Již 11. září 2026 nabývají účinnosti první povinnosti vyplývající z aktu o kybernetické odolnosti (Cyber Resilience Act „CRA“),
Toto nařízení Evropské unie stanovuje podmínky pro vývoj bezpečných produktů s digitálními prvky a cílí na:
- zvýšení bezpečnosti produktů dodávaných na unijní trh,
- snížení zranitelností v produktech a zavedení postupů na jejich řešení,
- zavedení povinného hlášení zneužívaných zranitelností a závažných kybernetických incidentů,
- zlepšení informovanosti o kybernetické bezpečnosti u běžných koncových uživatelů produktů.
Na co se akt vztahuje?
Do působnosti nařízení spadají tzv. produkty s digitálními prvky, kterými jsou jak software, tak hardware a jejichž zamýšlené použití předpokládá datové připojení k zařízení nebo síti – tedy přenos digitálně zakódovaných informací mezi odesílatelem a příjemcem.
Co se mění?
Ačkoliv plná účinnost nařízení nastane až 11. prosince 2027, první povinnosti pro výrobce začínají platit již 11. září 2026. Tímto dnem nabývá účinnosti článek 14, který upravuje oznamovací povinnost. Výrobci musí začít hlásit veškeré aktivně zneužívané zranitelnosti a závažné incidenty ovlivňující bezpečnost produktu:
- do 24 hodin od odhalení incidentu musí výrobce podat předběžné hlášení prostřednictvím jednotné evropské platformy spravované agenturou ENISA,
- do 72 hodin pak musí toto oznámení doplnit o podrobnější technické informace.
Co to znamená pro firmy?
Tato povinnost v praxi znamená, že dotčené firmy musí mít nastavené interní procesy k detekci incidentu, rychlému vyhodnocení a včasnému nahlášení. Je také vhodné se včas připravit na plnění dalších povinností, které akt o kybernetické odolnosti přinese, jako například určit výrobky spadající do působnosti nařízení či roztřídit je do určitých kategorií.
Připravuje se také zákon o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, který upřesní, kdo bude na dodržování nařízení dohlížet a vymáhat sankce.
Potřebujete pomoci s přípravou na nové povinnosti? Obraťte se na nás, rádi Vám pomůžeme.
