Akt o kybernetické odolnosti: první termín je 11. září 2026, ne konec roku 2027

Většina textů o aktu o kybernetické odolnosti začíná datem 11. prosince 2027. Tehdy se nařízení použije celé. Kdo si podle toho naplánuje práci, přijde o rok a půl.

Nařízení má totiž tři data použitelnosti, ne jedno. Článek 71 je vyjmenovává takto: nařízení se použije od 11. prosince 2027, jeho článek 14 už od 11. září 2026 a celá kapitola IV, tedy články 35 až 51, od 11. června 2026. Poslední z těch dat už uplynulo. To prostřední je za necelý měsíc a půl.

Co tady najdete: koho se nařízení týká, proč do toho spadá i software bez jediného šroubku, kdo je z pohledu předpisu výrobce, co přesně začíná v září a co za to hrozí.

O čem to celé je

Řeč je o nařízení Evropského parlamentu a Rady (EU) 2024/2847 ze dne 23. října 2024 o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky. Zkráceně se mu říká akt o kybernetické odolnosti, anglicky Cyber Resilience Act, odtud zkratka CRA.

Myšlenka je jednoduchá. Když si koupíte vrtačku, čekáte, že vás nezraní. Když si koupíte chytrý zámek, čekáte totéž, jenže dosud žádný evropský předpis výrobci neukládal, aby ten zámek nešel odemknout přes internet. CRA to mění. Bezpečnost se stává vlastností výrobku, kterou je nutné navrhnout, vyrobit a pak ji po celou dobu životnosti produktu udržovat opravami.

Právně to není předpis o kybernetické bezpečnosti v tom smyslu, v jakém ji zná směrnice NIS2. Je to předpis o výrobcích. Má posouzení shody, EU prohlášení o shodě, označení CE, oznámené subjekty i orgány dozoru nad trhem. To není detail pro nadšence: pojmy se v něm vykládají podle výrobkového práva, ne podle kyberbezpečnostního. Odtud pramení většina omylů, ke kterým se dostanu níž.

Netýká se to jen „krabiček“

Nejčastější omyl zní, že jde o hardware. Nejde.

Článek 2 odst. 1 vymezuje působnost na produkty s digitálními prvky dodané na trh, „jejichž zamýšlený účel nebo rozumně předvídatelné použití zahrnuje přímé nebo nepřímé logické nebo fyzické datové připojení k zařízení nebo síti”. Rozhodující je tedy připojení, ne materiál. Motorová pila nespadá pod nařízení. Robotická sekačka, která si stahuje mapu zahrady, spadá.

Software je uvnitř přímo z definice, ne výkladem. Článek 3 bod 1 označuje za produkt s digitálními prvky „softwarový nebo hardwarový produkt a jeho řešení pro zpracování dat na dálku, včetně softwarových nebo hardwarových komponent, které jsou uváděny na trh samostatně”. Prohlížeč, správce hesel, virtuální soukromá síť (anglicky virtual private network, zkratka VPN), antivirus, operační systém i aplikace v telefonu jsou produkty s digitálními prvky.

Cloudová část se přidává jen tehdy, když bez ní produkt nefunguje. Článek 3 bod 2 mluví o zpracování dat na dálku, „pro které výrobce navrhuje a vyvíjí software nebo za jehož návrh a vývoj výrobce odpovídá”, přičemž bez toho softwaru by produkt některou ze svých funkcí neplnil. Aplikace, kterou ovládáte svůj zámek na dálku, tedy do působnosti patří. Samostatná služba bez vazby na produkt, typicky software jako služba (anglicky software as a service, zkratka SaaS), nikoli. Tu řeší jiný předpis.

Přehled toho, co nařízení považuje za takzvané důležité produkty, je v příloze III. Ve třídě I najdete mimo jiné prohlížeče, správce hesel, antivirus, operační systémy, směrovače a modemy pro připojení k internetu, obecní virtuální asistenty pro chytré domácnosti, chytré dveřní zámky, bezpečnostní kamery, systémy pro monitorování dětí a hračky připojené k internetu. Tyto produkty mají přísnější režim posouzení shody než zbytek.

Kdo je výrobce, i když nic nevyrábí

Toto je místo, kde se firmy nejčastěji netrefí do vlastní role.

Podle článku 3 bodu 13 je výrobcem osoba, která produkty s digitálními prvky vyvíjí nebo vyrábí, nebo která je nechala navrhnout, vyvinout nebo vyrobit a nabízí je pod svým jménem nebo ochrannou známkou, ať už za úplatu, jiné zpeněžení nebo bezplatně.

V lidské řeči to znamená toto: když si necháte vyvinout aplikaci u dodavatele a pak ji prodáváte pod svou značkou, jste z pohledu nařízení výrobce vy. Se všemi povinnostmi, včetně hlášení. Objednávka u dodavatele odpovědnost nepřenáší, jen posouvá práci. Smluvně si můžete zajistit součinnost a regres, ale orgán dozoru přijde za tím, kdo je na výrobku napsaný.

Bezplatnost sama o sobě také nezachraňuje. Článek 3 bod 22 definuje dodání na trh jako dodání k distribuci nebo použití „v rámci obchodní činnosti, ať už za úplatu, nebo bezplatně”. Rozhoduje obchodní kontext, ne cenovka.

Co začíná 11. září 2026

Od tohoto dne se použije článek 14 a s ním dva samostatné ohlašovací režimy.

První se týká zranitelnosti, která se aktivně zneužívá. Výrobce ji oznámí současně týmu CSIRT určenému jako koordinátor a agentuře ENISA, a to přes jednotnou platformu podle článku 16. Lhůty jsou tři:

• do 24 hodin od okamžiku, kdy se o ní dozví, včasné varování,
• do 72 hodin oznámení s obecnými informacemi o produktu, povaze zneužívání a přijatých opatřeních,
• do 14 dnů od chvíle, kdy začalo být k dispozici nápravné nebo zmírňující opatření, závěrečná zpráva.

Druhý se týká závažného incidentu, který má dopad na bezpečnost produktu. Lhůty jsou 24 hodin, 72 hodin a závěrečná zpráva do jednoho měsíce od oznámení podle předchozího bodu. Kdy je incident závažný, říká článek 14 odst. 5: když negativně ovlivňuje nebo může ovlivnit schopnost produktu chránit dostupnost, autenticitu, integritu nebo důvěrnost citlivých či důležitých dat nebo funkcí, anebo vedl či může vést k zavedení nebo spuštění škodlivého kódu v produktu nebo v síti uživatele.

K tomu přistupuje povinnost podle odstavce 8 informovat zasažené uživatele. Nejde tedy jen o hlášení úřadu. Oprava a informování mají běžet souběžně.

Proč nepomůže, že je váš produkt na trhu roky

Tady je věc, kterou stojí za to přečíst dvakrát.

Článek 69 odst. 2 vypadá jako úleva. Produkty uvedené na trh před 11. prosincem 2027 se řídí požadavky nařízení jen tehdy, procházejí-li po tomto datu podstatnou změnou. Kdo tedy nic zásadního nemění, mohl by mít pokoj.

Jenže hned následující odstavec 3 to pro hlášení otáčí: „Odchylně od odstavce 2 tohoto článku se povinnosti stanovené v článku 14 vztahují na všechny produkty s digitálními prvky spadající do oblasti působnosti tohoto nařízení, které byly uvedeny na trh před 11. prosincem 2027.”

Zděděné portfolio tedy z ohlašovací povinnosti nevypadává. Od 11. září 2026 se hlásí i za produkt, který jste uvedli na trh v roce 2019 a od té doby jste se ho nedotkli.

Čtyři otázky, na které je potřeba znát odpověď

Praktický test připravenosti nepotřebuje audit. Stačí odpovědět na toto:

1. Na jakou adresu přijde upozornění, že je v našem produktu díra? Musí existovat a někdo ji musí číst.
2. Kdo rozhodne, že jde o aktivně zneužívanou zranitelnost nebo o závažný incident? Rozhodnutí musí padnout v řádu hodin, protože lhůta je 24 hodin.
3. Kdo hlášení skutečně odešle a kam? Ne „na nějaký evropský úřad”, ale současně týmu CSIRT určenému jako koordinátor a agentuře ENISA, přes platformu podle článku 16.
4. Kdo připraví opravu a kdo napíše text pro zákazníky?

Kdo některou z odpovědí nezná, připravený není. Zbývá měsíc a půl a první tři otázky jsou organizační, ne technické.

Dvě čísla, o kterých se moc nemluví

Vedle hlášení nese nařízení dva požadavky, které u řady produktů zabolí obchodně víc.

Doba podpory nejméně pět let. Podle článku 13 odst. 8 stanoví výrobce dobu podpory tak, aby odrážela dobu, po kterou se očekává používání produktu. Pak přichází tvrdá spodní hranice: „Aniž je dotčen druhý pododstavec, trvá doba podpory nejméně pět let.” Zkrátit ji lze jedině tehdy, očekává-li se, že se produkt bude používat méně než pět let, a pak doba podpory odpovídá očekávané době použití.

Aktualizace dostupné deset let. Článek 13 odst. 9 ukládá výrobci zajistit, aby každá bezpečnostní aktualizace zpřístupněná uživatelům během doby podpory zůstala k dispozici nejméně deset let po vydání, nebo po zbytek doby podpory, pokud je delší.

Pro chytrou zásuvku prodávanou za pár set korun to znamená deset let provozu distribučního kanálu pro aktualizace. To je kalkulace, ne compliance položka.

Co za to hrozí

Článek 64 rozděluje pokuty do tří pásem. U každého platí ta z obou hodnot, která je vyšší.

Za co	Až do výše
Nedodržení základních požadavků podle přílohy I a povinností podle článků 13 a 14	15 000 000 EUR nebo 2,5 % celkového ročního obratu celosvětově
Porušení povinností dovozců, distributorů, oznámených subjektů a dalších vyjmenovaných ustanovení	10 000 000 EUR nebo 2 %
Nesprávné, neúplné nebo zavádějící informace poskytnuté oznámeným subjektům a orgánům dozoru	5 000 000 EUR nebo 1 %

Pokuta ale není to nejhorší, co může přijít. Nařízení je výrobkový předpis, takže orgán dozoru nad trhem může nařídit stažení produktu z trhu. Ztráta tržby za produkt, který jste rok vyvíjeli, bývá dražší než správní pokuta.

V Česku zákon zatím není. Povinnost přesto platí

Ministerstvo průmyslu a obchodu zveřejnilo 3. července 2026 návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky a odeslalo jej do mezirezortního připomínkového řízení. Je to návrh, ne platný předpis. Účinnost, se kterou návrh počítá u své hlavní části, je 11. prosince 2027.

Z toho plyne mezera, kterou je snadné špatně přečíst. Mezi 11. zářím 2026 a účinností českého zákona bude ohlašovací povinnost podle článku 14 platit, ale český zákon k ní nebude mít účinnou skutkovou podstatu přestupku.

Číst to jako když není přestupek, není povinnost je chyba. Nařízení o sobě samo říká, že „je závazné v celém rozsahu a přímo použitelné ve všech členských státech”. Povinnost tedy vzniká přímo z něj a nepotřebuje český zákon. Ten jen doplní, kdo ji dozoruje a jak se za její porušení trestá. Nesplněná povinnost přitom nikam nezmizí, jen se za ni zatím nedá pokutovat.

Co tento zápisek neumí

Neřekne vám, do které kategorie váš konkrétní produkt spadá. Zařazení do tříd podle příloh III a IV má vlastní technický popis v prováděcím nařízení Komise a u hraničních produktů je to samostatná analýza.

Neřeší ani otevřený zdrojový kód, kde nařízení zavádí zvláštní a poměrně jemný režim, ani vztah k dalším předpisům, které na tentýž produkt mohou dopadat současně.

A jedna poctivá poznámka k číslům výše: všechna jsou z autentického českého znění nařízení staženého přímo z databáze Úřadu pro publikace Evropské unie, ne z přehledů a shrnutí. U českého zákona pracuji s návrhem, takže se to do jeho schválení může změnit.

---

Zdroje

• Nařízení Evropského parlamentu a Rady (EU) 2024/2847 ze dne 23. října 2024 (akt o kybernetické odolnosti), autentické české znění, CELEX 32024R2847
• Ministerstvo průmyslu a obchodu, návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, zveřejněno 3. července 2026