NIS2 READY
Vyvíjate softvér, mobilnú aplikáciu alebo zariadenie pripojené k internetu? Potom sa vás môže týkať Cyber Resilience Act (CRA) – európske nariadenie o kybernetickej odolnosti digitálnych produktov.
CRA sa netýka len veľkých technologických spoločností. Povinnosti môžu mať aj menšie firmy, ktoré vyvíjajú a uvádzajú na trh softvér alebo iné produkty s digitálnymi prvkami.
A pozor – niektoré povinnosti už platia od septembra 2026. Na ďalšie sa výrobcovia musia pripraviť do decembra 2027.
1. Čo je CRA a ako sa líši od NIS2?
CRA je európske nariadenie, ktorého cieľom je zabezpečiť, aby digitálne produkty boli bezpečné už pri uvedení na trh a zostali bezpečné aj počas používania.
Zjednodušene: NIS2 rieši kybernetickú bezpečnosť organizácií a ich služieb, zatiaľ čo CRA sa zameriava na bezpečnosť samotných digitálnych produktov.
Ak napríklad firma vyvíja softvér a zároveň poskytuje služby v sektore regulovanom NIS2, môže sa jej týkať NIS2 aj CRA. Závisí to od konkrétnej činnosti, produktu a podmienok uplatnenia oboch predpisov. Splnenie požiadaviek jednej regulácie automaticky neznamená splnenie druhej.
CRA sa môže vzťahovať napríklad na:
- softvérové aplikácie a samostatne dodávané komponenty,
- sieťové a komunikačné zariadenia,
- inteligentné zariadenia pripojené k internetu,
- bezpečnostný softvér a ďalšie digitálne produkty.
Nie každý softvér však automaticky patrí pod CRA. Osobitne treba posúdiť napríklad čisto cloudové služby, open-source softvér či produkty regulované inými predpismi. Samotné SaaS služby spravidla nespadajú pod CRA, no vzdialené spracovanie údajov nevyhnutné na fungovanie digitálneho produktu môže byť jeho súčasťou.
Prvá otázka preto znie: Dodávame na trh produkt, na ktorý sa CRA vzťahuje?
2. Aké povinnosti prináša CRA a odkedy?
Pre výrobcov sú dôležité najmä dva termíny.
Od 11. septembra 2026 – hlásenie zraniteľností a incidentov
Výrobcovia už musia za stanovených podmienok hlásiť aktívne zneužívané zraniteľnosti a závažné incidenty ovplyvňujúce bezpečnosť ich produktov.
Lehoty sú krátke:
- 24 hodín od zistenia na včasné varovanie,
- 72 hodín od zistenia na podrobnejšie oznámenie,
- následne záverečná správa v lehote podľa typu udalosti.
Hlásenia sa podávajú prostredníctvom európskej platformy CRA Single Reporting Platform, ktorú prevádzkuje agentúra ENISA.
Tieto povinnosti sa vzťahujú aj na relevantné produkty uvedené na trh pred decembrom 2027.
Od 11. decembra 2027 – bezpečnostné požiadavky na produkty
Výrobca bude musieť zabezpečiť, aby jeho produkt spĺňal príslušné bezpečnostné požiadavky.
V praxi to znamená napríklad:
- produkt bez známych zneužiteľných zraniteľností pri uvedení na trh a s minimalizovanou plochou útoku,
- bezpečné predvolené nastavenia a ochranu prístupu k údajom,
- bezpečnostné aktualizácie a riešenie zistených zraniteľností,
- dokumentovanie použitých softvérových komponentov,
- posúdenie kybernetických rizík produktu.
Výrobca musí tiež stanoviť dobu bezpečnostnej podpory, spravidla najmenej päť rokov, pokiaľ sa neočakáva kratšia doba používania produktu.
Súčasťou povinností je technická dokumentácia, príslušné posúdenie zhody, EÚ vyhlásenie o zhode a označenie CE.
Pri produktoch uvedených na trh pred decembrom 2027 platia pre hlavné požiadavky prechodné pravidlá.
Za porušenie vybraných hlavných požiadaviek môže hroziť pokuta až do 15 miliónov eur alebo 2,5 % celosvetového ročného obratu, podľa toho, ktorá suma je vyššia.
Mikropodnikom a malým podnikom sa však neukladá správna pokuta za samotné nedodržanie 24-hodinovej lehoty na včasné varovanie. Povinnosť hlásiť tým nezaniká.
3. Čo to znamená v praxi?
Predstavte si firmu, ktorá vyvíja aplikáciu pre zákazníkov. Aplikácia využíva externé knižnice, spracúva údaje a pravidelne dostáva nové verzie.
Jedného dňa sa objaví zraniteľnosť v knižnici, ktorú aplikácia používa.
Firma musí vedieť zistiť, či sa problém týka jej produktu, ktoré verzie sú ohrozené, aký je možný dopad a ako zraniteľnosť odstrániť.
Zároveň musí posúdiť, či vznikla povinnosť hlásenia podľa CRA. Samotné zistenie zraniteľnosti ešte automaticky neznamená, že ju treba hlásiť.
Nestačí teda iba pravidelne skenovať softvér. Výrobca potrebuje mať prehľad o produktoch, ich komponentoch, rizikách a bezpečnostných opatreniach.
CRA preto požaduje aj dokumentovanie softvérových komponentov, okrem iného prostredníctvom SBOM (Software Bill of Materials) – zoznamu komponentov a ich závislostí.
Rovnako dôležité je mať zavedený postup prijímania a riešenia hlásení o zraniteľnostiach a vedieť poskytovať bezpečnostné aktualizácie počas stanovenej doby podpory.
4. Kde začať s prípravou na CRA?
Nemusíte hneď začínať rozsiahlym projektom. Najskôr si urobte prehľad o tom, čo už máte a čo vám chýba.
Odporúčame päť základných krokov:
- Identifikujte digitálne produkty. Zistite, na ktoré z nich sa CRA vzťahuje a akú rolu pri nich vaša organizácia zastáva.
- Posúďte riziká. Identifikujte hrozby a zraniteľnosti produktu a určte potrebné bezpečnostné opatrenia.
- Zmapujte softvérové komponenty. Zistite, aké knižnice a závislosti používate a ako budete sledovať ich zraniteľnosti.
- Pripravte postupy na riešenie zraniteľností a incidentov. Určte zodpovednosti, kontaktné miesto, spôsob nápravy a postup posúdenia oznamovacej povinnosti.
- Preverte dokumentáciu a posudzovanie zhody. Zistite, čo budete potrebovať pripraviť pred uvedením produktu na trh podľa požiadaviek CRA.
Ak už máte zavedené procesy riadenia kybernetickej bezpečnosti, viaceré z nich môžete využiť aj pri príprave na CRA.
5. Ako vám môže pomôcť Tazilla?
Tazilla dnes nepokrýva všetky požiadavky CRA. Už existujúce funkcie však môžu výrobcom pomôcť vytvoriť základ pre systematickú prípravu.
Evidencia digitálnych produktov
V module Analýza rizík môžete evidovať softvérové riešenia a informačné systémy ako aktíva, priradiť im zodpovednosti a pracovať s ich rizikami. Doplňujúce údaje o produkte, napríklad jeho verziu, kategóriu podľa CRA či dobu podpory, možno zatiaľ zaznamenať v popise aktíva.
Analýza rizík a bezpečnostné opatrenia
Tazilla umožňuje identifikovať hrozby a riziká, navrhovať bezpečnostné opatrenia a sledovať ich realizáciu. Tieto informácie môžu poslúžiť ako podklad pri posudzovaní rizík digitálnych produktov.
Evidencia kybernetických udalostí
Môžete zaznamenávať udalosti vrátane času ich identifikácie, priebehu riešenia, ovplyvnených aktív a prijatých opatrení. To je užitočné aj vzhľadom na krátke oznamovacie lehoty podľa CRA. Samotnú povinnosť hlásenia podľa CRA však musí výrobca posúdiť samostatne.
Analýza softvérových zraniteľností
Modul Analýza kódu pomáha identifikovať známe zraniteľnosti v softvérových komponentoch a závislostiach. Výsledky možno využiť pri plánovaní nápravných opatrení a riadení bezpečnosti softvéru.
Tazilla tak môže pomôcť pri evidencii produktov, analýze rizík, riadení bezpečnostných opatrení a dokumentovaní udalostí. Nenahrádza však úplné posúdenie produktu podľa CRA, technickú dokumentáciu ani proces posudzovania zhody.
Záver: Začnite tým, čo už máte
CRA nie je iba ďalšia dokumentačná povinnosť. Mení spôsob, akým musia výrobcovia pristupovať k bezpečnosti digitálnych produktov – od ich návrhu až po aktualizácie a riešenie zraniteľností.
Ak vaša firma vyvíja alebo dodáva digitálne produkty, prvým krokom je zistiť, či sa na ne CRA vzťahuje, aké povinnosti už platia a čo treba pripraviť do decembra 2027.
Nemusíte začínať od nuly. Dôležité je vedieť, čo už máte pokryté a čo vám ešte chýba.