Predstavte si, že výrobca routera, Wi-Fi kamery, inteligentného termostatu alebo účtovnej aplikácie zistí bezpečnostnú chybu. Útočníci ju už aktívne zneužívajú a zariadenia zákazníkov môžu byť ohrozené. Od 11. septembra 2026 nebude stačiť problém riešiť iba interne a vydať opravu, keď bude pripravená. Pri určitých prípadoch vznikne výrobcovi povinnosť podať prvé oznámenie bez zbytočného odkladu, najneskôr do 24 hodín od zistenia.
Túto povinnosť zavádza Cyber Resilience Act (CRA), teda Akt o kybernetickej odolnosti. Pre slovenské malé a stredné firmy je dôležité najmä správne pochopiť, koho sa pravidlá týkajú, ktoré udalosti treba oznamovať a ako pripraviť procesy ešte pred začiatkom povinností.
Čo je Cyber Resilience Act
Cyber Resilience Act je nariadenie Európskeho parlamentu a Rady (EÚ) 2024/2847 z 23. októbra 2024. Zavádza horizontálne požiadavky kybernetickej bezpečnosti pre produkty s digitálnymi prvkami, ktoré sa sprístupňujú na trhu EÚ.
Jednoducho povedané, pravidlá majú zabezpečiť, aby digitálne produkty boli bezpečnejšie už pri návrhu, aby mali riešené zraniteľnosti počas svojej životnosti a aby zákazníci dostávali primerané bezpečnostné informácie a aktualizácie.
Pod produktmi s digitálnymi prvkami si možno predstaviť hardvér a softvér, napríklad routery, kamery, inteligentné zariadenia, priemyselné komponenty, aplikácie, operačné systémy či iné pripojené produkty. Presný rozsah však závisí od definícií, výnimiek a vzťahu k osobitným predpisom. Nie každý digitálny produkt bude posudzovaný rovnako.
Tri dátumy, ktoré si treba odlíšiť
Pri CRA sa často zamieňa účinnosť nariadenia s dátumom, od ktorého sa uplatňujú jednotlivé povinnosti. Nariadenie nadobudlo účinnosť po uverejnení v Úradnom vestníku EÚ, no jeho ustanovenia sa nezačnú používať všetky naraz.
- 11. jún 2026: začnú sa uplatňovať vybrané ustanovenia týkajúce sa dohľadu nad trhom.
- 11. september 2026: začne sa uplatňovať článok 14, teda pravidlá oznamovania aktívne zneužívaných zraniteľností a závažných incidentov.
- 11. december 2027: začne sa všeobecné uplatňovanie väčšiny požiadaviek CRA na produkty s digitálnymi prvkami.
Pre firmy je preto september 2026 dôležitým predstihovým míľnikom. Oznamovací proces treba mať pripravený skôr, než sa začnú plošne uplatňovať produktové požiadavky v decembri 2027.
Kedy vzniká 24-hodinová oznamovacia povinnosť
Článok 14 CRA sa netýka každej bežnej softvérovej chyby ani každého bezpečnostného upozornenia. Vzťahuje sa najmä na dve situácie:
- aktívne zneužívanú zraniteľnosť obsiahnutú v produkte s digitálnymi prvkami,
- závažný incident, ktorý má vplyv na bezpečnosť produktu s digitálnymi prvkami.
Ak výrobca o takejto udalosti vie, musí podať včasné varovanie do 24 hodín od okamihu, keď sa o nej dozvie. Nariadenie používa formuláciu „bez zbytočného odkladu a v každom prípade do 24 hodín“.
Prvé oznámenie nemusí obsahovať úplnú technickú analýzu. Jeho účelom je upozorniť príslušné subjekty na situáciu v čase, keď sa ešte vyšetruje rozsah a príčina problému. Medzi podstatné prvky patrí napríklad informácia o predpokladanej škodlivej povahe udalosti a o možnom cezhraničnom dosahu.
Po prvom varovaní nasledujú ďalšie kroky
CRA počíta s postupným dopĺňaním informácií. Po včasnom varovaní má nasledovať oznámenie do 72 hodín s dostupnými všeobecnými informáciami. Neskôr výrobca predkladá záverečnú správu. Jej lehota sa líši podľa typu udalosti a okolností, napríklad podľa dostupnosti nápravných alebo zmierňujúcich opatrení.
Praktický význam je jasný: firma nemá čakať na dokonalé zistenia. Musí vedieť rýchlo rozpoznať, že ide o možnú oznamovanú udalosť, poslať prvotné hlásenie a následne ho odborne doplniť.
Kam sa bude hlásiť
Oznámenia podľa CRA sa majú podávať prostredníctvom jednotnej platformy na oznamovanie, ktorú zriaďuje ENISA, Agentúra Európskej únie pre kybernetickú bezpečnosť. Cieľom platformy je zjednodušiť a zjednotiť tok hlásení v rámci EÚ.
Technické detaily, roly používateľov a postupy platformy sa môžu ďalej spresňovať. Firmy by preto mali sledovať najmä oficiálne materiály ENISA k jednotnej oznamovacej platforme a jej často kladené otázky.
Kto bude mať najviac povinností
Hlavná zodpovednosť za bezpečnosť produktu, posudzovanie zraniteľností a oznamovanie podľa článku 14 leží na výrobcovi. Nie je rozhodujúce iba to, kto produkt fyzicky vyrobil. Za výrobcu môže byť v konkrétnom prípade považovaný aj subjekt, ktorý produkt uvádza na trh pod vlastným menom alebo ochrannou známkou, prípadne ho podstatne mení.
Pre dovozcov, distribútorov a predajcov vrátane e-shopov vyplývajú z CRA iné povinnosti. Majú napríklad dbať na to, aby produkty, ktoré uvádzajú alebo sprístupňujú na trhu, spĺňali príslušné požiadavky, mali potrebnú dokumentáciu a označenie. Ak zistia problém s nezhodou, musia postupovať podľa pravidiel nariadenia a spolupracovať s príslušnými subjektmi.
Pre e-shop je preto dôležité vedieť, či je iba distribútorom, dovozcom, alebo fakticky vystupuje ako výrobca pod vlastnou značkou. Táto klasifikácia zásadne ovplyvňuje rozsah povinností.
Čo by mali firmy pripraviť už teraz
1. Určite svoju rolu pri každom produkte
Vytvorte si zoznam produktov a softvéru, ktoré vyvíjate, dovážate, predávate alebo prevádzkujete pod vlastnou značkou. Pri každom určite, kto je výrobcom, dovozcom a distribútorom. Overte si aj zmluvné vzťahy so zahraničnými dodávateľmi.
2. Nastavte interný proces na posúdenie incidentu
Bezpečnostný tím, vývoj, zákaznícka podpora, právne oddelenie a vedenie musia vedieť, komu a ako eskalovať podozrenie na aktívne zneužívanie zraniteľnosti. Proces má fungovať aj mimo pracovného času, ak produkt používajú zákazníci nepretržite.
3. Pripravte podklady pre prvé hlásenie
Prvé oznámenie treba podať rýchlo. Pomôže predpripravená šablóna s identifikáciou produktu, verzie, opisom zraniteľnosti alebo incidentu, známym rozsahom, dostupnými indikátormi zneužitia, prijatými opatreniami a kontaktnou osobou.
4. Majte riadenie zraniteľností počas celej životnosti produktu
Oznamovanie je iba časťou širšieho prístupu. Firma potrebuje spôsob prijímania hlásení od bezpečnostných výskumníkov a zákazníkov, hodnotenia závažnosti, vývoja opráv, testovania aktualizácií, informovania používateľov a evidencie prijatých rozhodnutí.
5. Preverte dodávateľský reťazec
Produkt môže obsahovať komponenty, knižnice alebo služby tretích strán. Zmluvy a prevádzkové postupy by mali umožniť rýchle získanie technických informácií, koordináciu opráv a jasné určenie zodpovedností pri bezpečnostnej udalosti.
Čo to znamená pre bežných používateľov
Pre používateľov technológií má CRA priniesť väčší dôraz na bezpečnosť produktov, bezpečnostné aktualizácie a transparentnejšie riešenie zraniteľností. Zákazník však aj naďalej nesie časť zodpovednosti: mal by inštalovať aktualizácie, meniť predvolené heslá, vypínať nepoužívané vzdialené prístupy a kupovať produkty od dôveryhodných predajcov.
Najmä pri lacných pripojených zariadeniach je rozumné pred nákupom zistiť, kto je výrobca, ako dlho poskytuje aktualizácie a kde zverejňuje bezpečnostné informácie.
Záver: 24 hodín je výsledkom pripravenosti, nie improvizácie
Od 11. septembra 2026 budú výrobcovia produktov s digitálnymi prvkami musieť pri aktívne zneužívanej zraniteľnosti alebo závažnom bezpečnostnom incidente vedieť konať v krátkom čase. Lehota 24 hodín neznamená povinnosť mať okamžite hotové riešenie. Znamená však povinnosť mať funkčný proces, ktorý umožní problém rozpoznať, posúdiť a včas oznámiť.
Najspoľahlivejším základom pre výklad povinností je samotné nariadenie (EÚ) 2024/2847 na EUR-Lexe. Praktický prehľad poskytuje aj zhrnutie Európskej komisie a jej stránka o oznamovacích povinnostiach CRA. Pri nastavovaní konkrétnych právnych a prevádzkových postupov je vhodné posúdiť vlastné produkty, rolu firmy a prípadné osobitné sektorové predpisy.
