Body odůvodnění

Nařízení (EU) 2024/2847 (akt o kybernetické odolnosti, dále „CRA” nebo „nařízení”) předchází vlastní normativní části preambule o 130 bodech odůvodnění (recitálech). Tahle stať s nimi zachází jako se samostatnou výkladovou vrstvou. Nejprve vymezuje jejich povahu a výkladovou váhu (oddíl I), pak z nich tematicky vytahuje důvody a výkladová pravidla pro jednotlivé části normativního textu (oddíly II až X) a nakonec nabízí orientační mapu, která hlavní shluky recitálů přiřazuje ke konkrétním článkům (oddíl XI). Znění recitálů se přebírá z autentického českého vyhlášení v Úředním věstníku Evropské unie ze dne 20. 11. 2024; odkazuji na ně číslem bodu.

I. Povaha a výkladová váha bodů odůvodnění

1 Body odůvodnění nejsou normativní. Nezakládají práva ani povinnosti a nelze z nich přímo vyvodit závazné pravidlo chování. Závazný obsah nese jen normativní část nařízení, tedy jeho články a přílohy. Recitál sám o sobě není právním základem povinnosti ani zákazu.

2 Zároveň nejde o dekoraci. Recitály pocházejí od téhož zákonodárce, který přijal normativní text, a byly přijaty v témže aktu. Plní roli, kterou ve vnitrostátním právu plní důvodová zpráva, s tím rozdílem, že jsou součástí vyhlášeného aktu, a mají proto výkladovou váhu vyšší než externí přípravné materiály.

3 Výkladová váha má pevnou mez. Podle ustálených zásad výkladu práva Unie nemají body odůvodnění závaznou právní sílu a nelze se jich dovolávat proti jasnému znění článku. Je-li znění článku jasné, rozhoduje článek. Je-li víceznačné, je recitál silným argumentem pro to čtení, které odpovídá vyjádřenému účelu. Je-li mezi recitálem a článkem rozpor, přednost má článek.

4 U CRA je role recitálů výrazně praktičtější než u většiny nařízení, a to ze tří důvodů. Za prvé, k nařízení zatím neexistuje judikatura ani ustálená rozhodovací praxe dozoru, protože se použije teprve od 11. prosince 2027. Za druhé, řada klíčových pojmů je v článcích definována stroze a obsah dostávají až z příkladů v recitálech. Za třetí, harmonizované normy, které by pojmy zkonkretizovaly technicky, zatím z velké části nejsou.

5 Čtyři recitály mají v praxi zvláštní postavení, protože bez nich příslušné ustanovení nejde použít: bod 18 (kdy je otevřený zdrojový kód obchodní činností), bod 39 (co je a co není podstatná změna), bod 60 (proč je doba podpory pět let a kdy může být kratší) a bod 68 (rozdíl mezi aktivně zneužívanou zranitelností a závažným incidentem). Vracejí se v celém komentáři.

II. Proč nařízení vzniklo a co má řešit

6 Body 1 až 4 nesou důvodovou zprávu. Bod 1 konstatuje, že počet a rozmanitost připojených zařízení poroste a že kybernetické útoky jsou záležitostí veřejného zájmu s dopadem na hospodářství, demokracii i zdraví spotřebitelů. Bod 2 formuluje cíl slovy, která stojí za zapamatování: zajistit, aby byly hardwarové a softwarové produkty uváděny na trh s menším počtem zranitelností.

7 Bod 4 pojmenovává mezeru, kterou nařízení zaplňuje. Existující právo Unie sice pokrývalo některé produkty, ale chyběl horizontální rámec pro všechny produkty s digitálními prvky. To vysvětluje, proč je nařízení postaveno jako produktová regulace s označením CE, a ne jako sektorový bezpečnostní předpis.

8 Bod 9 obsahuje myšlenku, ze které plyne šíře působnosti: i produkt, který sám o sobě vypadá jako nekritický, může posloužit jako vektor útoku pro vstup do sítě a následný pohyb napříč systémy. Proto povinnosti dopadají na všechny připojitelné produkty, ne jen na ty bezpečnostní.

9 Bod 10 přidává rovinu, která se v technických diskusích ztrácí: požadavky platí i pro spotřebitelské produkty určené zranitelným spotřebitelům, výslovně včetně hraček a systémů pro monitorování dětí. Tady je kořen zařazení těchto produktů do přílohy III.

10 Bod 13 vysvětluje účinek harmonizace. V otázkách, které nařízení upravuje, nesmějí členské státy ukládat dodatečné požadavky na kybernetickou bezpečnost pro dodávání na trh. Zároveň platí, že jakýkoli veřejný nebo soukromý subjekt si může stanovit přísnější požadavky pro vlastní nákup nebo užívání. Rozdíl mezi regulací trhu a nákupní politikou je tu podstatný a v praxi se plete.

III. Působnost, hranice a vztah k jiným předpisům

11 Body 11 a 12 vymezují nejméně intuitivní část působnosti: řešení pro zpracování dat na dálku. Do nařízení spadá jen zpracování na dálku, pro které software navrhl výrobce produktu nebo někdo jeho jménem a bez něhož by produkt nemohl plnit některou ze svých funkcí. Bod 12 dává příklad: cloudová funkce výrobce zařízení pro chytrou domácnost, která umožňuje ovládat zařízení na dálku, do působnosti spadá. Naopak internetové stránky nepodporující funkci produktu a cloudové služby, za jejichž vývoj výrobce neodpovídá, nespadají; na služby cloud computingu se použije směrnice NIS2.

12 Body 15 a 16 vykládají klíčový pojem dodání na trh v rámci obchodní činnosti. Obchodní činnost není jen prodej za cenu: může jít i o zpoplatnění technické podpory nad rámec skutečných nákladů, o poskytnutí platformy, přes kterou výrobce zpeněžuje jiné služby, o podmínění užívání zpracováním osobních údajů z jiných důvodů než zlepšení bezpečnosti, kompatibility nebo interoperability, anebo o přijímání darů převyšujících náklady na vývoj. Naopak dary bez záměru vytvářet zisk, poplatek pokrývající jen skutečné náklady a software, který si orgán veřejné správy vyvine výhradně pro vlastní potřebu, obchodní činností nejsou.

13 Body 25 a 27 vysvětlují vyloučení sektorových produktů: zdravotnických prostředků podle nařízení (EU) 2017/745 a 2017/746, vozidel podle nařízení (EU) 2019/2144 s předpisem OSN č. 155 a civilního letectví podle nařízení (EU) 2018/1139. Logika je vždy stejná: sektorový režim už kybernetickou bezpečnost řeší a dvojí posuzování by nic nepřidalo.

14 Bod 30 je něco jiného a je vhodné ho s vyloučeními nespojovat. Rádiová zařízení z CRA vyňata nejsou. Recitál konstatuje, že základní požadavky CRA zahrnují všechny prvky požadavků podle čl. 3 odst. 3 písm. d), e) a f) směrnice 2014/53/EU, a počítá s tím, že Komise proto zruší nebo změní nařízení v přenesené pravomoci (EU) 2022/30. Jde tedy o odstranění dvojkolejnosti na straně toho druhého předpisu, ne o výjimku z CRA.

15 Bod 28 doplňuje, že v budoucnu mohou vzniknout další odvětvová pravidla a použití CRA na jimi pokryté produkty pak může být omezeno nebo vyloučeno, dosahují-li tato pravidla alespoň stejné úrovně ochrany. To je důvod existence zmocnění v čl. 2 odst. 5.

16 Bod 26 vylučuje produkty vyvinuté výhradně pro účely národní bezpečnosti nebo obrany a produkty určené ke zpracování utajovaných informací. Členským státům se přitom doporučuje zajistit u nich alespoň stejnou úroveň ochrany. Doporučení není povinnost, ale v zadávacích podmínkách se objevuje jako požadavek běžně.

17 Bod 29 odůvodňuje výjimku pro náhradní komponenty, a to jak pro opravu starších produktů uvedených na trh před použitelností nařízení, tak pro komponenty, které už posouzením shody prošly. Bez ní by nařízení fakticky zkrátilo životnost zařízení, což by šlo proti jiným cílům Unie.

18 Body 31 a 32 popisují dvě odpovědnostní roviny, které stojí vedle CRA. Podle bodu 31 doplňuje směrnice (EU) 2024/2853 o odpovědnosti za vadné výrobky toto nařízení, ne naopak: chybějící bezpečnostní aktualizace po uvedení na trh může založit objektivní odpovědnost výrobce za škodu. Podle bodu 32 zůstává nedotčeno GDPR a plnění požadavků CRA má k ochraně osobních údajů přispívat, nikoli ji nahrazovat.

19 Bod 51 řeší průnik s AI Actem. Produkty klasifikované jako vysoce rizikové systémy umělé inteligence podle čl. 6 nařízení (EU) 2024/1689 musí splnit základní požadavky CRA; splní-li je, má se za to, že splňují kybernetickobezpečnostní požadavky čl. 15 AI Actu. Požadavky téhož článku na přesnost a spolehlivost most nekryje. Recitál zároveň jmenuje rizika, která je nutné zohlednit: pokusy neoprávněných třetích stran změnit použití, chování nebo výkonnost systému, včetně otravy dat (data poisoning) a nepřátelských útoků. Most vede jedním směrem, z CRA do AI Actu, ne naopak.

20 Druhá polovina bodu 51 říká něco, co si čtenář z „mostu” neodnese: pokud jde o postupy posuzování shody, má se zpravidla namísto ustanovení CRA použít čl. 43 nařízení (EU) 2024/1689. Odchylka platí pro důležité a kritické produkty podle příloh III a IV, u kterých čl. 12 odst. 3 posuzování shody vrací do režimu CRA. Ve výsledku tedy hmotné požadavky obslouží CRA, ale procedurálně se u většiny produktů jde cestou AI Actu.

IV. Svobodný software s otevřeným zdrojovým kódem

21 Otevřenému kódu je věnováno pět recitálů (17 až 21) a jsou nejdůležitější částí preambule pro každého, kdo vydává software pod otevřenou licencí. Bod 17 zdůvodňuje zvláštní zacházení potřebou nebrzdit výzkum a inovace.

22 Bod 18 nese vlastní test. Do působnosti spadá jen otevřený software dodávaný na trh, tedy za účelem distribuce nebo použití v rámci obchodní činnosti. Rozhoduje zpeněžení: poskytování otevřeného softwaru, které jeho výrobce nezpeněžuje, obchodní činností není. Recitál výslovně dodává, že sama finanční podpora od výrobců ani jejich příspěvky k vývoji z projektu obchodní činnost nedělají. U komponent určených k začlenění jinými výrobci se za dodání na trh považuje jen případ, kdy komponentu zpeněží její původní výrobce.

23 Bod 19 zavádí roli správce softwaru s otevřeným zdrojovým kódem: právnická osoba, která poskytuje udržitelnou podporu vývoji produktů určených v konečném důsledku pro obchodní činnost a hraje hlavní úlohu při zajišťování jejich životaschopnosti. Patří sem nadace i subjekty vyvíjející otevřený software v obchodním kontextu včetně neziskových. Recitál sem řadí i hosting platforem pro spolupráci, hosting zdrojového kódu a správu takových produktů.

24 Bod 20 vyjasňuje otázku, která trápí provozovatele repozitářů: samotný hosting v otevřeném repozitáři, včetně správců balíčků a platforem pro spolupráci, dodáním na trh není. Distributorem se poskytovatel takové služby stává jen tehdy, dodává-li software za účelem distribuce nebo použití v rámci obchodní činnosti.

25 Bod 21 otevírá cestu k dobrovolným programům osvědčování bezpečnosti pro komponenty otevřeného kódu, které samy základním požadavkům nepodléhají. Iniciovat či financovat osvědčení má být možné i pro třetí strany, tedy výrobce, kteří komponentu začleňují, uživatele nebo orgány veřejné správy. Je to praktická odpověď na to, že náklad nemá nést komunita, ale ten, kdo z komponenty těží.

26 Bod 22 doplňuje širší rovinu: specializovaná skupina pro správní spolupráci může rozhodnout o společném posouzení závislosti Unie na softwarových komponentách. Orgány dozoru mohou k tomu účelu vyžádat softwarové kusovníky, ale skupině je předávají jen anonymizovaně a souhrnně.

V. Podstatná změna, doba podpory a aktualizace

27 Bod 39 je nejdůležitější výkladový text celého nařízení pro každého, kdo vyvíjí software. Za podstatnou změnu se považuje aktualizace, která změnila zamýšlený účel produktu a kterou výrobce při původním posouzení rizik nepředvídal, anebo která změnila povahu nebezpečí či úroveň rizika, byla-li nová verze dodána na trh. Bezpečnostní aktualizace snižující riziko podstatnou změnou není, ale jen za podmínky, kterou recitál výslovně uvádí: nemění-li zamýšlený účel produktu. Právě na téhle podmínce stojí celý spor o to, kdy aktualizace spustí nové posouzení shody. Drobná vylepšení vzhledu, nové ikony nebo přidaný jazyk rozhraní obvykle nejsou podstatnou změnou. Naopak nový vstupní prvek v aplikaci, který vyžaduje ověřování vstupů, podstatnou změnou být může, protože rozšiřuje prostor k útoku.

28 Bod 40 řeší praktický problém verzí. Výrobce může poskytovat bezpečnostní aktualizace jen pro poslední uvedenou verzi, mají-li uživatelé předchozích verzí bezplatný přístup k té poslední a nevznikají jim dodatečné náklady na úpravu hardwaru nebo softwaru. Recitál dodává výjimku, která se týká milionů zařízení: není-li hardware kompatibilní s nejnovější verzí operačního systému, musí výrobce po dobu podpory dodávat aktualizace alespoň pro poslední kompatibilní verzi.

29 Body 41 a 42 doplňují, že podstatná změna vyžaduje ověření souladu a případně nové posouzení shody, a že renovace, údržba a oprava ve smyslu nařízení (EU) 2024/1781 nutně podstatnou změnou nejsou.

30 Bod 59 stanoví kritéria pro určení doby podpory: přiměřená očekávání uživatelů, povaha produktu a právo Unie určující životnost. Výrobce musí být schopen dozoru na žádost doložit, k čemu při jejím stanovení přihlížel.

31 Bod 60 je nejcitovanější recitál celého nařízení. Doba podpory nemá být kratší než pět let, ledaže je životnost produktu kratší. U produktů s delší očekávanou dobou používání, jmenovitě u základních desek, mikroprocesorů, směrovačů, modemů, přepínačů, operačních systémů, nástrojů pro úpravu videa a průmyslových řídicích systémů, má být doba podpory delší. Kratší dobu lze zvolit jen tehdy, odůvodňuje-li to povaha produktu; příkladem je aplikace pro dohledávání kontaktů určená na dobu pandemie. Podmínky jsou přitom dvě a platí současně: povaha produktu to musí odůvodňovat a zároveň se musí očekávat používání kratší než pět let; doba podpory pak odpovídá očekávané době použití.

32 Bod 61 doporučuje, aby výrobci po skončení doby podpory zvážili uvolnění zdrojového kódu, ať už jiným podnikům, které převezmou řešení zranitelností, nebo veřejnosti. Jde o doporučení, ne povinnost, a lze je omezit smluvně.

33 Bod 62 přidává korekční mechanismus: specializovaná skupina pro správní spolupráci má zveřejňovat statistiky průměrných dob podpory a Komise může aktem v přenesené pravomoci stanovit minimální dobu podpory pro konkrétní kategorie, ukáže-li se, že výrobci kritéria nectí nebo se v jednotlivých státech bezdůvodně liší.

34 Body 56 a 57 stojí za požadavky přílohy I na aktualizace. Podle bodu 56 mají produkty umožňovat automatické oznamování, stahování a instalaci bezpečnostních aktualizací, zejména u spotřebitelských produktů, přičemž uživatel je musí být schopen vypnout jasným a snadno použitelným mechanismem. Podle bodu 57 mají být bezpečnostní aktualizace poskytovány odděleně od aktualizací funkcí, aby uživatel nemusel přijímat nové funkce jen proto, aby dostal opravu.

35 Pokračování bodu 56 je pro průmyslové výrobce důležitější než samotné pravidlo. Požadavky na automatické aktualizace se nevztahují na produkty určené primárně k začlenění do jiných produktů jako komponenty ani na produkty, u nichž uživatelé automatické aktualizace důvodně neočekávají, tedy na produkty používané v profesionálních sítích IKT, zejména v kritickém a průmyslovém prostředí.

36 Bod 64 doplňuje, že produkty se dodávají se standardně bezpečnou konfigurací a aktualizace jsou bezplatné. Odchýlit se lze jen u produktů uzpůsobených konkrétnímu podnikatelskému uživateli, kde se strany výslovně dohodly jinak.

VI. Kategorie produktů a přísnost posuzování

37 Bod 43 vysvětluje, proč je produkt „důležitý”: dopad zneužití jeho zranitelnosti může být závažný, mimo jiné kvůli funkci související s kybernetickou bezpečností nebo kvůli funkci centrálního systému, tedy správě sítě, řízení konfigurace, virtualizaci nebo zpracování osobních údajů. Jako příklad uvádí boot managery a šíření problému celým dodavatelským řetězcem.

38 Bod 44 odůvodňuje dělení na dvě třídy tím, že incident u třídy II může mít větší negativní dopad. Bod 45 přidává výkladové pravidlo, které se v praxi používá nejčastěji: rozhoduje klíčová funkce produktu. Firewally a systémy detekce či prevence narušení posouzení třetí stranou podléhají; produkt, který firewall pouze obsahuje, ale klíčovou funkci má jinou, do kategorie nespadá.

39 Bod 46 vymezuje kritické produkty dvěma znaky: funkcí související s kybernetickou bezpečností a významným rizikem nepříznivých účinků, k nimž se přidává kritická závislost základních subjektů podle čl. 3 odst. 1 směrnice NIS2. Tentýž bod 46 pak upřesňuje, že povinná evropská certifikace se má zavádět jen tam, kde už schéma existuje, a po posouzení dopadu na trh z hlediska nabídky i poptávky. Bod 47 se týká úrovně záruky, která má být alespoň „významná”, a bod 48 zmocnění Komise doplňovat kategorie kritických produktů a vyjímat je.

40 Bod 50 vymezuje hranici vůči obecné bezpečnosti výrobků: CRA řeší kybernetická bezpečnostní rizika cíleně a ostatní rizika zůstávají jiným předpisům, v poslední řadě nařízení (EU) 2023/988 o obecné bezpečnosti výrobků.

41 Bod 55 je záchranná brzda celé přílohy I. Nevztahuje-li se určitý základní požadavek na produkt, musí výrobce jasně odůvodnit proč, a to v posouzení rizik v technické dokumentaci. Recitál dává příklad: požadavek může být neslučitelný s obecně uznávanými normami interoperability. Zjistí-li přitom výrobce riziko, má je řešit jinak, například omezením zamýšleného účelu na důvěryhodné prostředí nebo informováním uživatelů.

VII. Řešení zranitelností a oznamování

42 Bod 68 nese rozlišení, na kterém stojí celý čl. 14. Aktivně zneužívaná zranitelnost je případ, kdy výrobce zjistí narušení bezpečnosti způsobené škodlivým aktérem, který využil chybu v produktu; příkladem jsou slabiny v ověřování totožnosti. Závažný incident s dopadem na bezpečnost produktu je naopak situace, kdy se incident týká postupů výrobce při vývoji, výrobě nebo údržbě; učebnicovým příkladem je útočník, který podstrčil škodlivý kód do kanálu, jímž výrobce vydává aktualizace.

43 Tentýž recitál vylučuje z oznamovací povinnosti zranitelnosti zjištěné bez škodlivého záměru při testování, vyšetřování, opravě nebo zveřejnění v dobré víře. Bez téhle věty by ohlašovací režim postihoval i výsledky vlastního bezpečnostního testování.

44 Body 65 až 67 popisují souběžné oznámení týmu CSIRT určenému jako koordinátor a agentuře ENISA a povinnost informovat uživatele o závažném incidentu tak, aby mohli rychle reagovat. Bod 69 zdůvodňuje jednotnou platformu pro podávání zpráv provozovanou agenturou ENISA: výrobce má podávat jediné oznámení a rozeslání příslušným týmům zajistí platforma.

45 Bod 70 vysvětluje nejcitlivější mechanismus celého režimu. Za výjimečných okolností, zejména na žádost výrobce, může tým CSIRT rozeslání oznámení ostatním týmům na nezbytně nutnou dobu odložit, lze-li to odůvodnit kybernetickou bezpečností. Jako příklady recitál uvádí probíhající koordinované zveřejňování zranitelnosti nebo očekávané brzké vydání zmírňujícího opatření. Podmínky měl upřesnit akt v přenesené pravomoci a už existuje: nařízení Komise v přenesené pravomoci (EU) 2026/881 ze dne 11. prosince 2025 stanoví podmínky pro uplatňování kybernetickobezpečnostních důvodů u odkladu rozesílání oznámení.

46 Bod 71 dodává, že výrobce má při oznámení sám uvést, jak citlivé jsou podle něj sdělené informace, a že k tomu tým CSIRT při rozhodování o odkladu přihlíží. Není to jediné místo, kde oznamovatel vliv má: už bod 70 počítá s tím, že se o odkladu rozhoduje „za výjimečných okolností, a zejména na žádost výrobce”. Uvedení míry citlivosti je ale to jediné, co výrobce může udělat sám od sebe, bez podání žádosti.

47 Bod 72 pojmenovává souběh ohlašovacích režimů: vedle CRA existují povinnosti podle GDPR, nařízení DORA, směrnice o soukromí a elektronických komunikacích a směrnice NIS2. Členským státům se doporučuje zřídit jednotná kontaktní místa, aby subjekty neoznamovaly tutéž událost čtyřikrát jinam. Doporučení nemění to, že lhůty a adresáti jsou dnes různí.

48 Body 74 a 75 se týkají dobrovolného oznamování a postavení výzkumníků. Bod 75 vyzývá státy, aby se v souladu s vnitrostátním právem zabývaly obtížemi výzkumných pracovníků včetně jejich možné trestní odpovědnosti. V Česku je to otevřená otázka, kterou nařízení samo neřeší.

49 Bod 76 stojí za požadavkem přílohy I na politiku koordinovaného zveřejňování zranitelností a bod 77 za softwarovým kusovníkem. Bod 77 přitom výslovně říká, že výrobci nemají povinnost kusovník zveřejnit. To je odpověď na nejčastější obavu z obchodního citlivosti seznamu závislostí.

VIII. Normy, domněnka shody a posouzení

50 Body 79 a 80 zavádějí domněnku shody z harmonizovaných norem a zároveň přiznávají její slabinu: bod 80 označuje včasné vypracování norem během přechodného období za obzvláště důležité. Že to nařízení muselo zdůraznit, samo o sobě naznačuje, kde je riziko.

51 Body 81 a 82 propojují CRA s evropskými schématy certifikace podle nařízení (EU) 2019/881 a jmenují prováděcí nařízení (EU) 2024/482 (schéma EUCC) u produktů, jako jsou hardwarové bezpečnostní moduly a mikroprocesory.

52 Body 83 až 86 popisují normalizační rámec a společné specifikace jako záložní nástroj pro případ, že normy nevzniknou včas. Bod 85 vykládá pojem „přiměřená lhůta” u zveřejnění odkazu na normu v Úředním věstníku. Bod 87 uvádí tři prostředky domněnky vedle sebe a připouští volbu pro určité požadavky; že je lze kombinovat, z něj plyne výkladem, ne doslovným zněním.

53 Body 88 a 89 odůvodňují EU prohlášení o shodě a označení CE. Bod 90 odůvodňuje postupy posuzování shody a jejich modulovou stavbu podle rozhodnutí č. 768/2008/ES, bod 91 volbu postupu. Bod 92 obsahuje detail, který se hodí u softwaru: kompilace, sestavení, zabalení, zpřístupnění ke stažení nebo kopírování na nosič se pro účely modulů posuzování shody považují za činnosti odpovídající výrobě.

IX. Menší podniky a oznámené subjekty

54 Bod 5 odkazuje na doporučení 2003/361/ES a jeho přílohu v plném rozsahu. Do počtu zaměstnanců a finančních ukazatelů se tedy započítávají i propojené a partnerské podniky, což z mnoha zdánlivě malých dceřiných společností dělá podniky velké.

55 Zjednodušený formulář technické dokumentace pro mikropodniky a malé podniky zdůvodňuje bod 93, ne 94. Recitál výslovně říká, že formulář musí zahrnovat všechny prvky dokumentace a jen upřesnit, jak je lze poskytnout stručně. Nejde tedy o obsahovou úlevu, ale o úlevu formální. Bod 94 se týká něčeho jiného: iniciativ členských států, školení, regulačních sandboxů a nákladů na překlad.

56 Bod 96 žádá, aby subjekty posuzování shody při stanovování poplatků zohledňovaly zájmy menších podniků, a bod 95 aby státy zajistily dostatečný počet oznámených subjektů před datem použitelnosti. Právě proto se kapitola IV používá už od 11. června 2026.

57 Bod 97 vysvětluje smysl regulačních sandboxů, tedy kontrolovaných testovacích prostředí před uvedením produktu na trh: zvýšit právní jistotu a usnadnit přístup na trh zejména menším a začínajícím podnikům.

58 Body 98 až 105 tvoří důvodovou zprávu ke kapitole IV. Bod 100 říká pravý opak uznávání: subjekty akreditované a oznámené podle jiného práva Unie s podobnými požadavky mají být nově posouzeny a oznámeny podle CRA; připouští se jen vymezit součinnost u překrývajících se požadavků, bod 101 označuje akreditaci podle nařízení (ES) č. 765/2008 za přednostní způsob prokázání odborné způsobilosti, bod 102 řeší subdodavatele a dceřiné společnosti, bod 103 oznamování přes systém NANDO a bod 104 lhůtu pro námitky ostatních států.

X. Dozor, sankce a vymáhání

59 Body 106 až 109 staví dozor na nařízení (EU) 2019/1020 a zavádějí specializovanou skupinu pro správní spolupráci podle jeho čl. 30 odst. 2. Body 110 až 112 odůvodňují ochranné postupy, přičemž bod 111 nese myšlenku, která překvapuje nejvíc: i produkt, který je s nařízením v souladu, může být předmětem nápravných opatření, představuje-li přesto významné riziko.

60 Body 113 a 114 popisují společné činnosti a společné kontrolní akce jako donucovací nástroj napříč státy. Body 115 a 116 vymezují roli agentury ENISA a upozorňují na potřebu odpovídajících zdrojů, což je nepřímé přiznání, že kapacita je rizikem.

61 Bod 120 zdůvodňuje maximální úrovně pokut a bod 121 doplňuje pravidlo, které se v přehledech neobjevuje: je-li pokuta uložena osobě, která není podnikem, přihlíží se k obecné úrovni příjmů v daném státě a k ekonomické situaci té osoby. Zda a nakolik pokutovat orgány veřejné správy, zůstává na členských státech.

62 Bod 122 doporučuje státům zvážit, aby se výnos ze sankcí použil na podporu opatření v oblasti kybernetické bezpečnosti. Bod 123 se týká mezinárodního obchodu a dohod o vzájemném uznávání, bod 124 zástupných žalob podle směrnice (EU) 2020/1828 a bod 125 pravidelného hodnocení a přezkumu.

63 Bod 126 vysvětluje odstupňování dat použitelnosti a je jediným místem preambule, kde jsou všechna tři data pohromadě: obecně 11. prosince 2027, oznamování podle čl. 14 od 11. září 2026 a oznamování subjektů posuzování shody od 11. června 2026. Pozor na drobnost: v českém vyhlášení je u posledního data překlep („11. červma 2026”), rozhodné znění je v čl. 71.

64 Body 127 a 128 uzavírají výzvou k podpoře menších podniků, bod 129 se týká subsidiarity a bod 130 konstatuje konzultaci s evropským inspektorem ochrany údajů a jeho stanovisko z 9. listopadu 2022.

XI. Orientační mapa recitál → článek

Následující mapa přiřazuje hlavní shluky bodů odůvodnění ke konkrétním článkům nebo kapitolám normativní části a slouží zároveň k provázání do jednotlivých kapitol komentáře. Přiřazení vychází z obsahu recitálů a je orientační, nikoli vyčerpávající; jeden recitál se může vázat k více ustanovením.

Body odůvodnění	Článek / kapitola	Téma
1 až 4, 7, 8	čl. 1; kapitola I	Proč nařízení vzniklo, chybějící horizontální rámec, cíl méně zranitelností
5	čl. 3 (mikropodniky a MSP); čl. 33	Definice velikosti podniku odkazem na doporučení 2003/361/ES včetně propojených podniků
6, 127, 128	čl. 26; čl. 33	Pokyny Komise a podpora menších podniků
9, 10	čl. 1; čl. 6; příloha I	Každý připojitelný produkt jako vektor útoku; zranitelní spotřebitelé
11, 12	čl. 2 odst. 1; čl. 3 bod 2	Řešení pro zpracování dat na dálku, hranice vůči cloudovým službám a NIS2
13, 14	čl. 4; čl. 5 odst. 1	Volný pohyb a zákaz dodatečných národních požadavků; přísnější požadavky státu při vlastním nákupu a užívání, včetně obrany
26	čl. 2 odst. 7 a 8	Produkty vyvinuté nebo upravené výlučně pro národní bezpečnost či obranu a produkty speciálně určené ke zpracování utajovaných informací
15, 16	čl. 3 body 21 až 23	Dodání na trh v rámci obchodní činnosti, zpeněžení, dary, veřejná správa
17 až 21	čl. 3 body 14 a 48; čl. 24; čl. 25	Svobodný software s otevřeným zdrojovým kódem, definice správce, hosting, osvědčování
22	čl. 52 odst. 15; příloha I část II bod 1	Posouzení závislosti Unie, softwarový kusovník v anonymizované podobě
23	čl. 33	Dovednosti v oblasti kybernetické bezpečnosti
24	čl. 1; čl. 52	Vztah k NIS2 a k dodavatelskému řetězci poskytovatelů digitální infrastruktury
25, 27	čl. 2 odst. 2 až 4	Vyloučení zdravotnických prostředků, vozidel a letectví
30	čl. 6; příloha I	Překryv s rádiovou směrnicí 2014/53/EU a očekávané zrušení nařízení (EU) 2022/30, nikoli vyloučení
28	čl. 2 odst. 5; čl. 61	Budoucí odvětvová pravidla a zmocnění k omezení působnosti
29	čl. 2 odst. 6	Výjimka pro náhradní komponenty
31	mimo CRA (směrnice (EU) 2024/2853)	Objektivní odpovědnost za chybějící bezpečnostní aktualizace
32	mimo CRA (GDPR)	Vzájemný vztah k ochraně osobních údajů, součinnost v normalizaci a certifikaci
33	čl. 27 odst. 9	Evropské peněženky digitální identity a certifikace
34, 35	čl. 13 odst. 5	Náležitá péče u komponent třetích stran a přechodné období
36, 37	čl. 4 odst. 2 a 3; čl. 29; čl. 30	Označení CE; veletrhy a prototypy a nedokončený software k testování jako výjimky z volného pohybu
38 až 42	čl. 3 bod 30; čl. 13 odst. 10; čl. 32	Podstatná změna, bezpečnostní aktualizace, verze, renovace a oprava
43 až 45	čl. 7; příloha III	Důležité produkty, dvě třídy, kritérium klíčové funkce
46 až 48	čl. 8; čl. 27 odst. 9; příloha IV	Kritické produkty a povinná evropská certifikace
49	čl. 9; čl. 7 odst. 4; čl. 30 odst. 6	Konzultace se zúčastněnými stranami; čl. 61 odst. 4 se týká jen odborníků jmenovaných státy
50	mimo CRA (nařízení (EU) 2023/988)	Rizika, která nejsou kybernetická
51	čl. 12	Vysoce rizikové systémy umělé inteligence a most k čl. 15 AI Actu
52, 53	čl. 6; příloha I	Základní požadavky, souběh se strojními zařízeními, sítě 5G
54 až 57	čl. 13 odst. 2 až 8; příloha I část II	Řešení zranitelností, odůvodnění nepoužití požadavku, automatické a oddělené aktualizace
58	čl. 52; čl. 56	Vysoce rizikoví dodavatelé jako strategické riziko
59 až 62	čl. 13 odst. 8; čl. 52 odst. 16	Doba podpory, pět let, uvolnění zdrojového kódu, minimální doby v přenesené pravomoci
63	čl. 13 odst. 17; příloha II bod 2	Jednotné kontaktní místo, které nesmí být jen automatem
64	příloha I část I písm. b) a c); příloha I část II bod 8	Standardně bezpečná konfigurace; bezplatné šíření aktualizací je v části II bodě 8
65 až 71	čl. 14; čl. 16	Oznamování zranitelností a incidentů, jednotná platforma, odklad, citlivost informací
72, 73	čl. 16	Souběh ohlašovacích režimů, jednotná kontaktní místa, konzultace ENISA
74, 75	čl. 15	Dobrovolné oznamování a postavení bezpečnostních výzkumníků
76, 77	příloha I část II body 1, 5 a 6	Politika koordinovaného zveřejňování a softwarový kusovník bez povinnosti zveřejnit
78	čl. 3; čl. 20	Online tržiště, kdy je poskytovatel distributorem nebo výrobcem
79, 80, 83 až 87	čl. 27	Harmonizované normy, společné specifikace, přiměřená lhůta, kombinace zdrojů domněnky
81, 82	čl. 27 odst. 8 a 9	Evropská schémata certifikace a schéma EUCC
88, 89	čl. 28 až 30; přílohy V a VI	EU prohlášení o shodě a označení CE
90 až 92	čl. 31; čl. 32; přílohy VII a VIII	Technická dokumentace, volba postupu, software a pojem výroby
93	čl. 33 odst. 5	Zjednodušený formulář dokumentace pro mikropodniky a malé podniky (prováděcí akt)
94	čl. 33 odst. 1 a 2	Iniciativy států, školení, sandboxy, náklady na překlad
95, 96	čl. 35 odst. 2; čl. 32 odst. 6; čl. 39 odst. 12	Dostatek oznámených subjektů do 11. 12. 2026 a snížení poplatků pro menší podniky
97	čl. 33 odst. 2	Regulační sandboxy jako kontrolované testovací prostředí
98 až 105	kapitola IV (čl. 35 až 51)	Oznamující orgány, akreditace, subdodavatelé, NANDO, námitky
106 až 109	čl. 52	Dozor nad trhem a specializovaná skupina pro správní spolupráci
110 až 112	čl. 54 až 57	Ochranný postup Unie a vyhovující produkty s významným rizikem
113, 114	čl. 59; čl. 60	Společné činnosti a společné kontrolní akce
115, 116	čl. 52; čl. 16	Role a kapacita agentury ENISA
117, 118	čl. 61; čl. 62	Přenesené pravomoci a projednávání ve výboru
119	čl. 63	Důvěrnost informací získaných při uplatňování nařízení
120 až 122	čl. 64	Sankce, pokuta osobě, která není podnikem, využití výnosu
123	čl. 34	Mezinárodní obchod a dohody o vzájemném uznávání
124	čl. 65; čl. 67	Zástupné žaloby
125	čl. 70	Hodnocení a přezkum
126	čl. 71; čl. 69	Data použitelnosti a přechodná ustanovení
129, 130	preambule	Subsidiarita a konzultace s evropským inspektorem ochrany údajů