Firmy čekají na rok 2027, první povinnosti podle CRA ale přijdou už teď v září

09. září 2026

Legislativa a účetnictví Kybernetická bezpečnost

Evropské nařízení o kybernetické odolnosti (CRA) nabývá plné účinnosti až v prosinci 2027, jeho podstatná část však začíná platit s výrazným předstihem. Už 11. září 2026 vstupují v platnost předsunutá pravidla, podle nichž musí výrobci softwaru i hardwaru hlásit aktivně zneužívané zranitelnosti a závažné incidenty do 24 hodin.

Podle odborníků z advokátní kanceláře Rowan Legal se tato povinnost vztahuje i na produkty uvedené na trh v minulosti a firmy ji musí plnit bez ohledu na to, v jaké fázi schvalování je navazující český zákon.

Evropské nařízení CRA vstoupilo v platnost již v prosinci 2024, a přestože jeho hlavní část začne platit až v prosinci 2027, povinnost hlásit zranitelnosti a bezpečnostní incidenty přichází už 11. září 2026. Řada firem si mylně myslí, že má na přípravu stále dost času, a jejich připravenost je podle dostupných průzkumů obecně nízká.

„Firmy si datum 2027 vyložily jako ‚máme ještě rok a půl‘. Ve skutečnosti jim už zanedlouho vznikne povinnost, na kterou se měly připravovat už dávno. Nová potřeba reakce v řádu hodin nicméně vyžaduje, aby už měly nastavený proces, pověřenou odpovědnou osobu i zřízený přístup do systému, přes který se bezpečnostní incidenty ohlašují,“ říká Jan Tomíšek, partner Rowan Legal a odborník na IT právo.

Podle průzkumu OpenSSF a Linux Foundation z června 2026 CRA nezná 66 % dotázaných. Agentura EU pro kybernetickou bezpečnost ENISA zároveň řadí zvládání bezpečnostních incidentů mezi slabší schopnosti malých a středních podniků.

Často přehlížená jsou také přechodná ustanovení nařízení. Většina požadavků CRA se na produkty uvedené na trh před 11. prosincem 2027 vztahuje pouze tehdy, pokud projdou podstatnou změnou. Povinnost hlášení je ale výjimkou a dopadá i na dříve uvedené produkty, pokud spadají do působnosti nařízení. „Právě to manažery často překvapuje nejvíc. Nestačí zavést nový proces pro produkty, které teprve vzniknou.

Firma musí vědět, co všechno má v tuto chvíli na evropském trhu, kdo za jednotlivé produkty odpovídá a jak se vůbec o případné zranitelnosti společnost dozví,“ doplňuje Michaela Holíková, associate Rowan Legal a odbornice na IT právo.

Výrobcem podle CRA není jen ten, kdo produkt přímo vyvinul. Je jím i firma, která pod svou značkou nabízí software vyvinutý na zakázku někým jiným. CRA se tak netýká jen technologických společností, ale například i bank, pojišťoven nebo výrobců, kteří dodávají chytrá zařízení s přidruženou aplikací. Samotné hlášení není omezené na jednu čtyřiadvacetihodinovou lhůtu. Do 24 hodin od chvíle, kdy se výrobce o aktivně zneužívané zranitelnosti nebo závažném incidentu dozví, musí odeslat první oznámení.

Do 72 hodin následuje podrobnější oznámení a u zranitelností poté závěrečná zpráva do 14 dnů od dostupnosti nápravného opatření; u závažných incidentů do jednoho měsíce. Hlášení probíhá prostřednictvím centrální platformy provozované agenturou ENISA.

Pokud náprava vyžaduje součinnost uživatelů, musí je výrobce bez zbytečného odkladu informovat o zranitelnosti či incidentu a o nápravných opatřeních, které může uživatel podniknout. Za porušení těchto povinností mohou hrozit pokuty až 10 milionů eur nebo 2 % celosvětového ročního obratu.

Vymáhání CRA v Česku má upravit samostatný zákon o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, který připravilo Ministerstvo průmyslu a obchodu. Návrh počítá mimo jiné s Českou obchodní inspekcí jako hlavním orgánem dozoru nad trhem. Zákon v létě 2026 prošel připomínkovým řízením.

„Evropská povinnost hlásit zranitelnosti a incidenty začne platit 11. září bez ohledu na to, v jaké fázi bude český zákon. Firmy nesmějí čekat na jeho schválení, protože nařízení je přímo použitelné. Národní úprava dořeší především to, kdo a jak bude plnění povinností kontrolovat a sankcionovat,“ uzavírá Jan Tomíšek. Firmy by si proto měly co nejdříve zmapovat produkty s digitálními prvky, které mají na trhu EU, určit odpovědné osoby a jejich zastupitelnost a ověřit si přístup do systému pro hlášení.

Stejně důležité je nastavit, jak se budou o zranitelnostech dozvídat od zákazníků, bezpečnostních výzkumníků nebo dodavatelů a jak budou v případě potřeby komunikovat se zákazníky.

Aktuality

Firmy čekají na rok 2027, první povinnosti podle CRA ale přijdou už teď v září

Sdílet článek:

Související články

Hospodářská komora oceňuje minimalistické transpozice evropských směrnic

Vláda schválila Podnikatelský balíček. Má snížit administrativní zátěž a ulehčit podnikání

Nástroj proti podvodům? Reverse charge, kdy DPH platí odběratel, se postupně rozšiřuje

Hospodářská komora upozorňuje firmy na nové povinnosti podle Cyber Resilience Act. První povinnosti začnou platit už od září 2026

Firmy čekají na rok 2027, první povinnosti podle CRA ale přijdou už teď v září