Chytré telefony, mobilní aplikace nebo připojené výrobní stroje usnadňují každodenní život i provoz firem. Jejich bezpečnostní slabiny ale mohou vést k úniku dat, finančním ztrátám nebo výpadku služeb či výroby. Evropský akt o kybernetické odolnosti – Cyber Resilience Act (CRA) – proto zavádí požadavky na bezpečnost digitálních produktů od vývoje po aktualizace a řešení zranitelností během doby podpory.
CRA se týká hardwaru a softwaru dodávaného v rámci obchodní činnosti na trh EU, jehož zamýšlené nebo rozumně předvídatelné použití zahrnuje přímé či nepřímé datové spojení se sítí nebo jiným zařízením. Zahrnuje také související řešení pro zpracování dat na dálku, pokud je vyvinul výrobce nebo vznikla na jeho odpovědnost a bez nich by produkt nemohl plnit některou ze svých funkcí. Příkladem je cloudové řešení umožňující ovládat chytrý termostat přes mobilní aplikaci.
Mimo CRA naopak zpravidla zůstává samostatná webová služba používaná pouze v prohlížeči, pokud nezajišťuje funkci produktu za výše uvedených podmínek. Nařízení se nevztahuje ani na software, který si firma sama vyvine výhradně pro interní potřebu a nedodává jej na trh – například vlastní vývojový či testovací nástroj. Vyloučen je také open-source software dodávaný mimo obchodní činnost; samotná dostupnost zdarma však výjimku nezaručuje. Zvláštní výjimky platí například pro zdravotnické prostředky a automobily, pokud příslušné produkty podléhají příslušným zvláštním předpisům EU.
Hlášení se týká i produktů prodaných před lety
Hlavní požadavky CRA se začnou uplatňovat od 11. prosince 2027, zpravidla na nově uváděné produkty; u starších také při podstatné změně. Hlášení ale běží už od 11. září 2026 a vztahuje se i na všechny starší produkty spadající do CRA, včetně těch, kterým skončila podpora.
Ohlašovací povinnost podle CRA nenahrazuje hlášení podle jiných předpisů – např. podle GDPR či NIS2 (u nás zákon o kybernetické bezpečnosti). Každý režim míří jinam – CRA na bezpečnost produktu, zákon o kybernetické bezpečnosti na organizaci a její služby a GDPR na osobní údaje – a táž událost může spustit dva i tři současně; NÚKIB proto upozorňuje, že při souběhu CRA a zákona o kybernetické bezpečnosti se hlásí jak přes jednotnou platformu SRP, tak přes Portál NÚKIB.
Nalezená chyba ještě neznamená povinné hlášení
Hlásí se dvě situace. První je aktivně zneužívaná zranitelnost: existují spolehlivé důkazy, že útočník zranitelnost produktu zneužil v cizím systému bez souhlasu jeho vlastníka. Například zákazník doloží, že přes chybu v aplikaci někdo obešel přihlášení. Platí to i pro tzv. zero-day chybu, tedy chybu, pro kterou zatím není oprava. Samotný nález při testování nebo oznámení etického hackera ale hlášení nespouští, a to za podmínky, že chybí důkaz o zneužití.
Druhou situací je závažný incident ovlivňující bezpečnost produktu. Tím může být napadení aktualizačního systému, jehož prostřednictvím se k zákazníkům dostane škodlivý kód, ale i průnik do cloudové části produktu, který útočníkovi otevře přístup k datům zákazníků nebo k dálkovému ovládání jejich zařízení. Rozhodný je bezpečnostní dopad – na dostupnost, autenticitu, integritu či důvěrnost důležitých dat nebo funkcí, anebo možnost spuštění škodlivého kódu – nikoli to, zda šlo o chybu v samotném produktu.
O zneužití se výrobce může dozvědět od zákazníka, dodavatele, či úřadu, z veřejné zprávy i z vlastního monitoringu. Sledovat všechny tyto zdroje mu oznamovací povinnost neukládá; jakmile však podezření získá, musí je bezodkladně posoudit. Je-li v produktu zneužita chyba převzaté komponenty, hlášení jejího dodavatele vlastní povinnost výrobce nenahrazuje.
První hlášení do 24 hodin, i o víkendu
Lhůty běží od chvíle, kdy má výrobce po úvodním posouzení přiměřenou jistotu, že nastala událost podléhající hlášení. Na dokončení vyšetřování ani na opravu se nečeká. Hlášení se podává ve třech krocích a postupně se doplňuje:
- Včasné varování do 24 hodin se základními informacemi, případně s uvedením členských států, v nichž je produkt zpřístupněn.
- Oznámení do 72 hodin o dotčeném produktu, povaze problému a přijatých i doporučených opatřeních.
- Závěrečná zpráva – u zranitelnosti do 14 dnů od okamžiku, kdy začalo být k dispozici nápravné nebo zmírňující opatření; u závažného incidentu do jednoho měsíce od podání oznámení.
První dvě lhůty běží od téhož okamžiku a jsou nejzazší: nařízení vyžaduje jednat bez zbytečného odkladu. Zjištění v pátek v 15 hodin tedy znamená odeslat včasné varování nejpozději v sobotu v 15 hodin.
Zpětně se nehlásí zneužití, o němž výrobce věděl už před 11. zářím 2026. Věděl-li však o zranitelnosti, ale nikoli o jejím zneužívání, a to nastane či vyjde najevo až po tomto datu, hlášení se podává.
Hlášení úřadům nestačí
Hlášení se podává výhradně přes jednotnou platformu SRP; podání směřuje současně určenému národnímu týmu CSIRT a agentuře ENISA. Pro výrobce s hlavní provozovnou v České republice je tímto týmem NÚKIB.
Tím ale povinnost nekončí. Výrobce musí také včas informovat dotčené uživatele, případně všechny uživatele, o zranitelnosti či incidentu; je-li to potřeba, také o opatřeních, která mohou uživatelé přijmout ke zmírnění dopadu.
Sankce
Za porušení ohlašovacích povinností hrozí pokuta až 15 milionů eur, a jde-li o podnik, až 2,5 % celkového celosvětového ročního obratu za předchozí finanční rok – podle toho, která částka je vyšší. Pokuty ale bude možné ukládat až od 11. prosince 2027, kdy začne platit zbytek nařízení.
Kdo bude dohled v ČR vykonávat, určí připravovaný český zákon. Podle návrhu má většinu výrobků pokrýt Česká obchodní inspekce a ve svých oborech specializované úřady.
Mikropodniky a malé podniky mají ze sankcí výjimku – nelze jim udělit pokutu za zmeškání 24hodinové lhůty.
Jak se připravit
Zmapovat produkty a použité komponenty. Včetně starších produktů a verzí po skončení podpory. Přijde-li například od dodavatele zpráva o zranitelnosti knihovny, musí firma během několika hodin zjistit, které její produkty ji obsahují a zda jsou dotčené.
Nastavit odpovědnost a postupy. Zákaznická podpora, vývojáři i obchodníci potřebují vědět, komu podezření ihned předat. Musí být jasné, kdo událost posoudí, zajistí hlášení a jeho doplnění, informuje uživatele a kdo tyto osoby zastoupí mimo pracovní dobu. Zaznamenávat je třeba také čas získání informací a jejich vyhodnocení. Lhůta nečeká na schválení vedením ani na dokončení vyšetřování.
Upravit smlouvy s dodavateli a obchodními partnery. Sjednat rychlé upozornění, průběžné doplňování informací a součinnost při posouzení i nápravě. Dodavatelské lhůty mají ponechat čas na vlastní vyhodnocení a hlášení.
Propojit CRA se stávajícími postupy pro incidenty. Jednu událost posuzovat současně z pohledu CRA, GDPR a zákona o kybernetické bezpečnosti, pokud se na firmu vztahují. Společný interní postup může práci usnadnit, jednotlivá hlášení ale mají vlastní podmínky a lhůty.
