CRA 2027: co musí připravit e-shop, dovozce a výrobce elektroniky

5. listopadu 2026 · Redakce Doklad.ai · podnikani

Kybernetické požadavky CRA se od prosince 2027 týkají digitálních výrobků. Jak určit svou roli, prověřit dodavatele, evidovat podporu a připravit hlášení výrobce.

Rychlá odpověď

Prodáváte připojené kamery, chytré zámky, routery nebo software? Od 11. prosince 2027 se začnou uplatňovat hlavní požadavky evropského nařízení o kybernetické odolnosti, známého jako CRA. Malá firma nemá plošnou výjimku. Rozsah práce se však výrazně liší podle toho, zda produkt vyrábíte, dovážíte ze země mimo EU, nebo jej pouze přeprodáváte. Začněte seznamem dotčených produktů a svou rolí u každého dodavatele. Nařízení 2024/2847, články 2, 13 a 19–20, článek 71.

Výrobci nesmějí čekat až do prosince 2027: povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty týkající se bezpečnosti produktu platí již od 11. září 2026. Evropská platforma pro tato hlášení je v provozu. Komise: povinnosti hlášení.

Co se mění a koho CRA neřeší jen kvůli tomu, že má e-shop

CRA stanovuje požadavky na výrobky s digitálními prvky: hardware, software a některá související vzdálená zpracování dat. Působnost je spojená s dodáváním na trh a s předpokládaným přímým či nepřímým datovým připojením k zařízení nebo síti. Samotné provozování e-shopového webu z obchodníka s tričky výrobce digitálního produktu nedělá. Komise: shrnutí působnosti CRA.

Naopak nestačí argument „výrobek se nepřipojuje přímo k internetu“. Relevantní může být i připojení přes jiné zařízení. A u chytrého výrobku nelze odhlédnout od cloudové funkce dodávané pod odpovědností výrobce, bez níž by jedna z funkcí výrobku nefungovala. Samostatné cloudové služby a weby je potřeba posuzovat podle konkrétního vztahu k produktu; označení SaaS samo o sobě odpověď nedává. Nařízení, body odůvodnění 11–12 a definice v článku 3.

Některé oblasti mají výluky nebo zvláštní režimy, například vybrané výrobky upravené jinými evropskými předpisy. Zvláštní pravidla existují také pro svobodný a otevřený software. Bezplatné stažení ovšem samo nedokazuje, že jde o nekomerční činnost. Hraniční případ posuzujte podle pokynů Komise z 27. července 2026, které rozebírají působnost, cloud, otevřený software a podstatné změny výrobků.

Termíny: dvě různé přípravy

Jde o přijaté nařízení, nikoli o plán závislý na schválení českého zákona. Technické normy, metodiky a prováděcí dokumenty ale mohou postupně přibývat. Datum samotné platnosti z roku 2024 proto nezaměňujte s datem použití konkrétní povinnosti. Komise: harmonogram implementace.

Starší zásoby mají přechodné pravidlo. Produkty uvedené na trh EU před 11. prosincem 2027 obecně podléhají CRA jen tehdy, pokud od tohoto dne projdou podstatnou změnou. Povinnosti hlášení se však vztahují i na produkty uvedené na trh dříve. „Uvedení na trh“ znamená první dodání na trh EU; není to automaticky datum, kdy balík koupí konečný zákazník. Článek 69 a přehled přechodných ustanovení Komise.

Pro sklad je proto užitečné uchovat doklad, který dokáže konkrétní kus nebo šarži spojit s prvním uvedením na trh. Pouhé datum vytvoření produktové karty nestačí. Obecné přechodné pravidlo navíc není návodem, jak obejít bezpečnostní povinnosti jiných předpisů.

Jste výrobce, dovozce, nebo distributor?

Výrobce: nejde jen o vlastní továrnu

Výrobcem může být firma, která produkt vyvíjí, vyrábí nebo si jej nechá vyvinout či vyrobit a prodává jej pod svým názvem nebo značkou. Vlastní značka připojeného zařízení proto není jen marketingová změna. Za určitých okolností se povinnosti výrobce vztáhnou také na dovozce či distributora, který výrobek uvádí pod svou značkou nebo jej podstatně mění. Nařízení, článek 3 a články 21–22.

Výrobce řeší posouzení kybernetických rizik, bezpečnost výrobku, technickou dokumentaci, odpovídající posouzení shody, EU prohlášení o shodě a označení CE. Potřebuje také proces přijímání oznámení o zranitelnostech a jejich řešení po dobu podpory. U některých kategorií výrobků není běžné vlastní posouzení dostatečné; konkrétní postup závisí na zařazení výrobku. Komise: povinnosti výrobců.

Dovozce: nestačí přeposlat certifikát ze třetí země

Dovozce usazený v EU, který poprvé dodává na evropský trh produkt výrobce mimo EU, musí před uvedením ověřit předepsané kroky výrobce. Patří mezi ně posouzení shody, existence technické dokumentace, označení CE a příslušné informace. Při důvodu domnívat se, že produkt nesplňuje požadavky, jej nesmí uvést na trh, dokud nebude uveden do souladu. Článek 19 CRA.

V nákupu si proto vyžádejte dokumentaci vztahující se ke konkrétnímu modelu a verzi. Soubor pojmenovaný „CE certificate“ bez identifikace výrobku a použitých předpisů není výsledek kontroly. Zjistěte také, kdo u výrobce poskytne aktualizace, jak oznámí konec podpory a kdo odpoví při bezpečnostním problému.

Distributor: kontrola před prodejem a postup při problému

Distributor, který beze změny přeprodává výrobek z evropského distribučního řetězce, ověřuje mimo jiné CE, identifikaci a kontaktní údaje výrobce a dovozce, uživatelské informace a dobu podpory. Když má důvod se domnívat, že výrobek není v souladu, nemá ho dál dodávat do nápravy. Má i povinnosti při zjištění zranitelnosti a vůči dozorovým orgánům. Článek 20 CRA.

Malému prodejci z toho automaticky nevzniká povinnost vytvořit dokumentaci výrobce od začátku. Potřebuje však proveditelnou vstupní kontrolu a kontakt, přes který vyřeší chybějící nebo rozporné údaje.

Doba podpory je obchodní údaj, který potřebujete znát

Výrobce stanoví dobu, po kterou bude účinně řešit zranitelnosti. Ta má odpovídat očekávanému používání; zákonné minimum je zásadně pět let, s výjimkou výrobků s očekávanou kratší dobou používání. Není správné slíbit každému zákazníkovi automaticky pět let od jeho nákupu. Pro rozhodnutí zákazníka je důležité konkrétní datum konce podpory, uvedené měsícem a rokem, a jeho dostupnost při nákupu. Článek 13 odst. 8 a 19 CRA.

Pro e-shop doporučujeme samostatné pole „Bezpečnostní podpora do“ u dotčených výrobků. Je to návrh způsobu evidence, nikoli předepsaný název kolonky. Ještě před objednávkou většího množství porovnejte cenu zásoby s tím, kolik podpory zůstane zákazníkovi při plánovaném doprodeji.

Co mají výrobci hlásit již od září 2026

Článek 14 se týká aktivně zneužívaných zranitelností a závažných incidentů s dopadem na bezpečnost produktu. Neznamená, že každý malý e-shop musí podle CRA hlásit každý neúspěšný pokus o přihlášení. Výrobce však musí umět rozpoznat, kdy jde o případ, na který článek dopadá.

Základní sled je včasné varování do 24 hodin od zjištění, navazující oznámení do 72 hodin a konečná zpráva podle druhu události. U zranitelnosti je konečná zpráva nejpozději 14 dnů po dostupnosti nápravného nebo zmírňujícího opatření; u závažného incidentu do měsíce od oznámení do 72 hodin. Komise: pravidla a lhůty hlášení.

Podání se provádí přes Single Reporting Platform ENISA. Na jejím rozcestníku jsou registrace oprávněných osob, uživatelský návod i průvodce podáním. Předem určete hlavní odpovědnou osobu a zástupce; první skutečná událost není vhodná chvíle pro zjišťování, kdo se umí přihlásit. ENISA: platforma a uživatelské návody.

Ochrana vašeho interního účetnictví a účtů je jiná část bezpečnosti. Praktická opatření pro tuto oblast najdete v článku Kybernetická bezpečnost v účetnictví; sama o sobě nenahrazují shodu prodávaného produktu s CRA.

Vlastní kontrolní karta výrobku

Tuto redakční pomůcku můžete použít pro přípravu nákupu a produktových dat. Nejde o oficiální potvrzení shody.

Jako interní pravidlo doporučujeme nepouštět nové dotčené modely do nákupu pro období použití CRA bez vyplněné karty. Hotová karta má obsahovat dohledatelné dokumenty a odpovědi; zaškrtnutí „dodavatel slíbil“ z ní použitelné rozhodnutí neudělá.

Modelové příklady pro malé firmy

E-shop odebírá chytré zásuvky od evropského distributora. Předpokládejme produkt v působnosti CRA bez změn a bez vlastní značky. Prodejce připraví kontrolu pro roli distributora, získá podklady ke konkrétním modelům a datum podpory. Pokud údaje chybí, nákupčí požaduje doplnění před jejich zařazením pro období nových povinností.

Stejný e-shop začne vozit kamery přímo z Číny. U nového toku může být dovozcem. Potřebuje podrobnější kontrolu podle článku 19 a vlastní identifikaci dovozce podle nařízení. Obecná zkušenost s přeprodejem evropského zboží není dokladem, že tuto roli již procesně pokrývá.

Firma si nechá vyrábět zařízení pod vlastní značkou. Musí prověřit povinnosti výrobce, i když vývoj a výrobu zajišťuje jiná společnost. Do smlouvy potřebuje promítnout přístup k dokumentaci, bezpečnostní aktualizace, podporu a spolupráci při incidentech. Smluvní rozdělení práce neznamená automatický přenos právní role na dodavatele.

OSVČ používá program při práci a nic digitálního neprodává. Samotným používáním programu se nestává jeho výrobcem podle CRA. Při nákupu pro vlastní firmu pro ni však bude užitečné porovnat délku podpory a informace o bezpečné instalaci.

Co udělat teď

1. Majitel: rozdělit sortiment na zjevně nedotčený, dotčený a vyžadující odborné posouzení.
2. Nákupčí: určit roli firmy pro jednotlivé dodavatelské toky a vyžádat chybějící podklady.
3. Správce e-shopu: připravit místo pro informace o podpoře a vazbu na model a verzi.
4. Výrobce nebo vlastní značka: ověřit již běžící proces hlášení a naplánovat posouzení shody před uvedením produktů po rozhodném datu.
5. Sklad a zákaznická podpora: stanovit způsob dohledání dotčených kusů a reakce na oznámenou zranitelnost.

Pro první tři kroky si stanovte interní termín podle délky dodávek. Objednávka s půlroční výrobní lhůtou vyžaduje rozhodnutí dříve než doplnění několika kusů od evropského distributora. Tento plán je doporučení redakce; zákonné termíny jsou uvedeny výše.

Časté otázky

Je CRA totéž co NIS2?

Ne. CRA v tomto návodu řeší bezpečnost produktů dodávaných na trh. NIS2 řeší povinnosti vymezených poskytovatelů a organizací. Jedna firma může potřebovat posoudit obě oblasti, ale pravidla nelze zaměňovat.

Stačí malé firmě nakupovat zboží s logem CE?

Samotné logo není celá kontrola. Povinnosti zahrnují podle role další údaje, dokumenty, uživatelské informace a postup při podezření na nesoulad. Již existující CE pro jiné předpisy samo nedokládá splnění CRA.

Musí mít každý produkt externí certifikát?

Ne. Postup posouzení shody závisí na kategorii a dalších podmínkách. U některých produktů může výrobce použít vnitřní kontrolu, u jiných jsou požadavky přísnější. Nelze zákazníkům slibovat univerzální „CRA certifikaci“ bez určení postupu.

Znamená rok 2027 konec prodeje všech starých zásob?

Ne. Je nutné posoudit první uvedení na trh a případnou podstatnou změnu podle článku 69. Hlášení podle článku 14 má samostatný režim a dopadá i na dříve uvedené produkty.

Ověřeno k 5. listopadu 2026. Text vychází z přijatého nařízení 2024/2847, pokynů Komise z července 2026 a aktuálních informací ENISA. Další kontrolu proveďte při změně modelu, vlastní značky nebo dovozního vztahu a před konečným určením postupu posouzení shody.

Zdroje a kde si přečíst víc

• Nařízení CRA 2024/2847 – právní působnost, role, povinnosti a přechodná pravidla.
• Komise: pokyny k použití CRA – podrobnosti a hraniční případy.
• Komise: výrobci – postup před uvedením výrobku na trh a po něm.
• Komise: hlášení – aktuální lhůty a vazba na platformu.
• ENISA: Single Reporting Platform – registrace a návody k podání.