Znalosti · 8. 9. 2026
Cyber Resilience Act: ohlašovací povinnost výrobců už platí
Výrobci produktů s digitálními prvky musí od 11. září 2026 hlásit aktivně zneužívané zranitelnosti. Pro region plný výroby je to zásadní změna.
Pokud vyrábíte cokoli, co obsahuje software — stroje, zařízení, řídicí jednotky, aplikace —, od 11. září 2026 máte ohlašovací povinnost.
O Cyber Resilience Actu se píše nesrovnatelně méně než o NIS2. Přitom dopadá na skupinu firem, která se kybernetickou regulací dosud zabývat nemusela: na výrobce.
O co jde
Nařízení (EU) 2024/2847, známé jako Cyber Resilience Act, zavádí bezpečnostní požadavky na produkty s digitálními prvky — tedy na hardware i software, který se připojuje k zařízení nebo k síti.
Nařízení je v platnosti, ale jeho povinnosti se použijí postupně (čl. 71 odst. 2):
- 11. 6. 2026
- Kapitola IV — oznamování subjektů posuzování shody
- 11. 9. 2026
- Ohlašovací povinnosti výrobců podle čl. 14
- 11. 12. 2027
- Celé nařízení — konstrukční požadavky, posuzování shody, označení CE
Většina firem si všimla až posledního řádku a práci si naplánovala až k němu. Ohlašovací povinnost přitom platí už od 11. září 2026.
Koho se to týká
Povinnost dopadá na výrobce produktu s digitálními prvky. To je širší množina, než se na první pohled zdá:
- výrobci strojů a zařízení s řídicí elektronikou;
- výrobci embedded zařízení a IoT produktů;
- dodavatelé softwaru včetně aplikací a knihoven;
- výrobci zdravotnické techniky, měřicích a regulačních zařízení;
- firmy, které produkt uvádějí na trh pod vlastní značkou, i když ho fyzicky vyrábí někdo jiný.
Jsou to firmy, které se dosud kybernetickou regulací nezabývaly — protože často samy pod zákon o kybernetické bezpečnosti nespadají a za „IT firmy" se nepovažovaly.
Co je čeká, není to, co většina z nich zná z médií. Nejde o registraci, analýzu rizik ani o audit kybernetické bezpečnosti — ty povinnosti vyplývají ze zákona o kybernetické bezpečnosti, ne z tohoto nařízení.
Co platí od 11. září 2026
Od tohoto data musí výrobce hlásit dvě kategorie událostí.
Aktivně zneužívanou zranitelnost ve svém produktu. Nařízení ji vymezuje jako zranitelnost, u níž existují spolehlivé důkazy o tom, že ji škodlivý aktér v systému zneužil bez svolení vlastníka systému (čl. 3 bod 42). Nestačí tedy, že zranitelnost existuje; musí být důkaz, že ji někdo skutečně zneužil.
Závažný incident s dopadem na bezpečnost produktu.
Lhůty
Lhůty běží od okamžiku, kdy se výrobce o zranitelnosti nebo incidentu dozví (čl. 14 odst. 2 a 4). U včasného varování i u oznámení platí navíc „bez zbytečného odkladu“.
- do 24 hodin
- Včasné varování
- do 72 hodin
- Oznámení
- nejpozději do 14 dnů od okamžiku, kdy začalo být k dispozici nápravné nebo zmírňující opatření
- Závěrečná zpráva u aktivně zneužívané zranitelnosti
- nejpozději do jednoho měsíce od okamžiku, kdy bylo vydáno oznámení o incidentu
- Závěrečná zpráva u závažného incidentu
Komu se hlásí
Jedním podáním přes jednotnou platformu pro podávání zpráv (čl. 16). Hlášení se adresuje týmu CSIRT v zemi hlavního sídla výrobce; agentura ENISA se informuje současně, nejde tedy o dvě podání.
Co naopak ještě neplatí
Tohle je stejně důležité, protože kolem CRA vzniká zbytečná panika.
S ohlašovací povinností nezačaly platit konstrukční požadavky na bezpečnost produktu, povinnost posuzování shody, technická dokumentace ani označení CE. To vše se použije až od 11. prosince 2027.
Jinými slovy: teď musíte umět hlásit, ne mít produkt předělaný. Jsou to dvě zcela odlišné úrovně úsilí a je dobré si to uvědomit dřív, než někdo v dobré víře spustí projekt předčasně.
Překvapení, které přehlédne většina firem
Ohlašovací povinnost se vztahuje i na produkty, které jste uvedli na trh před 11. 12. 2027 — tedy na všechno, co máte dnes u zákazníků v provozu.
Prakticky to znamená, že pokud se objeví aktivně zneužívaná zranitelnost v řídicí jednotce, kterou jste prodávali v letech 2019 až 2023, ohlašovací povinnost se jí týká.
Pro firmy, které nemají přehled o tom, jaké verze softwaru jsou kde nasazené, je tohle ten skutečný problém — ne samotné hlášení.
Co je třeba mít připravené
Povinnost už platí, takže na dlouhou přípravu není čas. Podstatné je přitom překvapivě málo:
- Odpovědná osoba a zástup. Kdo rozhodne, že situace naplňuje definici, a kdo ho zastoupí přes víkend a během dovolené. Lhůta do 24 hodin je krátká a nezastaví se v pátek večer.
- Cesta, jak se k vám informace dostane. O zranitelnosti se zpravidla nedozvíte sami, ale od výzkumníka, zákazníka nebo z veřejného zdroje.
- Kontaktní bod pro hlášení zranitelností. Soubor
security.txta jasně uvedená e-mailová adresa. Je to hodina práce a zásadně to zkracuje čas, než se informace dostane ke správnému člověku. - Seznam produktů a verzí. Bez něj nedokážete říct, koho se zranitelnost týká — ani koho máte informovat.
- Šablona hlášení. Předem připravená struktura, aby se v prvních hodinách neřešilo, co se vlastně píše.
- Rozhodovací kritérium. Jednoduchý postup, podle kterého odlišíte „zranitelnost, kterou vyřešíme v dalším vydání" od „aktivně zneužívané zranitelnosti, kterou hlásíme do 24 hodin".
Kde se lhůta pro včasné varování v praxi láme
Na papíře to vypadá jednoduše: včasné varování do 24 hodin, oznámení do 72 hodin, závěrečná zpráva u zranitelnosti nejpozději do 14 dnů od okamžiku, kdy začalo být k dispozici nápravné nebo zmírňující opatření a u závažného incidentu nejpozději do jednoho měsíce od okamžiku, kdy bylo vydáno oznámení o incidentu.
Lhůta ale běží od zjištění, ne od pondělního rána.
Největší praktickou výzvou je aktivně zneužívaná zranitelnost, která se objeví v pátek večer. Mnoho firem dnes nemá nastavený nepřetržitý proces, který by během několika hodin dokázal situaci posoudit a podat hlášení.
Problémem zpravidla nebývá samotné odeslání oznámení. Problémem je získat během hodin spolehlivou odpověď na tři otázky: jaký je rozsah, kterých verzí se to týká a co se dá zákazníkům doporučit.
Prakticky to znamená mít předem rozhodnuté čtyři věci: kdo posuzuje závažnost mimo pracovní dobu, kdo má okamžitý přístup k seznamu produktů a jejich komponent, kdo podání odešle a kdo o tom informuje zákazníky.
Jak se CRA překrývá se zákonem o kybernetické bezpečnosti
Pokud už spadáte pod zákon č. 264/2025 Sb., o kybernetické bezpečnosti, část práce máte hotovou — proces hlášení incidentů funguje na podobné logice lhůt a dá se rozšířit, ne stavět znovu.
Pokud pod zákon nespadáte, CRA je pro vás první kybernetická regulace vůbec. To je nepříjemné, ale zároveň to znamená, že se dá postavit rovnou správně a s výhledem na požadavky, které přijdou s plnou použitelností.
Třetí skupinou jsou firmy, které pod zákon nespadají, ale dostávají bezpečnostní dotazníky od odběratelů. Pro ty je CRA argumentem, proč se tomu věnovat systematicky — ne dotazník po dotazníku.
Co udělat hned
- Zjistěte, zda jste výrobcem produktu s digitálními prvky. Většina firem, kterých se to týká, si to zatím neuvědomuje.
- Určete odpovědnou osobu a zástup. Tohle je jediný krok, který se nedá odložit.
- Zveřejněte kontakt pro hlášení zranitelností. Hodina práce.
- Ověřte, zda dokážete sestavit seznam produktů a nasazených verzí. Pokud ne, začněte tím.
Zbytek — dokumentace, procesy, příprava na 11. prosince 2027 — má čas. Teď rozhoduje, zda v případě incidentu vůbec zaregistrujete, že vám běží lhůta.
Kde končí naše úloha
Shodu produktu neposuzujeme. Pokud produkt posouzení třetí stranou vyžaduje, provádí ho oznámený subjekt — a tím nejsme. Penetrační testy neprovádíme. S vámi připravíme procesy: zacházení se zranitelnostmi, ohlašování podle čl. 14 a technickou dokumentaci.
Článek má informativní charakter a nenahrazuje právní poradenství.
Nejste si jistí, zda jste výrobcem podle CRA?
Za třicet minut vám řekneme, zda na vás nařízení dopadá, co musíte mít připravené už dnes a co má čas do 11. prosince 2027. Bez závazku.
Domluvit nezávaznou konzultaci →
Právní stav ověřen k 8. 10. 2026. U právního obsahu je zastaralý článek horší než žádný — pokud najdete nesrovnalost, napište nám na cz@iosec.eu.
Zdroje
- https://eur-lex.europa.eu/legal-content/CS/TXT/HTML/?uri=CELEX:32024R2847
- https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
- https://www.jonesday.com/en/insights/2026/07/eu-cyber-resilience-act-24hour-reporting-duties-start-september-11-2026
- https://www.komora.cz/blog/tiskove-zpravy/hospodarska-komora-upozornuje-firmy-na-nove-povinnosti-podle-cyber-resilience-act-prvni-povinnosti-zacnou-platit-uz-od-zari-2026/
Řekněte nám, co řešíte.
Třicet minut s konzultantem, který zná vaše odvětví. Výstupem je jednostránkové shrnutí s doporučeným postupem a orientačním rozsahem — pošleme vám je, i když se nedohodneme.