Jak dosáhnout souladu s CRA

Podle čl. 13 odst. 2 a 3 se posouzení promítá do celého životního cyklu a dokumentuje se po dobu podpory. Právě z něj se odvozuje, které požadavky přílohy I části I bodu 2 se na produkt uplatní. Nevztahuje-li se některý požadavek, musí být v dokumentaci podle odst. 4 jasné odůvodnění.

Část I přílohy I ukládá vlastnosti produktu: žádné známé zneužitelné zranitelnosti, bezpečná výchozí konfigurace, možnost aktualizací, řízení přístupu, důvěrnost a integrita dat, minimalizace údajů, dostupnost, omezení prostoru k útoku, protokolování a možnost trvale smazat data. Část II ukládá postupy při řešení zranitelností.

Podle přílohy I části II bodu 1 ve strojově čitelném formátu, alespoň s nejdůležitějšími závislostmi. Zveřejňovat ho nemusíte (bod 77 odůvodnění), ale existovat musí a dozor si ho může vyžádat podle přílohy VII bodu 8.

Náležitá péče podle čl. 13 odst. 5: ověřte označení CE u komponent, které nařízení podléhají, historii bezpečnostních aktualizací a to, že komponenta nemá známé zranitelnosti. U cizího kódu bez přístupu k dokumentaci si přístup zajistěte smluvně, jinak nedoložíte ani soulad, ani nesplníte žádost dozoru podle čl. 53.

Podle čl. 13 odst. 8 zpravidla nejméně pět let, u produktů s delší očekávanou životností déle. Informace, ke kterým jste při jejím stanovení přihlédli, patří do technické dokumentace, a měsíc a rok konce podpory musí být podle přílohy II bodu 7 znám uživateli už při koupi.

Podle čl. 32 a přílohy VIII. Interní kontrola (modul A) u běžných produktů; u důležitých produktů třídy I bez použití harmonizovaných norem, u třídy II a u kritických produktů vždy s oznámeným subjektem (modul B s C, nebo modul H). Harmonizované normy zatím z velké části neexistují, takže u třídy I počítejte spíš se zapojením třetí strany.

Obsah podle přílohy VII a čl. 31. Nejčastější slabinou bývají body 3 a 4, tedy posouzení rizik a odůvodnění doby podpory. Aktualizace a uchovávání jsou dvě různá pravidla: podle čl. 31 odst. 2 se dokumentace ve vhodných případech aktualizuje přinejmenším během doby podpory, podle čl. 13 odst. 13 se uchovává nejméně deset let od uvedení na trh nebo po dobu podpory, je-li delší.

Prohlášení podle čl. 28 a přílohy V, v češtině pro český trh. Označení podle čl. 29 a čl. 30; u softwaru jen dvě varianty, buď na EU prohlášení o shodě, nebo na internetových stránkách doprovázejících produkt, a tam musí být příslušná část snadno a přímo přístupná spotřebitelům. Identifikační číslo oznámeného subjektu se za označením uvádí jen tehdy, byl-li subjekt zapojen do posuzování podle modulu H; u modulu B s C se neuvádí.

Devět položek podle přílohy II. Nejlevnější a nejčastěji opomíjená je bod 2, tedy jednotné kontaktní místo pro oznamování zranitelností s odkazem na politiku koordinovaného zveřejňování.

Osm bodů přílohy I části II: dokumentovat zranitelnosti a komponenty, neprodleně je řešit, pravidelně testovat, zveřejňovat informace o opravených zranitelnostech, mít politiku koordinovaného zveřejňování, přijímat hlášení zvenčí, bezpečně distribuovat aktualizace a šířit je neprodleně a bezplatně.

Je-li to technicky možné, podle přílohy I části II bodu 2. Cílem je, aby uživatel nemusel přijmout nechtěnou změnu funkcí jen proto, že chce opravu. Prakticky to znamená oddělené větve vydání, tedy zásah do vývojového procesu, ne do dokumentace.

Podstatná změna podle čl. 3 bodu 30 spouští nové posouzení shody. Běžná bezpečnostní aktualizace jí není; nová funkce, která rozšiřuje prostor k útoku, jí být může. Zaveďte si rozhodovací krok ve vývoji, ať se na to nepřijde až při kontrole.

Podle čl. 14: včasné varování do 24 hodin od zjištění, oznámení do 72 hodin, a závěrečná zpráva. U aktivně zneužívané zranitelnosti do 14 dnů od okamžiku, kdy začalo být k dispozici nápravné nebo zmírňující opatření; u závažného incidentu do jednoho měsíce od oznámení podle písmene b). Adresátem je CSIRT určený jako koordinátor a agentura ENISA přes jednotnou platformu podle čl. 16. Tohle je nejdřív dopadající povinnost celého nařízení, běží už od 11. září 2026.

Vedle oznámení orgánům ukládá čl. 14 informovat dotčené uživatele o incidentu a o nápravných opatřeních. Text a kanál si připravte předem; v průběhu incidentu na formulace není čas a nesoulad mezi tím, co jste řekli orgánu a uživatelům, se špatně vysvětluje.

Podle čl. 19 odst. 2 písm. a) a b) ověřte, že proběhl postup podle čl. 32 a že existuje technická dokumentace. Nestačí prohlášení dodavatele, že „to má certifikát"; ptejte se, který postup a kdo ho prováděl.

Podle čl. 19 odst. 2 písm. c) musí být produkt opatřen označením CE, doprovázen EU prohlášením o shodě a informacemi a pokyny podle přílohy II v jazyce srozumitelném uživatelům a dozoru. Pro český trh to znamená češtinu.

Podle čl. 19 odst. 2 písm. d) ve spojení s čl. 13 odst. 15, 16 a 19: typ, šarže či sériové číslo, kontaktní údaje výrobce a údaj o konci doby podpory. Chybí-li cokoli z toho, produkt na trh neuvádějte.

Podle čl. 19 odst. 4 uveďte na produktu, jeho obalu nebo v přiloženém dokumentu své jméno, obchodní název nebo ochrannou známku, poštovní adresu a elektronický kontakt. Pozor na hranici: uvedení kontaktu není totéž co uvedení pod svým jménem, které by z vás udělalo výrobce.

Podle čl. 19 odst. 6 kopii EU prohlášení nejméně deset let od uvedení na trh nebo po dobu podpory, je-li delší, a na odůvodněnou žádost dozoru podle odst. 7 poskytnout informace a dokumentaci k prokázání shody.

Podle čl. 19 odst. 3 produkt neuvádějte na trh, dokud pochybnost o shodě trvá. Podle odst. 5 přijměte při zjištěném nesouladu okamžitá nápravná opatření a při riziku informujte dozor. Podle odst. 8 hlaste i to, že výrobce ukončil činnost a povinnosti už neplní.

Obecné měřítko podle čl. 20 odst. 1. Prakticky to znamená mít zavedený vstupní krok, kterým každý nový produkt v sortimentu projde, a záznam o něm.

Podle čl. 20 odst. 2 před dodáním ověřte, že je produkt opatřen označením CE, že jsou přiloženy informace a pokyny podle přílohy II a že výrobce i dovozce uvedli požadované údaje. Je to kontrola dokladů, ne technické zkoumání.

Podle čl. 20 odst. 3 a 4: máte-li důvod se domnívat, že produkt nebo postupy výrobce nejsou ve shodě, nedodávejte jej, a jde-li o produkt už dodaný, zajistěte nápravu a informujte výrobce, dovozce a dozor.

Podle čl. 20 odst. 5 poskytněte na odůvodněnou žádost informace a dokumentaci k prokázání shody. Podle odst. 6 informujte dozor, zjistíte-li, že výrobce ukončil činnost.

Kdo software sám zpeněžuje a dodává na trh, je výrobcem se všemi povinnostmi. Role správce podle čl. 24 míří na toho, kdo vývoj podporuje a udržuje při životě, typicky nadaci nebo provozovatele platformy pro spolupráci. Samotný hosting v otevřeném repozitáři dodáním na trh není (bod 20 odůvodnění).

Jediná hmotná povinnost podle čl. 24 odst. 1. Politika má podporovat bezpečný vývoj a účinné řešení zranitelností vývojáři. Klíčové slovo je ověřitelným způsobem: musí být zveřejněná nebo jinak doložitelná, ne jen dohodnutá.

Podle čl. 24 odst. 2 na zmírnění rizik u produktu, který spravujete. Není to průběžná povinnost, nastupuje na žádost.

Podle čl. 25 může Komise aktem v přenesené pravomoci zavést programy dobrovolného potvrzení o bezpečnosti pro komponenty otevřeného kódu; do jeho vydání nástroj neexistuje. Podle bodu 21 odůvodnění je má být možné iniciovat a financovat i třetím stranám, tedy výrobcům, kteří komponentu začleňují. Náklad tedy nemusí nést komunita.

Podle čl. 24 odst. 3 se povinnost oznamovat aktivně zneužívané zranitelnosti podle čl. 14 odst. 1 uplatní jen v rozsahu, v jakém jste zapojeni do vývoje produktu. Povinnosti podle čl. 14 odst. 3 a 8 (závažný incident a informování uživatelů) se uplatní jen potud, pokud incident ovlivňuje sítě a informační systémy, které k vývoji poskytujete vy.

Podle čl. 18 odst. 1 a 3. Kopii pověření poskytujete dozoru na vyžádání a plníte jen to, co v něm je. Rozsah si proto před podpisem přečtěte: co v pověření nestojí, neděláte, ale co v něm stojí, za to odpovídáte.

Podle čl. 18 odst. 3 písm. a) nejméně deset let od uvedení produktu na trh nebo po dobu podpory, je-li delší. Pověření vám to musí umožnit; bez přístupu k dokumentaci úkol splnit nelze.

Podle čl. 18 odst. 3 písm. b) a c): na odůvodněnou žádost předat vše nezbytné k prokázání shody a spolupracovat při odstraňování rizik vyvolaných produktem.