Čo ej to CRA (Cyber Resilience Act), ktroý už platí aj na Slovensku?

EÚ nám opäť niečo prikázala. Tentoraz chce od výrobcov, aby produkty neprišli na trh s bezpečnosťou v štýle „heslo je admin a potom sa uvidí“.

Výrobcovia dostávajú povinnosti pri návrhu produktu, aktualizáciách, riešení zraniteľností aj informovaní úradov.

Volá sa to Cyber Resilience Act, skrátene CRA. Ide o nariadenie Európskeho parlamentu a Rady (EÚ) 2024/2847, teda európsky predpis o kybernetickej odolnosti produktov s digitálnymi prvkami. A keďže ide o nariadenie EÚ, Slovensko ho nemusí prepisovať do vlastného zákona, aby základné európske povinnosti začali platiť. Nariadenie platí priamo vo všetkých členských štátoch.

Je tu však jeden dôležitý detail. CRA nenabehlo celé v jeden deň. Nariadenie nadobudlo účinnosť 10. decembra 2024, pravidlá pre notifikáciu orgánov posudzovania zhody sa uplatňujú od 11. júna 2026 a od 11. septembra 2026 už výrobcovia musia hlásiť aktívne zneužívané zraniteľnosti a závažné bezpečnostné incidenty. Väčšina ostatných povinností začne platiť 11. decembra 2027. 

CRA nerieši len počítače

Európska legislatíva používa pojem „produkt s digitálnymi prvkami“. V praxi ide o hardvér alebo softvér, ktorého zamýšľané alebo rozumne predvídateľné používanie zahŕňa priame alebo nepriame dátové spojenie so zariadením alebo sieťou. CRA počíta s hotovými výrobkami aj samostatne predávanými komponentmi. 

Do tejto skupiny preto môžu patriť smartfóny, notebooky, routery, modemy, inteligentné reproduktory, kamery, smart zámky, detské monitory, pripojené hračky, smart hodinky, operačné systémy, prehliadače, aplikácie, počítačové hry, VPN riešenia, správcovia hesiel či bezpečnostný softvér. CRA môže pokrývať aj vzdialené spracovanie dát, ak tvorí neoddeliteľnú súčasť funkcie produktu.

Nie všetko však spadne pod rovnaký režim. EÚ už upravuje niektoré oblasti samostatnými predpismi, preto CRA vynecháva alebo osobitne rieši napríklad zdravotnícke pomôcky, niektoré produkty pre civilné letectvo, námorné zariadenia a veľkú časť automobilového sektora. 

Špeciálny režim dostal aj open-source softvér. Bežný vývojár, ktorý zadarmo publikuje nemonetizovaný projekt mimo obchodnej činnosti, automaticky nedostane všetky povinnosti výrobcu. Ak však niekto open-source produkt komerčne uvádza na trh pod vlastným menom alebo značkou, situácia sa mení. CRA pozná aj samostatnú kategóriu správcov open-source softvéru, ktorí dlhodobo podporujú konkrétny projekt určený na komerčné využitie. 

Bezpečnosť už nebude bonus v tabuľke parametrov

Od decembra 2027 bude musieť výrobca riešiť kybernetickú bezpečnosť už počas návrhu a vývoja produktu. Pred uvedením na trh vykoná hodnotenie kybernetických rizík a výsledok zahrnie do technickej dokumentácie.

Produkt má podľa rizika prísť na trh bez známych zneužiteľných zraniteľností a s bezpečnou predvolenou konfiguráciou. Výrobca má chrániť zariadenie pred neoprávneným prístupom, chrániť dôvernosť a integritu dát, obmedzovať množstvo spracúvaných údajov na nevyhnutné minimum a znižovať počet rozhraní, cez ktoré môže útočník systém napadnúť.

CRA rieši aj dostupnosť základných funkcií po incidente, ochranu proti niektorým útokom typu denial-of-service, bezpečné vymazanie používateľských dát či mechanizmy, ktoré umožnia výrobcom opravovať zraniteľnosti aktualizáciami. Pri vhodných produktoch má výrobca ponúknuť automatické bezpečnostné aktualizácie ako predvolené nastavenie, používateľ však musí dostať zrozumiteľnú možnosť automatické aktualizácie vypnúť alebo odložiť. 

To nie je kozmetická požiadavka. Výrobca musí počas vývoja evidovať komponenty a zraniteľnosti produktu, vytvoriť softvérový zoznam komponentov, teda SBOM, zaviesť proces koordinovaného oznamovania zraniteľností a poskytnúť kontakt, cez ktorý mu môžu bezpečnostní výskumníci chyby hlásiť.

Keď výrobca chybu opraví, musí bezpečnostnú aktualizáciu distribuovať bezpečným spôsobom a bez zbytočného odkladu. Bežnému používateľovi ju má poskytnúť bezplatne. Ak to technika umožňuje, bezpečnostnú opravu má oddeliť od aktualizácie, ktorá pridáva nové funkcie. Používateľ by teda nemal dostať situáciu typu „bezpečnostnú dieru vám opravíme, ale spolu s novým balíkom funkcií za príplatok“. 

Päť rokov podpory nebude len pekný sľub výrobcu

CRA zavádza aj jednu veľmi praktickú vec: obdobie bezpečnostnej podpory.

Výrobca musí určiť, ako dlho bude riešiť zraniteľnosti produktu. Pri rozhodovaní má zohľadniť očakávanú životnosť výrobku, spôsob používania, očakávania zákazníkov aj dostupnosť jeho komponentov. Toto obdobie má trvať najmenej päť rokov. Ak produkt prirodzene počíta s kratšou životnosťou než päť rokov, podpora môže kopírovať túto kratšiu dobu. 

To neznamená, že každý digitálny teplomer automaticky dostane päťročný prísun nových funkcií. CRA rieši bezpečnostnú podporu a odstraňovanie zraniteľností. Výrobca navyše musí používateľovi oznámiť koniec obdobia podpory, minimálne vo forme mesiaca a roka.

Zaujímavé pravidlo sa týka aj samotných opráv. Bezpečnostná aktualizácia, ktorú výrobca počas podporovaného obdobia vydá, musí zostať dostupná najmenej desať rokov od jej vydania alebo do konca obdobia podpory, ak je toto obdobie ešte dlhšie. 

Pre človeka, ktorý si kúpi smart kameru alebo router a plánuje ho používať päť či sedem rokov, je to podstatne užitočnejšia informácia než počet AI funkcií vytlačený na krabici.

Na produktoch bude aj CE. Nie, neznamená to „nehacknuteľné“

Výrobca bude musieť pred uvedením produktu na trh preukázať, že spĺňa požiadavky CRA, pripraviť technickú dokumentáciu a EÚ vyhlásenie o zhode. Produkt následne dostane označenie CE.

Pri väčšine bežných zariadení a softvéru výrobca vykoná posúdenie zhody sám. Európska komisia medzi príklady tejto základnej skupiny uvádza mobilné aplikácie, počítačové hry alebo bežné smart reproduktory. 

Prísnejšie podmienky čakajú produkty, pri ktorých môže kybernetický problém spôsobiť väčšie škody. CRA medzi „dôležité“ produkty zaraďuje napríklad operačné systémy, prehliadače, správcov hesiel, antivírusy, VPN produkty, routery, modemy, niektoré smart-home bezpečnostné zariadenia, internetové hračky so sledovaním polohy či niektoré nositeľné zariadenia pre deti. Vyššia trieda zahŕňa napríklad firewally, systémy na detekciu narušenia alebo hypervízory. Pri najcitlivejších kategóriách, ako sú niektoré bezpečnostné čipy a prvky či brány inteligentných meračov, CRA vyžaduje prísnejšie posudzovanie treťou stranou. 

CE však nebude certifikátom absolútnej bezpečnosti. Taký certifikát neexistuje a existovať ani nemôže. Bude znamenať, že výrobca splnil predpísané požiadavky a absolvoval príslušný spôsob posúdenia zhody.

Prvá veľká povinnosť už platí od 11. septembra 2026

Kým väčšina požiadaviek na samotné produkty príde v decembri 2027, článok 14 CRA sa už uplatňuje. Výrobcovia musia od 11. septembra 2026 nahlasovať dve kategórie problémov: aktívne zneužívanú zraniteľnosť a závažný incident, ktorý ovplyvňuje bezpečnosť produktu. 

„Aktívne zneužívaná“ je v tomto prípade dôležité spojenie. Výrobca nemusí hlásiť každú CVE alebo každú internú chybu, ktorú jeho vývojári objavia. Povinnosť vzniká vtedy, keď existuje spoľahlivý dôkaz, že niekto zraniteľnosť skutočne zneužíva bez súhlasu vlastníka systému.

Od okamihu, keď sa výrobca o takej udalosti dozvie, začne bežať čas. Najneskôr do 24 hodín odošle prvé varovanie. Do 72 hodín doplní podrobnejšie oznámenie s informáciami o produkte, povahe problému a dostupných nápravných opatreniach. 

Potom príde záverečná správa. Pri aktívne zneužívanej zraniteľnosti ju výrobca odošle najneskôr do 14 dní od chvíle, keď sprístupní nápravné opatrenie. Pri závažnom incidente má na záverečnú správu najviac jeden mesiac od 72-hodinového oznámenia. 

Výrobca pritom nemôže čakať, kým jeho bezpečnostný tím problém tri razy preverí, vedenie absolvuje dve porady a právnici sa vrátia z víkendu. Rozhoduje okamih, keď získa vierohodnú informáciu, že problém nastal. Lehota preto pokojne začne plynúť v piatok o 22:00. 

Výrobca zo Slovenska má kam hlásiť

EÚ vytvorila pre tieto hlásenia jednotnú Single Reporting Platform, ktorú prevádzkuje agentúra ENISA. Platforma funguje od 11. septembra 2026 a umožňuje výrobcovi nahlásiť udalosť raz, namiesto samostatného kontaktovania úradov vo viacerých krajinách. 

Na Slovensku odporúča Národný bezpečnostný úrad výrobcom začať cez rozcestník SK-CERT. Preferovanú slovenskú cestu predstavuje Jednotný informačný systém kybernetickej bezpečnosti, JISKB. Hlásenie následne putuje aj do európskeho systému. Výrobca môže použiť aj priamy vstup do platformy ENISA. 

Zaujímavé je, že táto nahlasovacia povinnosť sa netýka iba produktov, ktoré výrobcovia uvedú na trh po septembri 2026. Článok 14 zasahuje aj relevantné produkty, ktoré sa na trhu nachádzali už predtým. Hlavné technické požiadavky CRA však pri starších produktoch fungujú inak: produkt uvedený na trh pred 11. decembrom 2027 im spravidla nepodľahne, pokiaľ po tomto dátume neprejde podstatnou úpravou. 

Ako do toho zapadá Slovensko?

Tu vzniká pri správach o „slovenskom CRA“ trochu chaosu. Samotný Cyber Resilience Act je európske nariadenie a platí priamo aj u nás. Slovensko však potrebuje vlastné procesné pravidlá, aby mal niekto na starosti dohľad, kontroly, rozhodnutia a sankcie.

Zákon č. 318/2025 Z. z. už od januára 2026 určil NBÚ ako orgán dohľadu nad trhom pre produkty s digitálnymi prvkami. Slovenské predpisy zároveň určili Úrad pre normalizáciu, metrológiu a skúšobníctvo SR ako notifikujúci orgán. 

NBÚ potom pripravil samostatný zákon o kybernetickej bezpečnosti produktov s digitálnymi prvkami. Vláda ho schválila 26. augusta 2026 a 27. augusta ho poslala do Národnej rady SR ako parlamentnú tlač 1450. K 14. septembru 2026 ho parlament ešte neschválil. Vládny návrh zákona nájdete na webe Národnej rady SR. 

To však neznamená, že výrobcovia môžu dovtedy článok 14 ignorovať. Európske nariadenie platí priamo a oznamovacia povinnosť od 11. septembra 2026 už beží. Slovenský zákon má najmä podrobnejšie upraviť právomoci NBÚ, dohľad nad trhom, kontroly, spoluprácu a sankčné postupy.

A čo pokuty? Tie už nie sú symbolické

CRA počíta pri najvážnejších porušeniach s veľmi vysokými stropmi. Za porušenie základných bezpečnostných požiadaviek alebo povinností výrobcu podľa článkov 13 a 14 môže správny orgán uložiť pokutu až 15 miliónov eur alebo pri firme až 2,5 % jej celosvetového ročného obratu za predchádzajúci rok, podľa toho, ktorá suma je vyššia.

Pri ďalších skupinách povinností môže pokuta dosiahnuť 10 miliónov eur alebo 2 % obratu. Za nesprávne, neúplné alebo zavádzajúce informácie poskytnuté príslušným orgánom môže ísť až o 5 miliónov eur alebo 1 % obratu. 

Slovenský návrh zákona s týmito stropmi priamo pracuje a počíta aj s právomocou NBÚ kontrolovať produkty, žiadať technickú dokumentáciu, vykonať testovanie či nariadiť nápravu. Pri nevyhovujúcom produkte môže dohľad viesť k obmedzeniu predaja, stiahnutiu výrobku z distribučnej siete alebo k jeho spätnému prevzatiu od zákazníkov. 

Čo z toho bude mať bežný Slovák?

Najväčší prínos CRA nemusí byť viditeľný na prvý pohľad. Nariadenie nezabráni hackerom hľadať nové chyby a nijaký router, mobil či aplikácia sa vďaka nemu nestanú nedobytnými.

Zmení sa však to, čo môže zákazník od výrobcu legitímne očakávať. Pri nových produktoch v režime CRA bude vedieť, dokedy výrobca poskytuje bezpečnostnú podporu. Výrobca bude musieť mať mechanizmus na riešenie zraniteľností, poskytovať bezpečnostné opravy bez zbytočného odkladu, pri bežných spotrebiteľských produktoch ich dodávať bezplatne a používanie produktu nastaviť bezpečne už od výroby.

Ak sa objaví skutočne zneužívaná chyba, výrobca už nemôže problém týždne riešiť potichu bez jasného procesu. Od septembra 2026 mu bežia 24- a 72-hodinové lehoty a informácia sa môže cez slovenské a európske bezpečnostné orgány rýchlejšie dostať tam, kde ju potrebujú.

Od decembra 2027 navyše dostane používateľ pri kúpe viac údajov o bezpečnostnej podpore, aktualizáciách, výrobcovi a bezpečnom používaní produktu. NBÚ odporúča pri nákupe sledovať aj koniec obdobia podpory a spôsob bezpečnostných aktualizácií. 

Ak používateľ narazí na produkt, ktorý požiadavky očividne nespĺňa, môže na možný nesúlad upozorniť NBÚ. Taký podnet však nenahrádza reklamáciu ani žiadosť o vrátenie peňazí. Ide o dohľad nad produktom, nie o riešenie individuálneho spotrebiteľského sporu. 

CRA nie je NIS2

CRA sa často objavuje v jednej vete so smernicou NIS2, no oba predpisy riešia inú vrstvu kybernetickej bezpečnosti.

NIS2 sa sústreďuje najmä na kybernetickú bezpečnosť organizácií a služieb v dôležitých sektoroch, napríklad energetike, doprave, zdravotníctve, digitálnej infraštruktúre či verejnej správe. CRA sa pozerá na samotný produkt. Router môže podliehať CRA ako výrobok, zatiaľ čo telekomunikačný operátor, ktorý ho používa vo svojej sieti, môže mať samostatné povinnosti podľa NIS2. 

Jedna udalosť preto môže spustiť viacero právnych povinností. Hlásenie produktu podľa CRA a hlásenie incidentu organizácie podľa NIS2 však nie sú totožné a jedno automaticky nenahrádza druhé.

Tento článok napísala umelá inteligencia ChatGPT od OpenAI. Článok bol skontrolovaný redakciou TECHBOX.