Akt o kybernetické odolnosti

Předmět nařízení: horizontální pravidla kybernetické bezpečnosti pro uvádění produktů s digitálními prvky na trh, požadavky na návrh, vývoj i výrobu a povinnosti řešit zranitelnosti po celou dobu podpory.

Působnost je široká a definuje se přes připojení: dopadá na produkty, jejichž zamýšlený účel nebo rozumně předvídatelné použití zahrnuje přímé nebo nepřímé logické či fyzické datové připojení k zařízení nebo síti. Vyloučeny jsou zdravotnické prostředky, vozidla, letectví, námořní výstroj a náhradní díly ke shodným komponentám.

Šedesát čtyři definic. Klíčové jsou produkt s digitálními prvky, výrobce, uvedení na trh, doba podpory, aktivně zneužívaná zranitelnost a závažný incident s dopadem na bezpečnost. Většina sporů o rozsah povinností je ve skutečnosti sporem o některou z nich.

Volný pohyb: členské státy nesmějí bránit dodání produktů, které nařízení splňují. Zároveň dovoluje výjimky pro testovací produkty a pro účely národní bezpečnosti a obrany.

Zadávání veřejných zakázek a používání produktů. Nařízení nebrání státům požadovat u zakázek přísnější podmínky, jsou-li nezbytné k ochraně základních bezpečnostních zájmů.

Vstupní norma celého nařízení a nejkratší článek s největším dopadem. Produkt se smí dodat na trh, jen splňuje-li základní požadavky z části I přílohy I a jsou-li postupy výrobce v souladu s částí II téže přílohy. Bez přílohy I se tenhle článek nedá použít.

Důležité produkty s digitálními prvky, tedy kategorie mezi běžnými a kritickými. Výčet je v příloze III, členěné do tříd I a II. Zařazení rozhoduje o tom, jak přísný postup posouzení shody se použije podle čl. 32.

Kritické produkty s digitálními prvky podle přílohy IV. U nich může Komise prováděcím aktem vyžadovat evropskou certifikaci kybernetické bezpečnosti alespoň na úrovni záruky „významná“.

Konzultace se zúčastněnými stranami, mimo jiné při přípravě aktů v přenesené pravomoci a pokynů. Praktický význam má proto, že katalogy produktů v přílohách III a IV se mají měnit právě touto cestou.

Prohlubování dovedností v oblasti kybernetické bezpečnosti. Adresátem jsou členské státy a Komise, ne hospodářské subjekty; přímé povinnosti z něj neplynou.

Vztah k nařízení o obecné bezpečnosti výrobků. Na produkty s digitálními prvky se použije to nařízení jen v rozsahu, v jakém CRA nestanoví zvláštní požadavky.

Nejdůležitější spojka mezi CRA a AI Actem. Produkt s digitálními prvky, který je zároveň vysoce rizikovým systémem AI, splněním základních požadavků podle přílohy I splní i požadavek na kybernetickou bezpečnost podle čl. 15 AI Actu. Jedna analýza tedy může posloužit oběma režimům, ale jen v tomhle jediném bodě.

Nejobsáhlejší povinnostní článek nařízení. Návrh, vývoj a výroba podle přílohy I, povinné posouzení kybernetických bezpečnostních rizik zdokumentované po celou dobu podpory, náležitá péče u komponent od třetích stran, doba podpory zpravidla nejméně pět let a bezplatné bezpečnostní aktualizace.

Ohlašovací povinnost s nejtvrdšími lhůtami v celém nařízení. Hlásí se dvě různé věci a lhůty se u nich rozcházejí: u aktivně zneužívané zranitelnosti včasné varování do 24 hodin, oznámení do 72 hodin a závěrečná zpráva do 14 dnů od dostupnosti nápravného či zmírňujícího opatření; u závažného incidentu včasné varování do 24 hodin, oznámení do 72 hodin a závěrečná zpráva do jednoho měsíce od tohoto oznámení. Adresátem je tým CSIRT určený jako koordinátor a agentura ENISA. Použije se dřív než zbytek nařízení, od 11. 9. 2026.

Dobrovolné hlášení zranitelností, incidentů, kybernetických hrozeb a málem způsobených incidentů. Dobrovolné hlášení nesmí vést k dodatečným povinnostem ohlašovatele.

Jednotná platforma pro podávání zpráv provozovaná agenturou ENISA. Určuje, kudy fakticky poteče hlášení podle čl. 14.

Doplňková pravidla k hlášení, mimo jiné informování dotčených uživatelů o incidentu a o nápravných opatřeních, která mohou sami přijmout.

Zplnomocněný zástupce. Výrobce mimo Unii jím písemným pověřením přenáší vymezené úkoly, zejména držení technické dokumentace a spolupráci s dozorem. Odpovědnost za splnění čl. 13 tím na zástupce nepřechází.

Povinnosti dovozce. Před uvedením na trh ověřuje, že výrobce splnil postupy posouzení shody, že je vypracována technická dokumentace a že je umístěno označení CE. Nesmí uvést na trh produkt, o kterém ví, že požadavky nesplňuje.

Povinnosti distributora. Jednají s náležitou péčí a ověřují formální náležitosti, tedy označení CE, prohlášení o shodě a informace pro uživatele. Nemá povinnost přezkoumávat technický obsah.

Překlopení rolí. Dovozce nebo distributor, který produkt uvede na trh pod svým jménem či ochrannou známkou nebo jej podstatně změní, se pro účely nařízení považuje za výrobce se všemi povinnostmi z čl. 13 a 14.

Další případy, kdy se povinnosti výrobce vztahují na jinou osobu, včetně podstatné úpravy již dodaného produktu.

Identifikace hospodářských subjektů. Na žádost dozoru je nutné po dobu deseti let sdělit, kdo produkt dodal a komu byl dodán. Bez evidence dodavatelského řetězce se to nedá splnit.

Zvláštní, výrazně mírnější režim pro správce softwaru s otevřeným zdrojovým kódem. Musí zavést a ověřitelně zdokumentovat politiku kybernetické bezpečnosti a spolupracovat s dozorem; povinnosti podle čl. 14 na ně dopadají jen v rozsahu, v jakém se podílejí na vývoji produktu.

Zmocnění Komise zavést aktem v přenesené pravomoci programy dobrovolného potvrzení o bezpečnosti svobodného softwaru s otevřeným zdrojovým kódem. Do vydání takového aktu nástroj neexistuje; má usnadnit náležitou péči podle čl. 13 odst. 5 výrobcům, kteří komponentu začleňují.

Zmocnění Komise vydávat pokyny, výslovně mimo jiné k působnosti, k době podpory a k postavení mikropodniků a malých a středních podniků. U nařízení s takhle neurčitými pojmy je to zdroj, který se bude číst dřív než text.

Předpoklad shody z harmonizovaných norem, společných specifikací a evropských schémat certifikace kybernetické bezpečnosti. Kdo je použije, má shodu za doloženou v rozsahu, který norma pokrývá. V praxi to je nejlevnější cesta k prokázání souladu.

EU prohlášení o shodě. Vydává je výrobce a přebírá jím odpovědnost za shodu produktu. Vzor je v příloze V, zjednodušená podoba v příloze VI.

Obecné zásady označení CE, převzaté z horizontálního rámce uvádění výrobků na trh.

Pravidla a podmínky pro umístění označení CE: viditelně, čitelně a nesmazatelně na produkt, jeho obal nebo doprovodné dokumenty.

Technická dokumentace podle přílohy VII. Vypracovává se před uvedením na trh a udržuje se po dobu podpory, nejméně však deset let od uvedení na trh.

Volba postupu posouzení shody. U běžných produktů stačí interní kontrola podle modulu A. U důležitých produktů třídy I bez použití norem a u třídy II a kritických produktů nastupuje EU přezkoušení typu nebo komplexní zabezpečování kvality, tedy zapojení oznámeného subjektu.

Podpůrná opatření pro mikropodniky a malé a střední podniky včetně začínajících. Zjednodušená technická dokumentace, poradenství a snížené poplatky u oznámených subjektů.

Dohody o vzájemném uznávání se třetími zeměmi. Zatím bez praktického dopadu, ale je to cesta, kterou se bude řešit dvojí posuzování u vývozu.

Oznámení subjektů posuzování shody. Členské státy oznamují Komisi subjekty, které jsou oprávněny provádět posouzení podle čl. 32.

Oznamující orgány. Stát určí orgán odpovědný za posuzování, oznamování a kontrolu oznámených subjektů.

Požadavky na oznamující orgány, zejména nezávislost a absence střetu zájmů vůči posuzovaným subjektům.

Informační povinnost oznamujících orgánů vůči Komisi, mimo jiné o postupech posuzování a monitorování.

Požadavky na oznámené subjekty: právní subjektivita, nezávislost, odbornost, pojištění odpovědnosti a mlčenlivost. Tenhle článek je zároveň v pásmu pokut do 10 milionů eur podle čl. 64 odst. 3.

Předpoklad shody oznámených subjektů, splňují-li harmonizované normy pro subjekty posuzování shody.

Dceřiné společnosti a subdodávky. Odpovědnost za činnosti zůstává oznámenému subjektu a subdodávka vyžaduje souhlas výrobce.

Žádost o oznámení a její náležitosti včetně dokladu o způsobilosti.

Postup oznamování Komisi a ostatním státům, včetně možnosti vznést námitky.

Identifikační čísla a veřejné seznamy oznámených subjektů.

Změny v oznámeních, včetně omezení, pozastavení nebo zrušení. Kdo přišel o oznámení, musí předat spisy jinému subjektu nebo je uchovat pro dozor.

Zpochybnění způsobilosti oznámeného subjektu Komisí a následné šetření.

Povinnosti při vlastní činnosti oznámených subjektů: přiměřenost posuzování, zohlednění velikosti podniku a povinnost odmítnout osvědčení u nevyhovujícího produktu.

Odvolání proti rozhodnutí oznámeného subjektu. Musí existovat dostupný postup pro přezkum.

Informační povinnost oznámených subjektů vůči oznamujícímu orgánu a ostatním subjektům.

Výměna zkušeností mezi oznamujícími orgány, organizovaná Komisí.

Koordinační skupina oznámených subjektů a povinnost účastnit se její práce.

Dozor nad trhem podle nařízení (EU) 2019/1020. Určuje, kdo kontroluje, a zavádí spolupráci s orgány podle směrnice NIS2 a s dozorovými úřady pro ochranu údajů.

Přístup k údajům a dokumentaci. Na odůvodněnou žádost se dozoru zpřístupní údaje potřebné k posouzení návrhu, vývoje, výroby a řešení zranitelností, včetně interní dokumentace. Pravomoc vyžádat si zdrojový kód článek nedává; obdobné ustanovení má akt o umělé inteligenci ve svém čl. 74 odst. 13.

Vnitrostátní postup u produktu, který představuje významné kybernetické bezpečnostní riziko. Dozor vyzve k nápravě a při jejím nesplnění produkt omezí, stáhne nebo zakáže.

Ochranný postup Unie při neshodě mezi členskými státy o důvodnosti opatření.

Postup na úrovni Unie u produktů, kde je namístě koordinovaný zásah Komise.

Produkt, který nařízení formálně splňuje, ale přesto představuje významné riziko. I tehdy lze uložit nápravu; shoda tedy není absolutní obranou.

Formální nesoulad, například chybějící nebo nesprávně umístěné označení CE či chybějící prohlášení o shodě. Řeší se jako samostatný důvod k opatření.

Společné činnosti orgánů dozoru nad trhem, včetně spolupráce s uživateli a odbornou veřejností.

Společné kontrolní akce koordinované napříč státy. Právě tudy se dá čekat první vlna plošných kontrol po nabytí použitelnosti.

Výkon přenesení pravomoci na Komisi, mimo jiné k úpravě kategorií produktů v přílohách a k upřesnění působnosti podle čl. 2 odst. 5.

Postup projednávání ve výboru pro prováděcí akty, včetně naléhavého postupu.

Zachování důvěrnosti. Orgány i oznámené subjekty chrání obchodní tajemství a informace o zranitelnostech; sdílení je omezeno na nezbytné.

Tři pokutová pásma. Nejvyšší, do 15 000 000 EUR nebo 2,5 % celosvětového obratu, dopadá na porušení základních požadavků z přílohy I a povinností z čl. 13 a 14. Střední pásmo do 10 000 000 EUR nebo 2 % a nejnižší do 5 000 000 EUR nebo 1 % za nesprávné informace poskytnuté dozoru či oznámenému subjektu. Procento z obratu se uplatní, jen jde-li o podnik; pak platí to z obou čísel, které je vyšší. Odstavec 10 navíc vyjímá z pokut podle odst. 2 až 9 mikropodniky a malé podniky u 24hodinové lhůty a správce otevřeného kódu úplně.

Zástupné žaloby. CRA se zařazuje do přílohy I směrnice (EU) 2020/1828, takže se porušení dá vymáhat i kolektivně, v Česku podle zákona o hromadném občanském řízení soudním.

Změna nařízení (EU) 2019/1020 o dozoru nad trhem.

Změna směrnice (EU) 2020/1828 o zástupných žalobách, kterou se CRA zařazuje do jejího katalogu.

Změna nařízení (EU) č. 168/2013 o dvoukolových a tříkolových vozidlech.

Přechodná ustanovení. Produkty uvedené na trh před 11. 12. 2027 spadají pod nařízení až tehdy, dojde-li po tomto datu k podstatné změně jejich návrhu nebo zamýšleného účelu. Certifikáty a rozhodnutí vydaná oznámenými subjekty zůstávají v platnosti.

Hodnocení a přezkum nařízení Komisí, poprvé do 11. 12. 2030.

Vstup v platnost dvacátým dnem po vyhlášení a použitelnost od 11. 12. 2027. Dvě výjimky rozhodují o plánování: čl. 14 (ohlašování) se použije už od 11. 9. 2026 a kapitola IV (čl. 35 až 51) od 11. 6. 2026.

Základní požadavky na kybernetickou bezpečnost. Část I stanoví vlastnosti produktu (bezpečné výchozí nastavení, ochrana proti neoprávněnému přístupu, důvěrnost a integrita dat, minimalizace útočné plochy, možnost obnovy), část II postupy pro řešení zranitelností po celou dobu podpory včetně seznamu komponent a bezplatných bezpečnostních aktualizací. Bez ní se nedá použít čl. 6.

Informace a pokyny pro uživatele: kontaktní místo pro hlášení zranitelností, doba podpory, způsob získávání aktualizací a údaje potřebné k bezpečnému uvedení do provozu i k vyřazení.

Důležité produkty s digitálními prvky, členěné do třídy I a II. Zařazení rozhoduje o přísnosti postupu posouzení shody podle čl. 32.

Kritické produkty s digitálními prvky. U nich může Komise vyžadovat evropskou certifikaci kybernetické bezpečnosti.

Povinný obsah EU prohlášení o shodě.

Zjednodušené EU prohlášení o shodě pro případy, kdy se uvádí zkrácená podoba.

Obsah technické dokumentace podle čl. 31.

Postupy posuzování shody: modul A (interní kontrola), modul B (EU přezkoušení typu) s modulem C a modul H (komplexní zabezpečování kvality).