Co je Cyber Resilience Act
Nařízení EU o kybernetické odolnosti (CRA) stanoví bezpečnostní požadavky na produkty s digitálními prvky — software, chytrá zařízení, routery, kamery, aplikace. Platí postupně; první povinnosti přicházejí 11. září 2026.
Co platí od 11. září 2026
Výrobce musí hlásit aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty svého produktu:
- do 24 hodin včasné varování
- do 72 hodin podrobnější oznámení
- závěrečnou zprávu do 14 dnů po nápravě zranitelnosti (u incidentu do měsíce)
Hlásí se přes jednotnou platformu ENISA a národní CSIRT. Výrobce musí také informovat uživatele, jak se chránit.
Týká se to vás?
- vyvíjíte a prodáváte software nebo zařízení v EU — ano, jste výrobce
- jen software nakupujete — povinnosti nemáte, ale vyplatí se vybírat dodavatele, kteří CRA berou vážně a vydávají bezpečnostní aktualizace
- software vyvíjený na zakázku pro jednoho zákazníka se posuzuje podle konkrétní situace
Co udělat
- mít přehled o komponentách ve vašem produktu (seznam použitých knihoven)
- nastavit, kdo a jak přijímá hlášení o zranitelnostech a rozhodne o nahlášení
- připravit postup vydání opravy a informování zákazníků
24 hodin je málo na to, abyste teprve zjišťovali, kdo to má na starosti.
Vyvíjíme aplikace s ohledem na CRA a pomůžeme nastavit postup pro hlášení.
