Průvodce Cyber Resilience Act
Praktický plán pro týmy, které vyvíjejí produkty s digitálními prvky: co dělat, kdo za to odpovídá a jaké důkazy uchovávat. Co říká samotný zákon, se dočtete v článku co je Cyber Resilience Act. Dodáváte komponenty výrobci? Přečtěte si průvodce SBOM pro dodavatele.
Naposledy aktualizováno 15. října 2026
What the Cyber Resilience Act asks manufacturers to do
Rozsah nařízení (EU) 2024/2847, data, kdy nabývá účinnosti, lhůty pro oznamování a kde se nacházejí povinnosti týkající se SBOM a řešení zranitelností.
Petteri Pulkkinen a Erika Marttinen na akci Kubernetes Community Days Helsinki 2026, od 8:03 do 15:20 záznamu SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.
Kroky jdou zhruba v tomto pořadí, ale u produktů, které už jsou na trhu, mají přednost kroky 5 až 8, protože povinnost hlášení se na ně vztahuje už nyní.
Sepište každý produkt s digitálními prvky, který dodáváte na trh v EU, včetně softwaru prodávaného samostatně a cloudových backendů, které produkty potřebují ke svému fungování. U každého ověřte, že není vyloučen (zdravotnické prostředky, vozidla, letectví, námořní vybavení, obrana), a zda jste jeho výrobcem, dovozcem, nebo distributorem.
Zkontrolujte produkt pomocí CRA Checkeru →Většina produktů patří do výchozí kategorie. Porovnejte ty své se seznamy důležitých (příloha III) a kritických (příloha IV) produktů; jejich technické popisy uvádí prováděcí nařízení (EU) 2025/2392. Kategorie rozhoduje, zda smíte provést posouzení sami, nebo potřebujete oznámený subjekt či certifikaci.
Pro každý produkt vypracujte posouzení kybernetických rizik. To určuje, jak se uplatní základní požadavky z přílohy I, a patří do technické dokumentace. Aktualizujte ho, když se změní produkt nebo hrozby.
Rozhodněte, jak dlouho budete u každého produktu řešit zranitelnosti: nejméně pět let, pokud se nepředpokládá, že se produkt bude používat kratší dobu. Informujte uživatele, kdy podpora končí, a každou bezpečnostní aktualizaci nechte dostupnou nejméně 10 let.
CRA požaduje softwarový kusovník v běžně používaném, strojově čitelném formátu, který obsahuje přinejmenším nejdůležitější závislosti produktu. Když ho generujete v buildu, ze kterého vydání vzniká, a ne jednou ručně, zůstává věrný tomu, co bylo dodáno.
Kam zapadá CRACI: CRACI zaznamenává SBOM během běhu každého buildu, včetně tranzitivních závislostí a balíčků obnovených z cache, a exportuje ji jako CycloneDX nebo SPDX.
Po celou dobu podpory sledujte kvůli novým zranitelnostem vydané verze, nejen hlavní větev. Opravujte je bez zbytečného odkladu, bezpečnostní aktualizace dodávejte zdarma a tam, kde je to proveditelné, odděleně od aktualizací funkcí.
Kam zapadá CRACI: CRACI po dodání znovu kontroluje monitorované SBOM proti novým zranitelnostem a bezpečnostní týmy u nálezů provádějí triáž a posílají je týmům, které opravu vlastní. Policy gates mohou build kvůli nálezům zablokovat.
Dejte výzkumníkům a zákazníkům kontakt pro hlášení zranitelností a politiku koordinovaného zveřejňování zranitelností. Jakmile je aktualizace k dispozici, zveřejněte informace o zranitelnostech, které opravuje.
Od 11. září 2026 vyžaduje aktivně zneužívaná zranitelnost nebo závažný incident včasné varování do 24 hodin, oznámení do 72 hodin a závěrečnou zprávu, a to prostřednictvím Single Reporting Platform. Určete, kdo potvrzuje aktivní zneužívání, kdo podává hlášení a kdo informuje uživatele. Nejtěžší je během několika hodin zjistit, které produkty a vydání zranitelnou komponentu obsahují.
Kam zapadá CRACI: Historie buildů v CRACI ukazuje, které buildy obsahovaly zranitelnou závislost, pohled inventáře ukazuje, které verze jsou nasazeny ve kterých produktech, a CRACI připravuje obsah oznámení podle CRA, která pak podáváte vy.
Dodávejte bez známých zneužitelných zranitelností a s konfigurací bezpečnou ve výchozím nastavení, chraňte data a přístup, omezte plochu útoku a umožněte bezpečnostní aktualizace, kde je to vhodné, ve výchozím nastavení automatické. Bezpečnost pravidelně testujte a revidujte.
Kam zapadá CRACI: CRACI vynucuje egress policy pro to, co smí buildy stahovat, a policy gates mohou build kvůli nálezům zablokovat.
Shromážděte technickou dokumentaci popsanou v příloze VII, proveďte posouzení shody pro svou kategorii, vypracujte EU prohlášení o shodě a připojte označení CE. Dokumentaci a prohlášení uchovávejte nejméně 10 let nebo po dobu podpory, podle toho, co je delší.
Kam zapadá CRACI: CRACI exportuje SBOM jako CycloneDX nebo SPDX, včetně zranitelností nalezených v jejich komponentách, a jeho API vrací SBOM, síťové stopy a původ (provenance) pro vaši technickou dokumentaci. Posouzení a prohlášení zůstávají vaším procesem.
Orgány dozoru nad trhem si mohou vyžádat vaši technickou dokumentaci. Tabulka ukazuje, jaké důkazy po sobě každý požadavek zanechává a kde je CRACI zaznamenává z vašich buildů.
| Požadavek | Kde | Důkazy k uchování | Z CRACI |
|---|---|---|---|
| Posouzení kybernetických rizik | Článek 13, příloha I | Zdokumentované posouzení pro každý produkt | Váš proces |
| Žádné známé zneužitelné zranitelnosti při vydání | Příloha I, část I | Stav zranitelností buildu vydání | SBOM buildu vydání ověřená proti bezpečnostním upozorněním; policy gates |
| Softwarový kusovník | Příloha I, část II | Strojově čitelná SBOM pro každé vydání | Zaznamenaná z každého buildu, CycloneDX nebo SPDX |
| Řešení zranitelností po dobu podpory | Článek 13, příloha I, část II | Nálezy, rozhodnutí z triáže, opravy, bezpečnostní upozornění | Průběžné opětovné vyhodnocování, triáž, VEX |
| Náležitá péče u komponent třetích stran | Článek 13 | Záznamy o komponentách, včetně nakoupeného softwaru | SBOM dodavatelů monitorované spolu s vašimi; deklarované licence |
| Hlášení zneužívaných zranitelností a závažných incidentů | Článek 14 | Včasná varování, oznámení, závěrečné zprávy | Připravuje obsah oznámení, která podáváte vy |
| Doba podpory | Článek 13 | Zveřejněné datum konce podpory | Váš proces |
| Technická dokumentace a prohlášení | Článek 13, příloha VII | Uchovávané 10 let nebo po dobu podpory | Export SBOM a data z API pro dokumentaci |
Cyber Resilience Act
Pomocí tohoto checklistu přidělte odpovědnost a shromažďujte důkazy, zatímco připravujete produkty s digitálními prvky na CRA.
Praktické otázky, které si týmy kladou, když s CRA začínají
Splnit základní požadavky z přílohy I na základě posouzení kybernetických rizik, vést SBOM, řešit zranitelnosti po dobu podpory v délce nejméně pěti let, hlásit aktivně zneužívané zranitelnosti a závažné incidenty, vést technickou dokumentaci, projít posouzením shody a připojit označení CE.
U rozsahu a hlášení. Zjistěte, na které produkty se CRA vztahuje, a pak se ujistěte, že byste u aktivně zneužívané zranitelnosti zvládli včasné varování do 24 hodin, protože povinnost hlášení platí od 11. září 2026, a to i pro produkty, které už jsou na trhu. Zbytek platí od 11. prosince 2027.
Uvádí to příloha VII. Patří sem posouzení kybernetických rizik produktu, SBOM a informace o tom, jak výrobce řeší zranitelnosti. Uchovává se nejméně 10 let nebo po dobu podpory, podle toho, co je delší, a na požádání se předává orgánům dozoru nad trhem.
Ne. SBOM je součástí technické dokumentace a na požádání se předává orgánu dozoru nad trhem. Nařízení nevyžaduje její zveřejnění.
Ano. Evropská komise 27. července 2026 zveřejnila nezávazné pokyny C(2026) 5252 s 67 praktickými příklady. Zabývají se vzdáleným zpracováním dat, svobodným a open source softwarem, podstatnou změnou, dobami podpory, hlášením a posouzením rizik. Prováděcí nařízení (EU) 2025/2392 popisuje kategorie důležitých a kritických produktů.
Povinnosti jsou stejné, ale mikropodniky a malé podniky nedostávají pokuty za nedodržení 24hodinové lhůty pro včasné varování a pokyny Komise jsou psány s ohledem na mikropodniky a malé a střední podniky.
Ne. Splnění CRA je procesem výrobce, včetně posouzení rizik, posouzení shody a prohlášení. CRACI automatizuje významnou část přehledu o dodavatelském řetězci a důkazů, které tento proces potřebuje: SBOM z každého buildu, sledování zranitelností po vydání a oznámení podle CRA.
Podívejte se, jak CRACI zaznamenává SBOM z každého buildu, monitoruje, co jste dodali, a připravuje oznámení podle CRA, která pak podáváte vy