Akt o kybernetické odolnosti (CRA) – koho se týká a jaké nové povinnosti přináší?

V prosinci 2024 vstoupilo v platnost Nařízení (EU) 2024/2847 o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky, známé jako Cyber Resilience Act (CRA) neboli akt o kybernetické odolnosti.[1] Jde o významnou celounijní regulaci, která stanovuje požadavky na kybernetickou bezpečnost pro všechny produkty s digitálními prvky uváděné na trh v EU. Jaké povinnosti CRA přináší, na koho se vztahuje a jak se na něj připravit?

Co je cílem CRA?

Kybernetická bezpečnost digitálních produktů představuje důležité téma pro jednotlivé uživatele i dodavatelské řetězce a kritickou infrastrukturu. Dosud přitom v EU neexistoval jednotný právní rámec, který by stanovoval komplexní požadavky na kybernetickou bezpečnost pro produkty s digitálními prvky. Stávající klíčová regulace v oblasti kybernetické bezpečnosti, směrnice NIS2[2], se totiž nezaměřuje na produkty jako takové, ale na bezpečnost služeb v odvětvích jako jsou IT, zdravotnictví či energetika. CRA má tuto mezeru zaplnit.

Hlavním cílem je zajistit, aby hardwarové i softwarové produkty s digitálními prvky byly navrhovány, vyvíjeny a vyráběny s důrazem na kybernetickou bezpečnost, a aby výrobci aktivně řešili zranitelnosti po celou dobu životního cyklu daného produktu. Nařízení zároveň posiluje pozici uživatelů, kteří budou moci díky novým povinnostem výrobců lépe posoudit kybernetickou bezpečnost produktů, které si kupují a používají.

Na jaké subjekty a výrobky se CRA vztahuje?

CRA se vztahuje na výrobce, dovozce a distributory, kteří uvádějí na trh EU tzv. produkty s digitálními prvky. Klíčovým pojmem je „produkt s digitálními prvky“, který CRA definuje jako jakékoli softwarové nebo hardwarové produkty uváděné na trh samostatně, včetně jejich řešení pro vzdálené zpracování dat (RDPS), jehož zamýšlený účel nebo rozumně předvídatelné použití zahrnuje přímé či nepřímé připojení k zařízení nebo síti.

Abyste určili, jestli váš produkt spadá pod CRA, je tedy nutno zodpovědět tři otázky:

• Je váš produkt software nebo hardware?
• Je tento produkt uváděn na trh EU v rámci obchodní činnosti?
• Zahrnuje jeho zamýšlený účel nebo předvídatelné použití připojení k zařízení nebo síti?

Pokud na všechny tři otázky odpovídáte ano, CRA se na váš produkt s největší pravděpodobností vztahuje. V praxi mezi produkty s digitálními prvky spadají například chytrá zařízení (smart TV, chytré zámky, termostaty, chůvičky, chytré hodinky), síťové prvky (routery, modemy, přepínače), IoT zařízení a průmyslové řídicí systémy, operační systémy, mobilní aplikace a firmwary, či serverový hardware a mikroprocesory.

Naopak pokud daný produkt nemá potřebné připojení k zařízení či síti, nespadá pod CRA. Příkladem jsou myčka, kalkulačka, elektronická hračka nebo kávovar bez schopnosti se k čemukoli připojit.

Z CRA jsou dále sektorově vyloučeny zdravotnické prostředky, motorová vozidla, produkty certifikované v civilním letectví,[3] produkty určené pro národní bezpečnost nebo obranu a open-source software, pokud není poskytován v rámci obchodní činnosti.

Důležitá je rovněž kategorizace produktu s digitálními prvky podle míry rizika. Toto zařazení je rozhodující pro určení povinného postupu posuzování shody, který musí proběhnout před uvedením produktu na trh EU, např. samo posouzení výrobcem oproti povinné certifikaci třetí stranou. CRA rozlišuje čtyři úrovně produktů:

Jaké nové povinnosti CRA přináší?

CRA přináší celou řadu nových povinností, které dopadají především na výrobce. Níže shrnujeme ty nejdůležitější:

1. Security by design a by default: Produkty s digitálními prvky musí být od počátku navrhovány a vyvíjeny s integrovanou kybernetickou bezpečností. To například zahrnuje zákaz výchozích hesel typu „heslo“, řízení přístupu a použití kryptografie. Automatické aktualizace musí být u produktů pro spotřebitele ve výchozím nastavení povoleny, přičemž uživatel musí mít k dispozici snadný mechanismus pro jejich odhlášení.
2. Posouzení kybernetických bezpečnostních rizik: Výrobce musí posoudit rizika spojená s produktem, zohlednit je ve všech fázích jeho životního cyklu a posouzení průběžně aktualizovat. 
3. Řešení zranitelností a bezpečnostní aktualizace: Výrobci musí po celou dobu podpory produktu řešit zranitelnosti a hlásit aktivně zneužívané zranitelnosti a závažné incidenty. Bezpečnostní aktualizace je nutno poskytovat bezplatně, pokud možno odděleně od aktualizací funkčnosti.
4. Doba podpory zpravidla minimálně 5 let: Doba podpory musí trvat alespoň pět let, případně méně, odpovídá-li to kratší očekávané době používání produktu. U produktů s delší životností se odpovídajícím způsobem očekává delší podpora. Výrobce musí již v době nákupu jasně a srozumitelně uvést datum ukončení podpory.
5. Softwarový kusovník (SBOM): Výrobci musí zjistit a zdokumentovat komponenty produktu prostřednictvím softwarového kusovníku, který slouží jako nástroj pro řízení zranitelností v dodavatelském řetězci. Jde o neveřejnou součást technické dokumentace, kterou si mohou vyžádat pouze dozorové orgány.
6. Posouzení shody a označení CE: Před uvedením produktu na trh musí výrobce provést posouzení shody podle kategorie rizika (modul A, B+C nebo H). Úspěšné posouzení je podmínkou pro CE označení. U softwaru se uvádí na EU prohlášení o shodě nebo na doprovodné webové stránce.
7. Technická dokumentace a informace pro uživatele: Výrobce musí vypracovat technickou dokumentaci prokazující shodu s CRA, kterou musí mít k dispozici pro dozorové orgány. Produkt musí být doprovázen pokyny pro bezpečnou instalaci, provoz a používání.

První povinnost platí již od září 2026!

Od 11. září 2026 musí výrobci prostřednictvím jednotné platformy ENISA (CRA Single Reporting Platform) hlásit aktivně zneužívané zranitelnosti a závažné incidenty mající dopad na bezpečnost produktu.

Jde o zranitelnosti, u nichž existují spolehlivé důkazy o skutečném zneužití. Zranitelnosti objevené v rámci preventivní činnosti, např. při bug-bounty programech, bez důkazu předchozího zneužití, ohlašovací povinnosti nepodléhají, lze je ale nahlásit dobrovolně.

Hlášení probíhá ve třech fázích:

Zbytek CRA nabude účinnosti 11. prosince 2027. U produktů uvedených na trh před 11. prosincem 2027 se:

• musí hlásit aktivně zneužívané zranitelnosti a incidenty; 
• nemusí plnit ostatní povinnosti, pokud nedojde k podstatné modifikaci produktu

Sankce jsou odstupňované dle závažnosti, a to:

• až 15 milionů EUR nebo 2,5 % celosvětového obratu za porušení bezpečnostních požadavků;
• až 10 milionů EUR nebo 2 % celosvětového obratu za porušení např. registrační, oznamovací a součinnostní povinnosti; a
• až 5 milionů EUR nebo 1 % celosvětového obratu za poskytnutí nesprávných či zavádějících informací orgánům.

S ohledem na přechodné období doporučujeme začít s přípravou co nejdříve. Ohlašovací povinnosti začnou platit již 11. září 2026 a k 11. prosinci 2027 musí být produkty spadající do působnosti CRA již plně v souladu, což vyžaduje dostatečný časový předstih na provedení auditu produktového portfolia, úpravu vývojových a výrobních procesů, zavedení procesů řešení zranitelností a přípravu dokumentace.

Náš specializovaný tým v HAVEL & PARTNERS pro ochranu dat a kybernetickou bezpečnost vám bude k dispozici při posouzení, zda a v jakém rozsahu se CRA na vaše produkty vztahuje, zařadit je do příslušné rizikové kategorie a nastavit odpovídající postup posouzení shody. Dokážeme vám zajistit komplexní přípravu na dodržování CRA od auditu produktového portfolia přes nastavení procesů řešení zranitelností a přípravu dokumentace až po podporu při plnění ohlašovacích povinností vůči dozorovým orgánům.