V roce 2026 o 131% více nahlášených CVE denně než loni.

Co je Cyber Resilience Act?

Unijní předpis, který stanoví pravidla kybernetické bezpečnosti pro hardwarové a softwarové produkty, a co požaduje po firmách, které je vyrábějí

Cyber Resilience Act (CRA) (akt o kybernetické odolnosti), nařízení (EU) 2024/2847, je nařízení EU, které stanoví povinné požadavky na kybernetickou bezpečnost produktů s digitálními prvky: hardwaru a softwaru, který se připojuje k zařízení nebo síti, od routerů a zařízení chytré domácnosti po aplikace, operační systémy a samostatně prodávané softwarové komponenty. V platnost vstoupil 10. prosince 2024. Výrobci musí od 11. září 2026 oznamovat aktivně zneužívané zranitelnosti a závažné incidenty a zbytek nařízení se uplatňuje od 11. prosince 2027.

Většinu povinností nesou výrobci. Posuzují kybernetická rizika, navrhují produkty podle základních požadavků přílohy I, vedou softwarový kusovník (SBOM), řeší zranitelnosti po dobu podpory v délce nejméně pěti let, procházejí posouzením shody a umisťují označení CE. Dovozci a distributoři kontrolují, že se tak stalo. Pokuty dosahují až €15 milionů nebo 2,5 % celosvětového ročního obratu.

CRACI automatizuje významnou část důkazů, které tyto povinnosti vyžadují: komponenty, které každý build stáhne, zaznamenává jako SBOM, po dodání je znovu kontroluje vůči novým zranitelnostem a exportuje auditní důkazy pro vaši technickou dokumentaci. Když je třeba zranitelnost oznámit, CRACI připraví obsah oznámení podle CRA, která pak podáváte vy. Zjistěte, jak CRACI podporuje soulad s CRA.

What the Cyber Resilience Act asks manufacturers to do

Rozsah nařízení (EU) 2024/2847, data, kdy nabývá účinnosti, lhůty pro oznamování a kde se nacházejí povinnosti týkající se SBOM a řešení zranitelností.

Petteri Pulkkinen a Erika Marttinen na akci Kubernetes Community Days Helsinki 2026, od 8:03 do 15:20 záznamu SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.

Klíčové termíny

DatumCo se děje
23. října 2024 Evropský parlament a Rada přijímají nařízení (EU) 2024/2847
20. listopadu 2024 Zveřejnění v Úředním věstníku Evropské unie
10. prosince 2024 Vstup v platnost
11. června 2026 Začínají platit pravidla pro oznamování subjektů posuzování shody (kapitola IV)
11. září 2026 Začíná platit oznamování aktivně zneužívaných zranitelností a závažných incidentů (článek 14), a to i pro produkty, které už jsou na trhu
11. prosince 2027 Začíná platit zbytek nařízení

Klíčové aspekty CRA

Povinné bezpečnostní požadavky

Produkty musí splňovat základní požadavky na kybernetickou bezpečnost podle přílohy I při uvedení na trh i po celou dobu podpory.

Klasifikace podle rizika

Většina produktů patří do výchozí kategorie. Důležité a kritické produkty čekají přísnější postupy posouzení shody.

Řešení zranitelností

Výrobci vedou SBOM, bez zbytečného odkladu opravují zranitelnosti a aktivně zneužívané zranitelnosti oznamují do 24 hodin.

Označení CE

Po posouzení shody výrobce podepíše EU prohlášení o shodě a umístí na produkt označení CE.

Dokumentace a transparentnost

Technická dokumentace se uchovává nejméně 10 let nebo po dobu podpory a uživatelé se dozvědí, kdy podpora končí.

Dozor nad trhem

Vnitrostátní orgány mohou vyžádat dokumentaci, nařídit nápravná opatření nebo stažení z oběhu a uložit pokuty.

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

Koho se CRA týká?

Výrobci

Každý, kdo vyvíjí nebo vyrábí produkt s digitálními prvky nebo si ho nechává vyrobit a uvádí ho na trh pod svým jménem nebo ochrannou známkou, ať za úplatu, nebo zdarma. Výrobci mimo EU spadají pod CRA, pokud do EU prodávají.

Dovozci a distributoři

Dovozci a distributoři musí před dodáním produktu na trh EU zkontrolovat, že nese označení CE a že výrobce splnil své povinnosti.

Open source software

Pokryt je jen open source dodávaný v rámci obchodní činnosti. Správci open source softwaru podléhají mírnějšímu režimu a výrobci zůstávají odpovědní za open source komponenty, které zabudují.

Poskytovatelé softwaru a SaaS

Pokryt je software prodávaný jako produkt, stejně jako cloudový backend, který produkt potřebuje k fungování. Samotný software jako služba spadá místo CRA pod NIS2.

Mimo působnost: produkty, které už upravují unijní pravidla pro zdravotnické prostředky, diagnostické zdravotnické prostředky in vitro a schvalování typu vozidel, certifikované letecké produkty, lodní vybavení, identické náhradní díly a produkty vyvinuté výhradně pro účely národní bezpečnosti nebo obrany (článek 2).

Kategorie produktů a posouzení shody

Každý výrobce provede před uvedením produktu na trh posouzení shody. Postup závisí na kategorii produktu.

KategoriePříkladyPosouzení shody
Výchozí Většina produktů s digitálními prvky, které nejsou uvedeny v příloze III nebo IV Je povoleno vlastní posouzení (interní řízení)
Důležité, třída I (příloha III) Správa identit a přístupu, prohlížeče, správci hesel, VPN, operační systémy, routery a switche, bezpečnostní produkty pro chytrou domácnost Vlastní posouzení jen při použití harmonizovaných norem, společných specifikací nebo certifikačního schématu; jinak oznámený subjekt
Důležité, třída II (příloha III) Hypervizory a běhová prostředí kontejnerů, firewally a systémy detekce narušení, mikroprocesory a mikrokontroléry odolné proti neoprávněné manipulaci Posouzení třetí stranou, tedy oznámeným subjektem, nebo evropské certifikační schéma kybernetické bezpečnosti
Kritické (příloha IV) Hardwarová zařízení s bezpečnostními schránkami, brány chytrých měřičů, čipové karty a zabezpečené prvky Evropský certifikát kybernetické bezpečnosti, pokud ho Komise vyžaduje; jinak posouzení třetí stranou

Základní požadavky

Příloha I stanoví dvě skupiny základních požadavků. První se týká samotného produktu a vychází ze zdokumentovaného posouzení kybernetických rizik:

  • Žádné známé zneužitelné zranitelnosti při uvedení produktu na trh
  • Konfigurace zabezpečená ve výchozím nastavení
  • Bezpečnostní aktualizace, tam, kde je to vhodné, ve výchozím nastavení automatické
  • Ochrana před neoprávněným přístupem a ochrana důvěrnosti a integrity dat
  • Minimalizace dat, dostupnost základních funkcí a omezená plocha útoku
  • Bezpečné a trvalé odstranění uživatelských dat a nastavení

Druhá se týká toho, jak výrobce řeší zranitelnosti:

  • SBOM, která pokrývá přinejmenším nejdůležitější závislosti produktu
  • Odstraňování zranitelností bez zbytečného odkladu, s bezpečnostními aktualizacemi oddělenými od funkčních, kde je to proveditelné
  • Pravidelné testování a revize bezpečnosti
  • Politika koordinovaného zveřejňování zranitelností a kontakt pro hlášení zranitelností
  • Zveřejnění opravených zranitelností, jakmile je k dispozici aktualizace
  • Bezpečná a bezplatná distribuce aktualizací s doprovodnými informačními zprávami

Výrobci také stanoví dobu podpory v délce nejméně pěti let, pokud se neočekává, že produkt bude používán kratší dobu, ponechávají každou bezpečnostní aktualizaci dostupnou nejméně 10 let a uchovávají technickou dokumentaci a EU prohlášení o shodě nejméně 10 let nebo po dobu podpory, podle toho, která doba je delší (článek 13).

Oznamovací povinnosti a lhůty

Od 11. září 2026 výrobci oznamují aktivně zneužívané zranitelnosti a závažné incidenty přes Single Reporting Platform, a to současně týmu CSIRT určenému jako koordinátor v jejich hlavním členském státě EU a agentuře ENISA (článek 14). Platí to i pro produkty, které už jsou na trhu.

KrokAktivně zneužívaná zranitelnostZávažný incident
Včasné varování Do 24 hodin od zjištění Do 24 hodin od zjištění
Oznámení Do 72 hodin, s podrobnostmi o produktu, zneužití a případných zmírňujících opatřeních Do 72 hodin, s prvotním posouzením a případnými zmírňujícími opatřeními
Závěrečná zpráva Nejpozději 14 dní poté, co je k dispozici nápravné nebo zmírňující opatření Do jednoho měsíce od oznámení incidentu

Výrobci musí také informovat dotčené uživatele, případně všechny uživatele, o zmírňujících opatřeních, která mohou přijmout. Dodržet 24hodinovou lhůtu znamená během několika hodin vědět, které produkty a vydání obsahují zranitelnou komponentu, a právě k tomu slouží SBOM pro každé vydání.

Sankce

Sankce stanoví členské státy, a to v rámci těchto maxim (článek 64). Orgány dozoru nad trhem mohou také nařídit nápravná opatření, stažení produktu z trhu nebo z oběhu.

PorušeníMaximální správní pokuta
Základní požadavky na kybernetickou bezpečnost (příloha I) a povinnosti výrobců (články 13 a 14) Až €15 milionů nebo 2,5 % celkového celosvětového ročního obratu, podle toho, která částka je vyšší
Ostatní povinnosti, včetně povinností dovozců a distributorů, EU prohlášení o shodě, označení CE, technické dokumentace a posouzení shody Až €10 milionů nebo 2 % celkového celosvětového ročního obratu, podle toho, která částka je vyšší
Nesprávné, neúplné nebo zavádějící informace poskytnuté oznámeným subjektům nebo orgánům dozoru nad trhem Až €5 milionů nebo 1 % celkového celosvětového ročního obratu, podle toho, která částka je vyšší

Mikropodnikům a malým podnikům se neukládá pokuta za zmeškání 24hodinové lhůty pro včasné varování a správcům open source softwaru se neukládá pokuta za žádné porušení.

Open source a CRA

Svobodný a open source software je pokryt jen tehdy, když je dodáván v rámci obchodní činnosti, a samotné umístění projektu do otevřeného repozitáře nebo správce balíčků ho ještě nečiní dodaným na trh. Správci open source softwaru, tedy právnické osoby, například nadace, které podporují open source projekty určené ke komerčnímu využití, musí mít zdokumentovanou politiku kybernetické bezpečnosti, spolupracovat s orgány dozoru nad trhem a oznamovat aktivně zneužívané zranitelnosti v rozsahu, v jakém se podílejí na vývoji (článek 24).

Pro výrobce je open source komponenta jako každá jiná. Při jejím začleňování musí postupovat s náležitou péčí, nalezené zranitelnosti hlásit projektu, který ji udržuje, a sdílet opravy, které vyvinou (článek 13). Proto na SBOM záleží: je záznamem o tom, které open source komponenty v jakých verzích jsou v každém vydání.

Co CRA znamená pro vývojové týmy

Dnešní produkt tvoří převážně kód jiných lidí: open source knihovny, balíčky stažené z registrů, základní image kontejnerů, SDK třetích stran a nástroje pro build a pipeline CI/CD, které vše skládají dohromady. Útok SolarWinds vedl přes build systém a Log4Shell byla zranitelnost v hojně používané knihovně; obojí se dostalo až do hotových produktů. CRA činí výrobce odpovědným za to všechno, včetně náležité péče o komponenty třetích stran a open source komponenty, které zabudovává (článek 13).

Týmy, které se na CRA připravují, v praxi:

  • Vědí, co je v každém vydání, protože z každého buildu vytvářejí SBOM ve strojově čitelném formátu, jako je CycloneDX nebo SPDX, a ne jednou při vydání
  • Monitorují vydané verze, nejen hlavní větev, protože zranitelnost nalezenou po vydání je během doby podpory stále nutné bez zbytečného odkladu opravit
  • Dohodnou se na politice závislostí: jak se vybírají a posuzují nové komponenty, jak rychle se nasazují aktualizace a které nálezy blokují vydání
  • Nacvičují 24hodinovou lhůtu: kdo potvrdí aktivní zneužití, kdo podá včasné varování a kdo informuje uživatele
  • Průběžně uchovávají důkazy, protože záznamy z buildů, SBOM a výsledky testů tvoří podklad technické dokumentace, kterou je nutné uchovávat nejméně 10 let

Požadavky jako postupný plán najdete v průvodci CRA. Podívejte se také, co CRA požaduje od SBOM a jak CRACI podporuje soulad s CRA. Dodáváte komponenty výrobcům? Přečtěte si průvodce SBOM pro dodavatele.

Cyber Resilience Act: časté dotazy

Stručné odpovědi na otázky, na které se výrobci na CRA ptají nejčastěji

Co je Cyber Resilience Act?

Cyber Resilience Act (CRA), nařízení (EU) 2024/2847, je nařízení EU, které stanoví povinné požadavky na kybernetickou bezpečnost hardwarových a softwarových produktů s digitálními prvky uváděných na trh EU. Činí výrobce odpovědnými za bezpečnost od návrhu po dobu podpory v délce nejméně pěti let, včetně řešení zranitelností, SBOM a oznamování aktivně zneužívaných zranitelností.

Odkdy se Cyber Resilience Act uplatňuje?

Vstoupil v platnost 10. prosince 2024. Oznamovací povinnosti podle článku 14 platí od 11. září 2026, pravidla pro subjekty posuzování shody od 11. června 2026 a zbytek nařízení od 11. prosince 2027.

Vztahuje se CRA na software a SaaS?

Software prodávaný nebo dodávaný jako produkt se do působnosti vejde, včetně aplikací, operačních systémů, firmwaru a softwarových komponent uváděných na trh samostatně. Cloudové služby jsou pokryty jen jako řešení pro zpracování dat na dálku pro produkt, například cloudový backend, přes který ovládáte zařízení chytré domácnosti. Samotný software jako služba místo toho spadá pod NIS2 (bod odůvodnění 12).

Vztahuje se CRA na open source software?

Jen na open source dodávaný v rámci obchodní činnosti. Nekomerční open source projekty do jeho působnosti nespadají. Správci open source softwaru, například nadace podporující projekty určené ke komerčnímu využití, podléhají mírnějšímu režimu a nelze jim uložit pokutu. Výrobci, kteří open source komponenty zabudují do svých produktů, za ně nesou plnou odpovědnost.

Jaké jsou oznamovací povinnosti podle CRA?

Výrobci oznamují aktivně zneužívané zranitelnosti a závažné incidenty přes Single Reporting Platform (jednotnou platformu pro podávání zpráv) svému koordinujícímu týmu CSIRT a agentuře ENISA: včasné varování do 24 hodin, oznámení do 72 hodin a závěrečnou zprávu do 14 dní od opravy u zranitelností nebo do jednoho měsíce u incidentů. Informují také dotčené uživatele.

Vyžaduje CRA SBOM?

Ano. Příloha I, část II vyžaduje softwarový kusovník v běžně používaném, strojově čitelném formátu, který obsahuje přinejmenším nejdůležitější závislosti produktu. Je součástí technické dokumentace a na vyžádání se předává orgánu dozoru nad trhem; zveřejňovat ho není nutné.

Jaké sankce CRA stanoví?

Až €15 milionů nebo 2,5 % celosvětového ročního obratu za porušení základních požadavků nebo povinností výrobců, až €10 milionů nebo 2 % za ostatní povinnosti a až €5 milionů nebo 1 % za uvádění orgánů v omyl. Mikropodnikům a malým podnikům se neukládá pokuta za zmeškání 24hodinové lhůty pro včasné varování.

Vztahuje se CRA na produkty, které už jsou na trhu?

Oznamovací povinnosti ano, a to od 11. září 2026. Jinak produkty uvedené na trh před 11. prosincem 2027 spadají pod CRA jen tehdy, pokud jsou po tomto datu podstatně změněny.

Získejte důkazy, které váš proces CRA potřebuje

Podívejte se, jak CRACI zaznamenává SBOM z vašich buildů, monitoruje, co jste dodali, a připravuje oznámení podle CRA, která pak podáváte vy

Rezervujte si demo Zjistěte, zda se na vás CRA vztahuje