Cyber Resilience Act FAQ

Nařízení vstoupilo v platnost 10. prosince 2024, jeho povinnosti však nabíhají postupně. Ustanovení o oznamování aktivně zneužívaných zranitelností a závažných incidentů ovlivňujících bezpečnost produktu se použijí od 11. září 2026. Většina ostatních požadavků, včetně základních povinností výrobců a pravidel pro uvádění produktů na trh, se použije od 11. prosince 2027. Přechodné období není důvodem čekat. Organizace musí před prvním termínem nastavit oznamování a před rokem 2027 upravit vývoj, dokumentaci, komponenty, smlouvy, aktualizace i proces posuzování shody.

Samostatný software může být produktem s digitálními prvky a CRA se na něj může vztahovat stejně jako na hardware. U SaaS a cloudu záleží na konkrétním modelu. Samotná služba poskytovaná výhradně vzdáleně nemusí být automaticky produktem podle CRA. Do rozsahu produktu však může vstoupit řešení vzdáleného zpracování dat, které bylo navrženo a vyvinuto výrobcem nebo pod jeho odpovědností a bez něhož by produkt neplnil některou ze svých funkcí. Správný závěr proto vyžaduje posouzení architektury, způsobu distribuce, smluvních vztahů a odpovědnosti za jednotlivé komponenty.

Ano, můžete být. Za výrobce se nepovažuje pouze osoba, která fyzicky vyrábí zařízení nebo píše zdrojový kód. Pokud si organizace nechá produkt navrhnout či vyvinout a následně jej uvádí na trh pod vlastním jménem nebo ochrannou známkou, může nést povinnosti výrobce. Outsourcing vývoje nepřenáší veřejnoprávní odpovědnost automaticky na dodavatele. Smlouva proto musí zajistit přístup k informacím o komponentách, bezpečnostním testům, SBOM, zranitelnostem, aktualizacím, dokumentaci a potřebné součinnosti. Bez těchto podkladů může výrobce odpovídat za produkt, který fakticky nemá pod kontrolou.

Výjimka není absolutní. Bezplatný a otevřený software vyvíjený nebo dodávaný mimo rámec obchodní činnosti může být mimo hlavní režim CRA. Jakmile je však open source komponenta součástí komerčního produktu nebo je projekt soustavně podporován v komerčním kontextu, je nutné situaci posoudit podrobněji. CRA také zavádí zvláštní postavení správce softwaru s otevřeným zdrojovým kódem. Výrobce komerčního výsledného produktu se nemůže zbavit odpovědnosti pouhým tvrzením, že použitá knihovna je open source. Musí provádět náležitou péči, znát své komponenty a řídit jejich zranitelnosti a podporu.

Výrobce musí posoudit kybernetická rizika produktu a zohlednit je při plánování, návrhu, vývoji, výrobě, dodání i údržbě. Produkt má splňovat základní požadavky na bezpečnost a být dodán v bezpečné výchozí konfiguraci. Výrobce musí řídit zranitelnosti a komponenty, vytvořit SBOM v požadovaném rozsahu, poskytovat bezpečnostní aktualizace, určit dobu podpory, zavést kontaktní a oznamovací procesy a připravit technickou dokumentaci. Před uvedením produktu na trh musí použít odpovídající postup posouzení shody, vypracovat EU prohlášení o shodě a tam, kde je to relevantní, použít označení CE.

Doba podpory se stanovuje podle očekávané doby používání produktu, jeho povahy, rozumných očekávání uživatelů, dostupnosti provozního prostředí a podpory použitých komponent. Zpravidla má činit nejméně pět let. Pokud se produkt běžně používá kratší dobu, může odpovídat této kratší době; pokud je očekávané používání delší, pět let nemá být automatickým stropem. Bezpečnostní aktualizace musí být uživatelům dostupné nejméně deset let od uvedení produktu na trh nebo po zbývající dobu podpory, pokud je delší. Doba podpory proto ovlivňuje produktovou strategii, smlouvy i výběr komponent.

CRA umožňuje ukládat významné správní pokuty. U porušení základních požadavků na kybernetickou bezpečnost a vybraných povinností výrobce může horní hranice dosáhnout 15 milionů eur nebo 2,5 % celkového celosvětového ročního obratu za předchozí účetní období, podle toho, která hodnota je vyšší. Pro firmu však může být ještě závažnější zákaz nebo omezení dodávání produktu, povinná náprava, stažení produktu z trhu, náklady na aktualizace a ztráta důvěry zákazníků. Konkrétní sankce se posuzuje podle okolností a příslušné části nařízení; nejvyšší částka se neuplatňuje automaticky na každé pochybení.

Prvním krokem je vytvořit inventář produktů, komponent, značek, distribučních modelů a externích dodavatelů. Následuje posouzení působnosti a role organizace, předběžná kategorizace produktů a určení vlastníka programu CRA. Poté je vhodné provést gap analýzu v oblastech vývoje, posuzování rizik, řízení zranitelností, SBOM, aktualizací, technické dokumentace, smluv a oznamování. Výstupem nemá být pouze seznam článků nařízení, ale prioritizovaná roadmapa s termíny, odpovědnostmi a důkazy. Vedení potřebuje základní orientaci; implementační tým společnou metodiku a člověka, který přípravu koordinuje.

Cyber Resilience Act je nařízení (EU) 2024/2847 o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky. Evropská unie jím reaguje na situaci, kdy se na trh dostávají připojená zařízení a software s nedostatečným zabezpečením, známými zranitelnostmi nebo příliš krátkou podporou. CRA zavádí společná pravidla pro celý evropský trh a přesouvá větší část odpovědnosti na výrobce a další subjekty dodavatelského řetězce. Cílem je, aby bezpečnost nebyla volitelným doplňkem, ale vlastností produktu řízenou od návrhu přes uvedení na trh až po bezpečnostní aktualizace a konec podpory.

Posouzení se provádí pro konkrétní produkt, nikoliv pouze podle oboru nebo velikosti firmy. Zkoumá se, zda jde o software nebo hardware uváděný či dodávaný na trh EU, zda jeho použití zahrnuje přímé nebo nepřímé datové připojení k zařízení nebo síti a zda neplatí některá ze specifických výjimek. Důležité je také určit, kdo produkt vyvíjí, pod čí značkou je dodáván a zda k jeho funkci patří vzdálené zpracování dat. U portfolia s více variantami, cloudovými funkcemi nebo externím vývojem je vhodné vytvořit produktový registr a rozhodnutí o působnosti dokumentovat pro každý produkt zvlášť.