CRA v praxi: Týká se i vašeho produktu? Co potřebujete vědět a kde začít?

Vyvíjíte software, mobilní aplikaci nebo zařízení připojené k internetu? Pak se vás může týkat Cyber Resilience Act (CRA) – evropské nařízení o kybernetické odolnosti digitálních produktů.

CRA se netýká jen velkých technologických společností. Povinnosti mohou mít i menší firmy, které vyvíjejí a uvádějí na trh software nebo jiné produkty s digitálními prvky.

A pozor – některé povinnosti již platí od září 2026. Na další se výrobci musí připravit do prosince 2027.

1. Co je CRA a jak se liší od NIS2?

CRA je evropské nařízení, jehož cílem je zajistit, aby digitální produkty byly bezpečné již při uvedení na trh a zůstaly bezpečné i během používání.

Zjednodušeně: NIS2 řeší kybernetickou bezpečnost organizací a jejich služeb, zatímco CRA se zaměřuje na bezpečnost samotných digitálních produktů.

Pokud například firma vyvíjí software a zároveň poskytuje služby v odvětví regulovaném směrnicí NIS2, mohou se na ni vztahovat NIS2 i CRA. Záleží na konkrétní činnosti, produktu a podmínkách uplatnění obou předpisů. Splnění požadavků jedné regulace automaticky neznamená splnění druhé.

CRA se může vztahovat například na:

• softwarové aplikace a samostatně dodávané komponenty,
• síťová a komunikační zařízení,
• chytrá zařízení připojená k internetu,
• bezpečnostní software a další digitální produkty.

Ne každý software však automaticky spadá do působnosti CRA. Individuálně je třeba posoudit například čistě cloudové služby, open-source software či produkty regulované jinými předpisy. Samotné služby SaaS zpravidla pod CRA nespadají, ale vzdálené zpracování dat nezbytné pro fungování digitálního produktu může být jeho součástí.

První otázka proto zní: Uvádíme na trh produkt, na který se CRA vztahuje?

2. Jaké povinnosti CRA přináší a od kdy?

Pro výrobce jsou důležitá zejména dvě data.

Od 11. září 2026 – hlášení zranitelností a incidentů

Výrobci již musí za stanovených podmínek hlásit aktivně zneužívané zranitelnosti a závažné incidenty ovlivňující bezpečnost jejich produktů.

Lhůty jsou krátké:

• 24 hodin od zjištění na včasné varování,
• 72 hodin od zjištění na podrobnější oznámení,
• následně závěrečná zpráva ve lhůtě podle typu události.

Hlášení se podávají prostřednictvím evropské platformy CRA Single Reporting Platform, kterou provozuje agentura ENISA.

Tyto povinnosti se vztahují i na relevantní produkty uvedené na trh před prosincem 2027.

Od 11. prosince 2027 – bezpečnostní požadavky na produkty

Výrobce bude muset zajistit, aby jeho produkt splňoval příslušné bezpečnostní požadavky.

V praxi to znamená například:

• produkt bez známých zneužitelných zranitelností při uvedení na trh a s minimalizovanou plochou útoku,
• bezpečná výchozí nastavení a ochranu přístupu k datům,
• bezpečnostní aktualizace a řešení zjištěných zranitelností,
• dokumentování použitých softwarových komponent,
• posouzení kybernetických rizik produktu.

Výrobce musí také stanovit dobu bezpečnostní podpory, zpravidla nejméně pět let, pokud se nepředpokládá kratší doba používání produktu.

Součástí povinností je technická dokumentace, příslušné posouzení shody, EU prohlášení o shodě a označení CE.

Na produkty uvedené na trh před prosincem 2027 se ve vztahu k hlavním požadavkům vztahují přechodná ustanovení.

Za porušení vybraných hlavních požadavků může hrozit pokuta až do výše 15 milionů eur nebo 2,5 % celosvětového ročního obratu, podle toho, která částka je vyšší.

Mikropodnikům a malým podnikům se však neukládá správní pokuta za samotné nedodržení 24hodinové lhůty pro včasné varování. Povinnost hlášení tím nezaniká.

3. Co to znamená v praxi?

Představte si firmu, která vyvíjí aplikaci pro zákazníky. Aplikace využívá externí knihovny, zpracovává data a pravidelně dostává nové verze.

Jednoho dne se objeví zranitelnost v knihovně, kterou aplikace používá.

Firma musí být schopna zjistit, zda se problém týká jejího produktu, které verze jsou ohrožené, jaký je možný dopad a jak zranitelnost odstranit.

Zároveň musí posoudit, zda vznikla povinnost hlášení podle CRA. Samotné zjištění zranitelnosti ještě automaticky neznamená, že ji musí hlásit.

Nestačí tedy pouze pravidelně skenovat software. Výrobce potřebuje mít přehled o produktech, jejich komponentech, rizicích a bezpečnostních opatřeních.

CRA proto požaduje také dokumentování softwarových komponent, mimo jiné prostřednictvím SBOM (Software Bill of Materials) – seznamu komponent a jejich závislostí.

Stejně důležité je mít zavedený postup pro přijímání a řešení hlášení o zranitelnostech a umět poskytovat bezpečnostní aktualizace po celou stanovenou dobu podpory.

4. Kde začít s přípravou na CRA?

Nemusíte hned zahajovat rozsáhlý projekt. Nejprve si udělejte přehled o tom, co již máte a co vám chybí.

Doporučujeme pět základních kroků:

1. Identifikujte digitální produkty. Zjistěte, na které z nich se CRA vztahuje a jakou roli u nich vaše organizace zastává.
2. Posuďte rizika. Identifikujte hrozby a zranitelnosti produktu a určete potřebná bezpečnostní opatření.
3. Zmapujte softwarové komponenty. Zjistěte, jaké knihovny a závislosti používáte a jak budete sledovat jejich zranitelnosti.
4. Připravte postupy pro řešení zranitelností a incidentů. Určete odpovědnosti, kontaktní místo, způsob nápravy a postup posouzení oznamovací povinnosti.
5. Prověřte dokumentaci a posuzování shody. Zjistěte, co budete potřebovat připravit před uvedením produktu na trh podle požadavků CRA.

Pokud již máte zavedené procesy řízení kybernetické bezpečnosti, některé z nich můžete využít i při přípravě na CRA.

5. Jak vám může pomoci Tazilla?

Tazilla v současnosti nepokrývá všechny požadavky CRA. Její stávající funkce však mohou výrobcům pomoci vytvořit základ pro systematickou přípravu.

Evidence digitálních produktů

V modulu Analýza rizik můžete evidovat softwarová řešení a informační systémy jako aktiva, přiřazovat jim odpovědnosti a pracovat s jejich riziky. Doplňující údaje o produktu, například jeho verzi, kategorii podle CRA či dobu podpory, lze zatím zaznamenat v popisu aktiva.

Analýza rizik a bezpečnostní opatření

Tazilla umožňuje identifikovat hrozby a rizika, navrhovat bezpečnostní opatření a sledovat jejich realizaci. Tyto informace mohou posloužit jako podklad při posuzování rizik digitálních produktů.

Evidence kybernetických událostí

Můžete zaznamenávat události včetně času jejich identifikace, průběhu řešení, ovlivněných aktiv a přijatých opatření. To je užitečné i vzhledem ke krátkým oznamovacím lhůtám podle CRA. Samotnou povinnost hlášení podle CRA však musí výrobce posoudit samostatně.

Analýza softwarových zranitelností

Modul Analýza kódu pomáhá identifikovat známé zranitelnosti v softwarových komponentech a závislostech. Výsledky lze využít při plánování nápravných opatření a řízení bezpečnosti softwaru.

Tazilla tak může pomoci při evidenci produktů, analýze rizik, řízení bezpečnostních opatření a dokumentování událostí. Nenahrazuje však úplné posouzení produktu podle CRA, technickou dokumentaci ani proces posuzování shody.

Závěr: Začněte tím, co již máte

CRA není jen další dokumentační povinnost. Mění způsob, jakým musí výrobci přistupovat k bezpečnosti digitálních produktů – od jejich návrhu až po aktualizace a řešení zranitelností.

Pokud vaše firma vyvíjí nebo dodává digitální produkty, prvním krokem je zjistit, zda se na ně CRA vztahuje, jaké povinnosti již platí a co je třeba připravit do prosince 2027.

Nemusíte začínat od nuly. Důležité je vědět, co již máte pokryté a co vám ještě chybí.