 2027“. Ohlašovací povinnost tedy dopadá i na produkty, které máte na trhu už roky.

Kam se hlásí

Hlášení jde přes jednotnou evropskou platformu, kterou provozuje agentura ENISA. Jmenuje se Single Reporting Platform a podle ENISA se spouští právě 11. září 2026. Výrobce podá hlášení jednou a platforma je předá příslušnému národnímu týmu CSIRT i agentuře ENISA, takže se nemusí obcházet úřady v jednotlivých státech.

Z praktického hlediska stojí za pozornost tři věci, které ENISA uvádí ve svých odpovědích na časté dotazy:

Registrace probíhá přes účet EU Login, který si lze založit předem na ecas.ec.europa.eu.
Rozhraní API se v této fázi neposkytuje. Vlastní proces si firma může zautomatizovat, ale samotné hlášení nakonec někdo odešle přes webový formulář.
Od 11. září bude přes platformu možné i dobrovolné hlášení, a to od kohokoli, včetně hlášení zranitelností, hrozeb a situací, kdy k incidentu skoro došlo.

Výrobce se sídlem mimo Unii plní povinnost prostřednictvím svého pověřeného zástupce usazeného v některém členském státě.

V Česku je podle nového zákona o kybernetické bezpečnosti koordinátorem koordinovaného zveřejňování zranitelností vládní CERT, který je součástí NÚKIB. Kontaktní adresa pro hlášení zranitelností je cvd@nukib.gov.cz.

Kolik hrozí za nesplnění

Sankce nejsou symbolické. Podle čl. 64 odst. 2 se za nedodržení základních požadavků na kybernetickou bezpečnost podle přílohy I a povinností podle článků 13 a 14 ukládají správní pokuty až do výše 15 000 000 EUR, nebo jde-li o podnik, až do 2,5 % celkového ročního celosvětového obratu za předchozí finanční rok, podle toho, která hodnota je vyšší. Konkrétní pravidla pro ukládání sankcí stanoví členské státy.

Co udělat do 11. září

Odpovězte si, zda jste výrobce. Pokud prodáváte pod svou značkou zařízení nebo software, které vyrobil někdo jiný, počítejte s tím, že role výrobce může být vaše.
Určete konkrétního člověka, který u vás rozhoduje, že „tohle je aktivně zneužívaná zranitelnost“. Lhůta 24 hodin běží od chvíle, kdy se o ní firma dozví, tedy i v pátek večer.
Založte si EU Login a projděte si postup registrace do platformy ENISA dřív, než ho budete potřebovat pod tlakem.
Zaveďte kanál pro hlášení zvenčí. Většina firem se o zneužívané zranitelnosti dozví od zákazníka nebo od bezpečnostního výzkumníka. Pokud nemají kam napsat, dozvíte se to pozdě.
Projděte i starší produkty. Ohlašovací povinnost se na ně vztahuje, i když ostatní požadavky nařízení na ně nedopadnou.

Zdroje

Článek popisuje stav k 17. 8. 2026. Nařízení je přímo použitelné, výklad jednotlivých povinností může Evropská komise dále upřesňovat pokyny.

Text byl vytvořen umělou inteligencí (AI) na základě ověřených zdrojů uvedených v článku. Za publikaci odpovídá Unie malých a středních podniků ČR, z.s. Chybu nahlaste na dotazy@sme-union.cz.