Výrobci hardwaru a softwaru se budou muset na evropský akt o kybernetické odolnosti připravit dříve, než řada podniků dosud předpokládala. Hospodářská komora ČR upozorňuje, že první povinnosti podle Cyber Resilience Act začnou platit už 11. září 2026, tedy více než rok před plnou účinností většiny pravidel. Pro firmy to znamená hlavně nutnost rychle hlásit aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty.
Načasování je pro podniky podstatné i proto, že Evropská komise 27. července 2026 zveřejnila nové pokyny k uplatňování nařízení Evropského parlamentu a Rady (EU) 2024/2847. Ty upřesňují praktické fungování pravidel pro výrobky s digitálními prvky, a to včetně starších produktů, cloudových a vzdálených služeb, posuzování kybernetických rizik i způsobu posuzování shody u výrobků s vyšší mírou rizika.
Podle Hospodářské komory se firmy nemohou spoléhat na to, že mají na přípravu čas až do prosince 2027. Už od září 2026 bude článek 14 CRA vyžadovat, aby výrobce přes jednotnou evropskou platformu spravovanou agenturou ENISA podal předběžné hlášení nejpozději do 24 hodin od chvíle, kdy se o problému dozví. Do 72 hodin pak bude muset oznámení doplnit o podrobnější informace. Takto krátké lhůty mohou pro řadu podniků znamenat nové náklady na interní procesy, právní vyhodnocení i technické řízení incidentů.
Právě rychlost reakce bude z pohledu firem klíčová. Nestačí jen odhalit zranitelnost nebo incident, ale také je včas rozpoznat jako případ spadající pod evropskou regulaci, předat jej odpovědným pracovníkům a připravit hlášení v požadovaném rozsahu. Pro výrobce to v praxi znamená nastavit přesnější odpovědnosti uvnitř firmy a propojit bezpečnostní, technické i právní týmy.
Starší výrobky nemusí firmy celé přepracovat
Nové pokyny zároveň zmírňují obavy části podniků, že budou muset automaticky kompletně předělávat všechny výrobky navržené ještě před plnou použitelností nařízení. Pokud budou tyto produkty uváděny na evropský trh i po 11. prosinci 2027, samotné stáří návrhu podle Evropské komise neznamená povinnost vše přepracovat od základu. Výrobce ale bude muset posoudit kybernetická rizika a doložit, že produkt splňuje relevantní požadavky CRA.
Jestliže se při posouzení ukáže nesoulad, mohou být nutné přiměřené úpravy produktu, interních procesů nebo dokumentace. Pro firmy s širším portfoliem to znamená další administrativní i finanční zátěž: budou muset rozdělit výrobky podle doby uvedení na trh a u každého vyhodnotit rozsah nových povinností. Včasná inventarizace portfolia tak může rozhodnout o tom, zda podnik zvládne přechod na nová pravidla bez zbytečných prodlev a vícenákladů.
Důležitá je také skutečnost, že působnost CRA nekončí u samotného zařízení nebo softwaru instalovaného v produktu. Za určitých okolností mohou být součástí regulovaného výrobku i vzdálená řešení pro zpracování dat, například cloudová infrastruktura nebo cloudové služby, bez nichž zařízení nemůže plnit některé své funkce. Firmy proto budou muset posuzovat celý technologický ekosystém produktu, včetně mobilních aplikací, aplikačních rozhraní, autentizačních služeb i infrastruktury pro aktualizace.
Klasifikace produktu může výrazně změnit náklady
Ekonomicky citlivým bodem je správné zařazení výrobku do příslušné kategorie. CRA vedle běžných produktů rozlišuje také důležité produkty třídy I a II a kritické produkty. Od této klasifikace se odvíjí způsob posuzování shody a v některých případech i nutnost zapojit nezávislý subjekt. Chybné zařazení tak může firmě přinést buď regulatorní problém, nebo naopak zbytečně navýšit náklady spojené s uvedením výrobku na trh.
Pokyny Evropské komise podle Hospodářské komory zdůrazňují zejména hlavní funkci produktu. Samotná přítomnost bezpečnostní komponenty ještě automaticky neznamená, že celý výrobek musí spadnout do vyšší rizikové kategorie. I v tomto bodě tak bude pro podniky rozhodující pečlivá analýza, protože právě správná klasifikace může ovlivnit rozpočet na certifikaci, dokumentaci i rychlost vstupu na evropský trh.
Většina ustanovení Cyber Resilience Act se začne uplatňovat až 11. prosince 2027, ale první termín je pro firmy výrazně bližší. Podniky, kterých se nařízení může týkat, proto podle Hospodářské komory nemají zůstávat jen u sledování legislativy. Už nyní by měly mapovat dotčené produkty, související cloudové a softwarové komponenty, připravit systém posuzování rizik a technickou dokumentaci a nastavit postupy pro rychlé hlášení incidentů. Právě připravenost v roce 2026 může rozhodnout o tom, zda nové evropské požadavky povedou jen k řízenému zvýšení nákladů, nebo k problémům při uvádění digitálních výrobků na trh.
