Úvodní stať

I. Předmět a účel nařízení

1 Nařízení (EU) 2024/2847, akt o kybernetické odolnosti, stanoví horizontální požadavky na kybernetickou bezpečnost produktů s digitálními prvky. Předmětem podle čl. 1 jsou pravidla pro uvádění těchto produktů na trh, základní požadavky na jejich návrh, vývoj a výrobu, povinnosti hospodářských subjektů při řešení zranitelností a pravidla dozoru a vymáhání.

2 Bod 2 odůvodnění formuluje cíl jednou větou, kterou stojí za to mít na paměti při každém výkladu: zajistit, aby byly hardwarové a softwarové produkty uváděny na trh s menším počtem zranitelností. Nařízení tedy neřeší bezpečnost provozu sítí ani ochranu údajů; řeší vlastnost produktu.

3 Druhým cílem je volný pohyb. Podle čl. 4 nesmějí členské státy bránit dodávání produktů, které nařízení splňují, a v harmonizovaných otázkách nemohou ukládat vlastní požadavky. Bod 13 odůvodnění k tomu dodává rozdíl, který se v praxi plete: přísnější požadavky si každý veřejný i soukromý subjekt může stanovit pro vlastní nákup nebo užívání, jen ne pro dodávání na trh.

II. Povaha nařízení a metoda regulace

4 CRA je nařízení, tedy přímo použitelný předpis. Nepotřebuje transpozici a vnitrostátní úprava ho nesmí opakovat ani měnit. Adaptační zákon bude potřeba jen tam, kde to nařízení výslovně ukládá: určení orgánů dozoru, pravidla pro ukládání sankcí podle čl. 64 odst. 1 a postavení oznamujícího orgánu. V době psaní takový zákon v Česku není.

5 Metodou je produktová regulace nového přístupu, tedy stejný model, podle kterého se na trh uvádějí hračky, strojní zařízení nebo rádiová zařízení: základní požadavky v příloze, harmonizované normy zakládající domněnku shody, posouzení shody, prohlášení o shodě, označení CE a dozor nad trhem. Kdo tenhle model zná z jiného odvětví, čte většinu nařízení bez překvapení.

6 Uvnitř tohoto modelu je ale jedna zásadní odchylka. Klasická produktová regulace se dívá na produkt k okamžiku uvedení na trh. CRA k tomu přidává trvající povinnosti po celou dobu podpory: řešení zranitelností podle přílohy I části II, poskytování bezpečnostních aktualizací a ohlašování podle čl. 14. Výrobce tedy nemá hotovo v okamžiku, kdy vydá prohlášení o shodě.

7 Rozsah povinností se odvozuje od posouzení rizik. Požadavky přílohy I části I bodu 2 se uplatní „v příslušných případech” na základě posouzení podle čl. 13 odst. 2. Není to však úleva zdarma: nevztahuje-li se požadavek na produkt, musí výrobce podle čl. 13 odst. 4 zahrnout do technické dokumentace jasné odůvodnění.

III. Tři věci, které se pletou nejčastěji

8 CRA není NIS2 a není GDPR. NIS2 (směrnice (EU) 2022/2555) ukládá povinnosti provozovateli služby, GDPR správci osobních údajů, CRA výrobci produktu. Jedna společnost může být všemi třemi zároveň a jeden incident může spustit tři oznamovací povinnosti s různými lhůtami a různými adresáty. Nejde o alternativy, ze kterých se vybírá.

9 Software je produkt. Do působnosti spadá i samostatně dodávaný software, včetně aplikací a operačních systémů, spadá-li do vymezení čl. 2 odst. 1, tedy má-li zamýšlený účel nebo rozumně předvídatelné použití zahrnující přímé nebo nepřímé logické nebo fyzické datové připojení k zařízení nebo síti. Očekávání, že jde o předpis pro hardware, je nejčastější věcný omyl při prvním čtení.

10 Otevřený zdrojový kód není automaticky mimo. Rozhoduje, zda je software dodáván na trh v rámci obchodní činnosti, a měřítkem je podle bodu 18 odůvodnění zpeněžení. Nezpeněžený projekt mimo nařízení je, ale kdo z otevřeného kódu žije, nebo kdo cizí komponentu začlení do vlastního produktu, se odpovědnosti nezbaví. Samostatnou, mírnější roli zavádí čl. 24 pro správce softwaru s otevřeným zdrojovým kódem.

IV. Časová osa, kterou je nutné znát

11 Nařízení vstoupilo v platnost 10. prosince 2024 a podle čl. 71 se obecně použije od 11. prosince 2027. Dvě části se ale rozbíhají dřív a to pořadí není náhodné.

12 Od 11. června 2026 se použije kapitola IV, tedy oznamování subjektů posuzování shody. Bez toho by v prosinci 2027 nebyl nikdo, kdo by shodu důležitých a kritických produktů posoudil.

13 Od 11. září 2026 se použije čl. 14, tedy ohlašování aktivně zneužívaných zranitelností a závažných incidentů. Ve spojení s čl. 69 odst. 3 dopadá i na produkty uvedené na trh dávno předtím, které jinak požadavkům nařízení nepodléhají. Je to nejdřív dopadající a nejčastěji přehlížená povinnost celého předpisu.

14 Produkty uvedené na trh před 11. prosincem 2027 se jinak řídí nařízením teprve tehdy, projdou-li po tomto datu podstatnou změnou podle čl. 3 bodu 30. Certifikáty vydané podle jiných harmonizačních předpisů zůstávají v platnosti do 11. června 2028.

V. Vztah k dalším předpisům Unie

15 AI Act. Podle čl. 12 platí pro produkty, které jsou vysoce rizikovými systémy umělé inteligence, most jedním směrem, a je užší, než se obvykle uvádí. Pokrývá výhradně požadavky na kybernetickou bezpečnost podle čl. 15 nařízení (EU) 2024/1689; požadavky na přesnost a spolehlivost podle téhož článku zůstávají výslovně nedotčeny. Podmínky jsou tři a kumulativní: splnění části I i části II přílohy I CRA a potvrzení dosažené úrovně ochrany v EU prohlášení o shodě. Opačně most nefunguje a u produktů z příloh III a IV vrací čl. 12 odst. 3 posuzování shody zpět do režimu CRA.

16 NIS2. Vztah je doplňkový. CRA má podle bodu 24 odůvodnění usnadnit subjektům podle NIS2 plnění požadavků na dodavatelský řetězec tím, že produkty na trhu budou bezpečnější.

17 Odpovědnost za vadné výrobky. Podle bodu 31 odůvodnění doplňuje CRA směrnici (EU) 2024/2853. Chybějící bezpečnostní aktualizace může být nedostatečnou bezpečností produktu a založit objektivní odpovědnost za způsobenou škodu. Tahle vazba je pro řízení rizik důležitější než sankce, protože nevyžaduje zavinění.

18 GDPR. Zůstává nedotčeno. Požadavky přílohy I na důvěrnost, integritu a minimalizaci údajů se s čl. 32 a čl. 5 odst. 1 písm. c) GDPR překrývají, ale nenahrazují je: GDPR posuzuje zpracování, CRA produkt.

19 Obecná bezpečnost výrobků. Podle bodu 50 odůvodnění zůstávají rizika, která nejsou kybernetická, jiným předpisům, v poslední řadě nařízení (EU) 2023/988.

20 Vyloučené sektory. Zdravotnické prostředky, vozidla, civilní letectví a námořní výstroj jsou z působnosti vyňaty podle čl. 2 odst. 2 až 4, protože je pokrývají sektorové režimy.

VI. Jak komentář číst

21 Komentář sleduje strukturu nařízení. Ke každému článku i k každé příloze je samostatný výklad členěný na římské oddíly s okrajovými čísly v hranatých závorkách; odkazuje se na ně jako na „bod [3] k čl. 13”. Před výkladem stojí soupis souvisejících ustanovení a předpisů a obsah výkladu.

22 Přílohy nejsou doplňkem a mají vlastní výklad ve stejném rozsahu jako články. Příloha I nese základní požadavky, přílohy III a IV kategorie produktů a příloha VIII postupy posuzování shody. Kdo čte jen články, mine podstatnou část normativního obsahu.

23 Body odůvodnění jsou zpracovány samostatnou statí, která je uspořádána tematicky a končí orientační mapou recitál → článek. U CRA je to praktičtější než jinde, protože klíčové pojmy dostávají obsah teprve z příkladů v preambuli.

24 Odkazy na české právo jsou v komentáři vzácné, a to záměrně. Nařízení je přímo použitelné a česká úprava zatím chybí. Kde je odkaz namístě, je uveden výslovně, například u zástupných žalob podle zákona č. 179/2024 Sb.

VII. Meze tohoto komentáře

25 Komentář vychází ze znění vyhlášeného v Úředním věstníku Evropské unie dne 20. listopadu 2024. Nařízení dosud nebylo novelizováno.

26 K CRA neexistuje judikatura. Nemůže existovat: nařízení se použije až od prosince 2027 a spory se k soudům dostanou později. Kde komentář nabízí výklad sporného místa, jde o argumentaci, ne o ustálenou praxi, a je to na příslušných místech řečeno.

27 Chybí také harmonizované normy, které mají základní požadavky přeložit do technického jazyka. Do jejich zveřejnění zůstává řada otázek otevřená, zejména u důležitých produktů třídy I, kde podle čl. 32 odst. 2 rozhoduje právě existence norem o tom, jestli je nutné zapojit oznámený subjekt.

28 Tři navazující akty už vyšly a komentář s nimi počítá: nařízení v přenesené pravomoci (EU) 2025/1535 (vynětí některých produktů podle nařízení 168/2013), prováděcí nařízení (EU) 2025/2392 (technický popis kategorií důležitých a kritických produktů) a nařízení v přenesené pravomoci (EU) 2026/881 (podmínky pro odklad rozesílání oznámení). Zmocnění v čl. 61 odst. 2 jich ale nabízí víc a čekají na využití ta s největším dopadem: minimální doba podpory pro kategorie produktů (čl. 13 odst. 8 čtvrtý pododstavec), dobrovolné potvrzení o bezpečnosti otevřeného softwaru (čl. 25), další omezení působnosti (čl. 2 odst. 5), obsah prohlášení o shodě (čl. 28 odst. 5) a prvky technické dokumentace (čl. 31 odst. 5). Zmocnění měnit ohlašovací lhůty podle čl. 14 nařízení nemá; čl. 14 odst. 9 se týká jen odkladu rozesílání už podaných oznámení.

29 Komentář je výkladovou pomůckou, ne právním posouzením konkrétního produktu. Zda daný produkt spadá do působnosti, do které kategorie patří a jaký postup posouzení shody použít, umí odpovědět až ten, kdo zná jeho architekturu a zamýšlený účel.