Cyber Resilience Act: ohlasovacia povinnosť výrobcov už platí

Ak vyrábate čokoľvek, čo obsahuje softvér — stroje, zariadenia, riadiace jednotky, aplikácie —, od 11. septembra 2026 máte ohlasovaciu povinnosť. Netýka sa len nových produktov: vzťahuje sa aj na tie, ktoré ste uviedli na trh pred rokmi a ktoré sú u zákazníkov v prevádzke.

Cyber Resilience Act sa v slovenskom priestore takmer nespomína. Zatiaľ čo o NIS2 a zákone o kybernetickej bezpečnosti sa píše roky, o nariadení, ktoré dopadá na výrobcov, nevie väčšina dotknutých firiem nič. A práve výrobcov je na Slovensku veľa.

O čo ide

Nariadenie (EÚ) 2024/2847, známe ako Cyber Resilience Act, zavádza bezpečnostné požiadavky na produkty s digitálnymi prvkami — teda na hardvér aj softvér, ktorý sa priamo alebo nepriamo pripája k inému zariadeniu alebo k sieti.

Nariadenie je v platnosti, ale jeho povinnosti sa uplatňujú postupne (čl. 71 ods. 2):

11. 6. 2026

Kapitola IV — notifikácia orgánov posudzovania zhody

11. 9. 2026

Ohlasovacie povinnosti výrobcov podľa čl. 14

11. 12. 2027

Celé nariadenie — konštrukčné požiadavky, posudzovanie zhody, označenie CE

Väčšina firiem si všimla až posledný riadok a prácu si naplánovala až k nemu. Ohlasovacia povinnosť pritom platí už od 11. septembra 2026.

Koho sa to týka

Povinnosť dopadá na výrobcu produktu s digitálnymi prvkami. To je širšia množina, než sa na prvý pohľad zdá:

• výrobcovia strojov a zariadení s riadiacou elektronikou;
• výrobcovia embedded zariadení a IoT produktov;
• dodávatelia softvéru vrátane aplikácií a knižníc;
• výrobcovia zdravotníckej techniky, meracích a regulačných zariadení;
• firmy, ktoré produkt uvádzajú na trh pod vlastnou značkou, aj keď ho fyzicky vyrába niekto iný.

Na Slovensku a v Česku sú to firmy, ktoré sa doteraz kybernetickou reguláciou nezaoberali — pretože často samy nespadajú pod zákon o kybernetickej bezpečnosti a nepovažovali sa za „IT firmy“.

Koho sa to na Slovensku týka

Presný počet sa dnes určiť nedá a je poctivé to povedať rovno: neexistuje verejný register výrobcov produktov s digitálnymi prvkami. Nariadenie navyše nemá veľkostné prahy — o tom, či sa naň vzťahuje, nerozhoduje počet zamestnancov, ale to, či podnik uvádza na trh Európskej únie vlastný produkt s digitálnymi prvkami.

Náš odhad vychádza z počtu spoločností v relevantných odvetviach podľa SK NACE — výroba počítačových, elektronických a optických výrobkov, elektrických zariadení, strojov a meracej techniky, a vývoj vlastných softvérových produktov — po zohľadnení toho, že nie každý podnik v týchto odvetviach uvádza na trh vlastný produkt v zmysle nariadenia. Časť z nich pracuje v zákazkovom vývoji, v subdodávke alebo montuje pod cudzou značkou.

Takto vychádza 500 až 1 500 podnikov. Je to kvalifikovaný odhad, nie údaj z registra.

Čo ich čaká, nie je to, čo väčšina z nich pozná z médií. Nejde o registráciu, analýzu rizík podľa vyhlášky ani o audit kybernetickej bezpečnosti — tie povinnosti vyplývajú zo zákona o kybernetickej bezpečnosti, nie z tohto nariadenia. Výrobcu podľa tohto nariadenia čaká splnenie základných bezpečnostných požiadaviek na produkt, posúdenie zhody a označenie CE, technická dokumentácia vrátane zoznamu komponentov, zaobchádzanie so zraniteľnosťami počas celého obdobia podpory — a ohlasovanie aktívne zneužívaných zraniteľností a závažných incidentov.

Čo platí od 11. septembra 2026

Od tohto dátumu musí výrobca hlásiť dve kategórie udalostí.

Aktívne zneužitú zraniteľnosť vo svojom produkte. Nariadenie ju vymedzuje ako zraniteľnosť, v prípade ktorej existuje spoľahlivý dôkaz, že škodlivý subjekt ju zneužil v systéme bez povolenia vlastníka systému (čl. 3 bod 42). Nestačí teda, že zraniteľnosť existuje; musí byť dôkaz, že ju niekto naozaj zneužil.

Závažný incident s vplyvom na bezpečnosť produktu.

Lehoty

Lehoty plynú od chvíle, keď sa výrobca o zraniteľnosti alebo incidente dozvie (čl. 14 ods. 2 a 4). Pri včasnom varovaní aj pri oznámení platí navyše „bez zbytočného odkladu“.

do 24 hodín

Včasné varovanie

do 72 hodín

Oznámenie

najneskôr 14 dní od dostupnosti nápravného alebo zmierňujúceho opatrenia

Záverečná správa pri aktívne zneužitej zraniteľnosti

do jedného mesiaca po podaní oznámenia o incidente

Záverečná správa pri závažnom incidente

Komu sa hlási

Jedným podaním cez jednotnú oznamovaciu platformu (čl. 16). Hlásenie sa adresuje CSIRT tímu v krajine hlavného sídla výrobcu; agentúra ENISA sa informuje súčasne, nejde teda o druhé samostatné podanie. Výrobca musí zároveň informovať dotknutých používateľov a v odôvodnených prípadoch všetkých používateľov produktu.

Čo naopak ešte neplatí

Toto je rovnako dôležité, pretože okolo CRA vzniká zbytočná panika.

Ohlasovacou povinnosťou nezačali platiť konštrukčné požiadavky na bezpečnosť produktu, povinnosť posudzovania zhody, technická dokumentácia ani označenie CE podľa CRA. To všetko sa uplatňuje až od 11. decembra 2027.

Inými slovami: teraz musíte vedieť hlásiť, nie mať produkt prerobený. Sú to dve úplne odlišné úrovne úsilia a je dobré si to uvedomiť skôr, než niekto v dobrej viere spustí projekt za desiatky tisíc eur predčasne.

Prekvapenie, ktoré prehliadne väčšina firiem

Ohlasovacia povinnosť sa vzťahuje aj na produkty, ktoré ste uviedli na trh pred 11. 12. 2027 — teda na všetko, čo máte dnes u zákazníkov v prevádzke.

Prakticky to znamená, že ak sa objaví aktívne zneužitá zraniteľnosť v riadiacej jednotke, ktorú ste predávali v rokoch 2019 až 2023, ohlasovacia povinnosť sa spustí. Bez ohľadu na to, že produkt vznikol dávno pred nariadením.

Pre firmy, ktoré nemajú prehľad o tom, aké verzie softvéru sú kde nasadené, je toto ten skutočný problém — nie samotné hlásenie.

Čo treba mať pripravené

Povinnosť už platí, takže na dlhú prípravu nie je čas. Podstatné je pritom prekvapivo málo:

1. Zodpovedná osoba a zástup. Kto rozhodne, že situácia napĺňa definíciu, a kto ho zastúpi cez víkend a počas dovolenky. Lehota do 24 hodín je krátka a nezastaví sa v piatok o štvrtej.
2. Cesta, ako sa k vám informácia dostane. Zraniteľnosť sa spravidla nedozviete od seba, ale od výskumníka, zákazníka alebo z verejného zdroja. Ak nemáte zverejnený kontakt, informácia sa k vám nedostane včas — alebo vôbec.
3. Kontaktný bod pre hlásenie zraniteľností. Súbor security.txt a jasne uvedená e-mailová adresa. Je to hodina práce a zásadne to skracuje čas, kým sa informácia dostane k vám.
4. Zoznam produktov a verzií. Bez neho neviete povedať, koho sa zraniteľnosť týka — a ani koho máte informovať.
5. Šablóna hlásenia. Vopred pripravená štruktúra, aby sa v prvých hodinách neriešilo, čo sa vlastne píše.
6. Rozhodovacie kritérium. Jednoduchý postup, podľa ktorého viete odlíšiť „zraniteľnosť, ktorú riešime v ďalšom vydaní“ od „aktívne zneužitej zraniteľnosti, ktorú hlásime do 24 hodín“.

Kde sa lehota na včasné varovanie v praxi láme

Na papieri to vyzerá jednoducho: včasné varovanie do 24 hodín, oznámenie do 72 hodín, záverečná správa pri zraniteľnosti najneskôr 14 dní od dostupnosti nápravného alebo zmierňujúceho opatrenia a pri závažnom incidente do jedného mesiaca po podaní oznámenia o incidente. Jedno podanie cez jednotnú oznamovaciu platformu, ktoré sa adresuje CSIRT tímu v krajine hlavného sídla výrobcu; agentúra ENISA sa informuje súčasne. Žiadne samostatné hlásenia pre každý členský štát.

Lehota však beží od zistenia, nie od pondelka rána.

Najväčšou praktickou výzvou je aktívne zneužívaná zraniteľnosť, ktorá sa objaví v piatok večer. Mnohé firmy dnes nemajú nastavený nepretržitý proces, ktorý by v priebehu niekoľkých hodín dokázal potvrdiť závažnosť udalosti, zapojiť technických expertov, právnikov aj manažment a pripraviť prvotné hlásenie. Rozhodnutie, či ide o ohlasovanú udalosť, pritom nie je technické — je to rozhodnutie s právnym následkom a musí ho niekto urobiť aj cez víkend.

Problémom spravidla nebýva samotné odoslanie oznámenia. Problémom je získať v priebehu hodín spoľahlivú odpoveď na tri otázky: aký je rozsah, ktorých produktov a verzií sa to týka a aké je skutočné riziko pre používateľov. Kým tie odpovede nie sú, hlási sa buď neskoro, alebo sa hlási niečo, čo o dva dni vyzerá inak — a oprava už podaného hlásenia je vlastný problém.

Prakticky to znamená mať vopred rozhodnuté štyri veci: kto posudzuje závažnosť mimo pracovného času, kto má okamžitý prístup k zoznamu produktov a ich komponentov, kto podanie odosiela a kto komunikuje smerom von. Nič z toho sa nedá vymyslieť v sobotu.

Ako sa CRA prekrýva so zákonom o kybernetickej bezpečnosti

Ak už spadáte pod zákon č. 366/2024 Z. z., časť práce máte hotovú — proces hlásenia incidentov funguje na podobnej logike lehôt a dá sa rozšíriť, nie stavať odznova.

Ak pod zákon nespadáte, CRA je pre vás prvá kybernetická regulácia vôbec. To je nepríjemné, ale zároveň to znamená, že sa dá postaviť rovno správne a s výhľadom na požiadavky, ktoré sa uplatňujú od 11. decembra 2027.

Tretia skupina sú firmy, ktoré pod zákon nespadajú, ale dostávajú bezpečnostné dotazníky od odberateľov. Pre tie je CRA argumentom, prečo sa tomu venovať systematicky — nie kvôli jednému zákazníkovi, ale kvôli povinnosti, ktorá platí tak či tak.

Čo urobiť hneď

• Zistite, či ste výrobcom produktu s digitálnymi prvkami. Väčšina firiem, ktorých sa to týka, si to zatiaľ neuvedomuje.
• Určte zodpovednú osobu a zástup. Toto je jediný krok, ktorý sa nedá odložiť.
• Zverejnite kontakt na hlásenie zraniteľností. Hodina práce.
• Overte, či viete zostaviť zoznam produktov a nasadených verzií. Ak nie, začnite tým.

Zvyšok — dokumentácia, procesy, príprava na 11. decembra 2027 — má čas. Teraz rozhoduje, či v prípade incidentu vôbec zaregistrujete, že vám beží lehota.

Kde končí naša úloha

Zhodu produktu neposudzujeme. Ak produkt posúdenie treťou stranou vyžaduje, robí ho notifikovaná osoba — a tou nie sme. Penetračné testy nerobíme. S vami pripravíme procesy: zaobchádzanie so zraniteľnosťami, ohlasovanie podľa čl. 14 a technickú dokumentáciu.

---

Článok má informatívny charakter a nenahrádza právne poradenstvo.

---

Nie ste si istí, či ste výrobcom podľa CRA?

Za tridsať minút vám povieme, či na vás nariadenie dopadá, čo musíte mať pripravené už dnes a čo má čas do 11. decembra 2027. Bez záväzku.

Dohodnúť nezáväznú konzultáciu →

Právny stav overený k 22. 10. 2026. Pri právnom obsahu je zastaraný článok horší než žiadny — ak nájdete nezrovnalosť, napíšte nám na sk@iosec.eu.

Zdroje

• https://eur-lex.europa.eu/legal-content/SK/TXT/HTML/?uri=CELEX:32024R2847
• https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
• https://www.jonesday.com/en/insights/2026/07/eu-cyber-resilience-act-24hour-reporting-duties-start-september-11-2026
• https://www.komora.cz/blog/tiskove-zpravy/hospodarska-komora-upozornuje-firmy-na-nove-povinnosti-podle-cyber-resilience-act-prvni-povinnosti-zacnou-platit-uz-od-zari-2026/