Část povinností už navíc platí dnes: od 11. září 2026 musejí výrobci hlásit aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty. To je pro ně zřejmě nejsnazší povinnost z nové regulace – skutečné změny teprve přijdou. Téma je tak důležité, že na připravované ICT konferenci KKDS se regulaci CRA budou věnovat hned dvě přednášky.
CRA představuje podstatnou změnu způsobu, jakým budou své výrobci svou produkci vyvíjet a uvádět na trh. Automatickou součástí toho bude muset být kybernetické posouzení rizik, splnění základních bezpečnostních požadavků, technická dokumentace, zajištění různých procesů – řešení zranitelností nebo bezpečnostních aktualizací a řada další povinností. Importér už také není jen “špeditér” – u výrobku ze třetí země musí před jeho uvedením na evropský trh ověřit mimo jiné to, že požadavky regulace jsou splněné, posouzení shody je v pořádku a technická dokumentace je přítomna.
Regulace je hotová. Implementace znovu dobíhá na poslední chvíli
Samozřejmě každý by chtěl nyní vědět, jak na to. A už to dávno vědět měl. Problém je, že zatímco termín 11. prosince 2027 je pevně zapsán v právním předpisu, drtivá většina navazujících pravidel, podle kterých se firmy mají řídit, se teprve vytváří. CRA se tak stává dalším příkladem stále častějšího evropského problému: legislativa je schválena, podniky se musí začít přizpůsobovat, protože čas k plné účinnosti běží, ale Komise, standardizační organizace a členské státy ještě nemají hotovo – nejsou normy, metodiky, prováděcí akty nebo certifikační infrastruktura.
CRA v tom není samo. Dnes tolik zmiňované nařízení o obalech a obalových odpadech – PPWR se hlavní pravidla začala používat 12. srpna 2026. Výkladové pokyny Komise vydala místo koncem roku 2025 až v červnu 2026, pouhé dva měsíce před začátkem použitelnosti nařízení. Řada prováděcích a delegovaných aktů nezbytných pro konkrétní požadavky ještě není hotová a přijímat se bude postupně.
Podobný problém už Evropská unie přiznala také u AI Actu. V červenci 2026 došlo ke změně data náběhu pravidel pro vysoce rizikové AI systémy. Komise dnes sama vysvětluje, že posun má zajistit, aby povinnosti začaly platit až ve chvíli, kdy firmy budou mít k dispozici potřebné podpůrné nástroje, zejména standardy. Pravidla pro část high-risk systémů proto začnou platit v prosinci 2027 a pro AI zabudovanou například do strojů nebo hraček až v srpnu 2028. Otázka, zda nebude za rok stejný zásah potřeba také u CRA je tak vcelku legitimní.
Normy jsou závod s časem
Nejviditelnějším symbolem celého problému jsou harmonizované evropské normy. Pro výrobce budou mimořádně důležité, protože jejich použití může založit presumpci shody s požadavky CRA. Bez jejich existence (nebo pokud při výrobě nepostupuje podle norem) musí výrobce u některých kritičtějších produktů bezpečnost dokazovat komplikovaněji a dráže skrz certifikaci u akreditovaného orgánu, což znamená další čas i náklady.
Určitý pokrok nastal letos v létě. ETSI 13. srpna 2026 oznámila dokončení 17 finálních návrhů vertikálních norem řady EN 304 xxx například pro správce hesel, antiviry, síťové prvky, chytré domácí asistenty, propojené hračky nebo nositelnou elektroniku (wearables). Jenže „final draft“ ještě není harmonizovaná norma. Dokumenty teprve procházejí veřejnou konzultací u národních standardizačních organizací a tato fáze podle konkrétní normy končí od poloviny září až do poloviny listopadu 2026. Poté je třeba vypořádat technické připomínky, normu formálně schválit a publikovat a nakonec musí být odkaz na ni uveřejněn v Úředním věstníku EU. Teprve potom vzniká takzvaná presumpce shody.
Přitom evropský harmonogram předpokládá, že produktově specifické normy pro důležité a kritické kategorie výrobků budou připraveny do 30. října 2026. Už samotný fakt, že u některých z 17 návrhů běží konzultace až do listopadu, ukazuje, že se to nestihne. Ještě problematičtější je druhá sada horizontálních standardizačních výstupů pokrývajících základní bezpečnostní požadavky CRA: jejich termín je až 30. října 2027, tedy přibližně šest týdnů před plnou použitelností nařízení.
V Německu už zvedá varovný prst Bitkom
Tohle riziko už otevřeně pojmenovává německý Bitkom, nejvýznamnější asociace německého digitálního průmyslu, která sdružuje více než 2 200 firem.
V srpnu zveřejnil pozoruhodný dokument „CRA: 15 Scenarios for Economy, Market, and Supply Security“. Nezpochybňuje základní cíl CRA. Naopak výslovně podporuje vyšší kybernetickou bezpečnost a security by design. Varuje však, že předpokladem úspěšné regulace jsou jasné standardy, funkční certifikační infrastruktura, dostatečné testovací kapacity a jednotná pravidla dozoru nad trhem. A právě zde podle německých firem stále existují významné mezery.
Největší problém představuje čas. Výrobce nemůže čekat do listopadu 2027, přečíst si definitivní technickou normu a o několik týdnů později uvést na trh produkt, který ji splňuje. U složitější elektroniky se normy musejí propsat do konstrukce výrobku, použitého hardwaru a softwaru, dodavatelského řetězce, testování, dokumentace i výrobního procesu. Bitkom upozorňuje, že u některých firem může zavedení dokumentovaných a auditovatelných vývojových a vulnerability-management procesů trvat několik let.
Druhým rizikem jsou certifikační kapacity. U některých kategorií produktů nebude stačit vlastní prohlášení výrobce a do posouzení shody bude muset vstoupit nezávislý notified body. Jenže tyto subjekty je nejprve nutné určit, akreditovat, personálně vybavit a připravit jejich testovací postupy. Bitkom upozorňuje, že pokud poptávka po posouzení shody před prosincem 2027 skokově vzroste, mohou vzniknout fronty, v nichž se zejména menší firmy k posouzení svého produktu včas vůbec nedostanou. Technicky bezpečný výrobek by pak nesměl na evropský trh nikoli proto, že je nebezpečný, ale protože chybí kapacita, která jeho shodu potvrdí.
Třetí problém leží v dodavatelských řetězcích. Výrobce finálního zařízení musí být schopen doložit bezpečnost použitých komponent a pracovat s informacemi o jejich zranitelnostech. Jenže moderní zařízení může obsahovat software a hardware od desítek dodavatelů několika úrovní. Evropský výrobce tak může nést odpovědnost za CRA compliance, aniž by měl přímý smluvní vztah s původním výrobcem některé komponenty. Bitkom upozorňuje, že chybějící SBOM, nedostupná data o zranitelnostech nebo opožděné bezpečnostní aktualizace od upstream dodavatelů mohou fakticky znemožnit splnění povinností finálního výrobce.
A konečně existuje riziko, že se CRA bude v první fázi aplikovat příliš formalisticky. Bitkom proto žádá, aby se dohled po spuštění regulace soustředil přednostně na skutečná bezpečnostní rizika a aby firmy při čistě dokumentačních či procesních nedostatcích dostaly přiměřený čas na nápravu.
Bitkom proto přichází s poměrně radikálním, ale logickým požadavkem: pokud klíčové harmonizované normy nebudou řádně zveřejněny v Úředním věstníku už do 11. prosince 2026, měla by od jejich skutečného zveřejnění běžet nová dvouletá přechodná lhůta.
České firmy mohou být mezi prvními, kdo problém pocítí
Pro Českou republiku nejde o akademickou debatu. CRA nedopadá jen na několik velkých technologických firem. Týká se výrobců průmyslové elektroniky, řídicích jednotek, síťových a IoT zařízení, bezpečnostního softwaru, chytré domácnosti nebo digitálních komponent integrovaných do dalších výrobků. Vedle nich zasáhne také firmy, které prodávají pod vlastní značkou zařízení vyrobená mimo EU, a dovozce elektroniky z třetích zemí. NÚKIB odhaduje, že CRA by mohlo u svých výrobků řešit až 75 tisíc českých firem.
Právě menší a střední výrobce může kombinace pozdních norem, chybějících podkladů od subdodavatelů a omezené kapacity zkušeben zasáhnout nepoměrně silněji než globální korporaci. Velká firma může paralelně testovat několik řešení, najmout specialisty a rezervovat si kapacitu certifikačního orgánu. Menší výrobce s desítkami variant produktů může stát před dost šílenou otázkou, jak vlastně po prosincovém termínu své výrobky na trh vůbec uvést.
Česko by nemělo čekat na prosinec 2027
Česká vláda a úřady by proto měly začít téma otevírat na evropské úrovni už nyní. Cílem nemusí být plošné odložení CRA. Smysluplnější by bylo navázat některé přechodné lhůty na skutečnou dostupnost nástrojů, pomocí kterých mají firmy povinnosti plnit. Firmám totiž ve skutečnosti neběží plná tříletá lhůta na přípravu. Část této lhůty spotřebovává sama Evropská unie tím, že teprve dokončuje technická pravidla a infrastrukturu, podle nichž mají firmy své výrobky upravit a shodu prokázat.
Česko může například podpořit požadavek, aby u požadavků závislých na harmonizovaných normách existovala dostatečná adaptační doba počítaná až od jejich citace v Úředním věstníku. Současně by mělo požadovat transparentní přehled připravenosti jednotlivých standardů a certifikačních kapacit a včasný krizový mechanismus pro případ, že příslušné certifikační organizace nebudou schopny poptávku pokrýt.
Cyber Resilience Act sleduje legitimní cíl. Výrobky připojené k internetu skutečně mají být bezpečnější a výrobci za jejich kybernetickou bezpečnost mají nést odpovědnost. Stejnou odpovědnost by však měla nést i veřejná správa za to, že pravidla, normy a certifikační infrastrukturu dodá dostatečně dlouho před okamžikem, kdy začne jejich splnění po firmách vymáhat. Evropská zkušenost s PPWR, AI Actem a řadou dalších regulací ukazuje, že to už není technický detail. Stává se z toho jeden z hlavních problémů evropského legislativního procesu.
Chcete se dozvědět více o produktové kyberbezpečnostní regulaci a o tom, jak bude ovlivňovat regulované společností? Téma se bude probírat na ICT konferenci KKDS 2026 5. listopadu v NTK Praha.
Autor: Ondřej Malý, analytik digitální ekonomiky, publicista a řečník na ICT Konferenci 2026
ČLÁNKY DO MAILU