„My jen přeprodáváme licence.“ „Máme pět vývojářů.“ „Používáme open source.“ Poznáváte některou z těchto vět? O tom, zda se vás Cyber Resilience Act týká, nerozhoduje označení vaší firmy. Rozhoduje konkrétní produkt, způsob jeho dodávání a vaše role v dodavatelském řetězci. digital-strategy.ec.europa.eu

1. „Nás se CRA netýká. My nejsme výrobce, software jen prodáváme.“

Prodejce není automaticky výrobce. Není ale automaticky bez povinností. Distributor musí například ověřovat označení CE, požadované informace k produktu a uvedení doby podpory. Má také povinnosti při zjištění nesouladu nebo zranitelnosti. Pokud uvádíte na evropský trh software výrobce ze země mimo EU, můžete mít navíc roli dovozce — s širším rozsahem povinností. digital-strategy.ec.europa.eu

Víte, zda jste podle CRA distributor, dovozce, nebo už výrobce?

2. „Nevyrábíme žádná zařízení. Dodáváme jen aplikaci, plugin nebo knihovnu.“

K tomu, abyste spadali pod CRA, nepotřebujete továrnu ani vlastní hardware. Nařízení zahrnuje také softwarové produkty a samostatně na trh uváděné softwarové komponenty. Rozhodující je mimo jiné jejich zamýšlené nebo rozumně předvídatelné propojení se zařízením či sítí — a to i nepřímé. Samotné tvrzení „je to jen doplněk do cizího systému“ vás proto z působnosti nevyřazuje. EUR-Lex

I malý kus kódu může znamenat vlastní regulatorní povinnosti.

3. „Jsme malá firma. Takové předpisy platí až od padesáti zaměstnanců.“

U CRA neexistuje obecná výjimka pro firmy s méně než padesáti zaměstnanci. Povinnosti mohou dopadnout i na malý vývojářský tým nebo startup. Nařízení sice počítá s podporou a určitými úlevami pro menší podniky, nejde však o plošné osvobození. Velikost firmy sama o sobě není důvodem, proč CRA odložit. EUR-Lex

Počet vývojářů není výjimka.

4. „Software nám vyvinul externí dodavatel. CRA je jeho problém.“

Výrobcem můžete být i bez jediného vlastního programátora. Pokud si software necháte vyvinout a uvádíte jej na trh pod svým jménem nebo značkou, můžete být výrobcem právě vy. Rozhodující není pouze to, kdo napsal kód, ale také to, kdo produkt uvádí na trh a pod čí značkou. digital-strategy.ec.europa.eu

Vývoj jste outsourcovali. Své povinnosti tím automaticky ne.

5. „Je to open source. Tím máme CRA vyřešené.“

Otevřený zdrojový kód není univerzální výjimka. Záleží na způsobu poskytování, monetizaci a vaší roli. Svobodný a otevřený software poskytovaný mimo obchodní činnost má jiný režim než komerčně dodávaný produkt. A pokud komunitní knihovnu začleníte do svého produktu, její původ vás nezbavuje povinnosti s náležitou péčí řešit bezpečnost převzatých komponent. Digitální strategie EU

Open-source licence není potvrzení shody s CRA.

6. „Provozujeme to v cloudu jako SaaS. Takže jsme automaticky mimo.“

Samostatná služba SaaS do CRA obecně nespadá. Samotná nálepka „SaaS“ ale nestačí. Jiná situace nastává, pokud vzdálené zpracování dat tvoří součást produktu a bez něj by produkt nedokázal plnit některou ze svých funkcí. Příkladem může být mobilní aplikace závislá na backendu vyvinutém pod odpovědností jejího výrobce. Je proto potřeba posoudit celé řešení, nikoli jen způsob fakturace. European Commission

Máte skutečně samostatnou službu, nebo produkt s cloudovou součástí?

7. „Označení CE patří na elektroniku. U softwaru nic takového neřešíme.“

CRA přináší označení CE také pro software ve své působnosti. S uvedením takového produktu na trh budou spojeny požadavky na posouzení shody, technickou dokumentaci a EU prohlášení o shodě. Neznamená to však, že každý program musí získat certifikát od externího subjektu: u běžných kategorií je přípustné vlastní posouzení výrobcem, u vybraných kategorií platí přísnější postupy. Digitální strategie EU

Váš software prošel testováním. Máte připravené také podklady pro jeho uvedení na trh?

8. „Dodáním softwaru naše práce končí. Další bezpečnost už je věcí zákazníka.“

CRA počítá s řešením zranitelností po stanovenou dobu podpory, ne pouze při předání produktu. Základním minimem je pět let; u produktů s kratší očekávanou dobou používání může být podpora odpovídajícím způsobem kratší. Naopak u déle používaných produktů může být potřeba podpora delší. Dobu podpory proto nelze určit jen podle toho, jak dlouho se vám vyplatí produkt udržovat. European Commission

Máte spočítané náklady na vývoj — i na bezpečnostní podporu po prodeji?

9. „Když najdeme problém, vydáme opravu. Úřadům není potřeba nic hlásit.“

Oprava nemusí být konec povinností. Pokud se výrobce dozví o aktivně zneužívané zranitelnosti nebo závažném incidentu ovlivňujícím bezpečnost produktu, CRA stanoví ohlašovací povinnosti: včasné varování do 24 hodin, následné oznámení do 72 hodin a později závěrečnou zprávu. Nejde o hlášení každé chyby, ale u událostí splňujících příslušná kritéria samotná oprava nestačí. Digitální strategie EU

Na opravu máte vývojáře. Koho máte na povinné hlášení?

10. „CRA začíná až v roce 2027. Na software, který už prodáváme, máme klid.“

Hlavní požadavky se začnou uplatňovat 11. prosince 2027. Ohlašovací povinnosti podle článku 14 však už od 11. září 2026. Ty se mohou týkat také produktů uvedených na trh dříve. Starší datum vydání proto není univerzální výjimkou. Samostatně je potřeba posoudit také následné podstatné změny produktu. Digitální strategie EU

Čekat na rok 2027 může znamenat přehlédnout povinnost, která už běží.

„Mysleli jsme si, že se nás to netýká.“ Tohle nechcete vysvětlovat po incidentu.

Vyvíjíte software, prodáváte licence, dodáváte komponenty nebo uvádíte aplikace na trh pod vlastní značkou?

Na kurzu TAYLLORCOX CRA Compliance Manager zjistíte, jak určit svou roli, které požadavky se vztahují na vaše produkty a jak připravit vývoj, dokumentaci, podporu i ohlašování. Nezačínejte otázkou, kolik papírů budete potřebovat. Začněte tím, za co vaše firma skutečně odpovídá.

Tlačítko: Zjistit své povinnosti podle CRA

Redakční poznámka: Konkrétní odkazovaný materiál NÚKIB se mi přes jeho dynamický portál nepodařilo načíst. Věcný výklad proto vychází z nařízení a podkladů Evropské komise, nikoli z tvrzení, že jsem tento materiál přečetl. Povinnosti uvedené výše mají rozdílná data použitelnosti; hlavní produktové požadavky nelze zaměňovat s ohlašováním, které se uplatňuje dříve.