Akt o kybernetické odolnosti pod kontrolou.
Pokud uvádíte na trh EU produkt s digitálními prvky, vztahuje se na vás CRA. Reglyze s vámi srozumitelným jazykem posoudí shodu a vygeneruje technickou dokumentaci podle přílohy VII a EU prohlášení o shodě. U většiny produktů stačí posouzení shody samotným výrobcem (modul A).
Podívejte se, jak to funguje: od produktu po podepsané prohlášení
Dvouminutová ukázka: posouzení působnosti u produktu, srozumitelné posouzení shody vlastními silami a vygenerování technické dokumentace podle přílohy VII a EU prohlášení o shodě.
Od otázky „týká se nás to?“ k podepsanému prohlášení
1 · Působnost a zařazení
Čtyři otázky ukážou, zda se na vás CRA vztahuje, do jaké třídy podle přílohy III/IV produkt patří a jaký postup posuzování shody vás čeká. Zdarma, bez účtu.
2 · Posouzení vlastními silami
Odpovězte na cca 20 jednoduchých otázek o svém produktu. Asistent navrhne úroveň vyspělosti 0–3 pro každý základní požadavek (příloha I) s oporou v normě IEC 62443.
3 · Vygenerování dokumentace
Technická dokumentace podle přílohy VII a vaše EU prohlášení o shodě, sestavené z vašich odpovědí, se zohledněním SBOM a ve vašem jazyce.
Co získáte
- Technická dokumentace podle přílohy VII
- EU prohlášení o shodě (vydáno až po splnění všech požadavků)
- Zpráva o mezerách podle přílohy I s otevřenými body k uzavření
- Import SBOM (CycloneDX / SPDX) uvedený v technické dokumentaci
Základ: IEC 62443-4-1 (bezpečný vývoj) a 62443-4-2 (požadavky na komponenty). Text CRA je veřejné právo EU; odkazy na normy IEC jsou parafrázovány, nikdy reprodukovány doslovně.
Ceník
CRA má samostatný ceník, oddělený od platformy NIS2.
Akt o kybernetické odolnosti: časté dotazy
Vztahuje se akt EU o kybernetické odolnosti (CRA) na můj produkt?
CRA se vztahuje na každý produkt s digitálními prvky dodávaný na trh EU, tedy na hardware se softwarem nebo firmwarem i na samostatný software. Pokud uvádíte na trh EU připojené zařízení, produkt IoT nebo instalovatelný software, spadáte do působnosti. Bezplatné ověření působnosti v Reglyze to potvrdí pomocí čtyř otázek.
Odkdy se akt o kybernetické odolnosti uplatňuje?
Rozhodující jsou dvě data: povinnosti hlásit zranitelnosti a incidenty platí od 11. září 2026 a plný soulad včetně označení CE se vyžaduje od 11. prosince 2027. CRA je nařízení (EU) 2024/2847.
Co je posouzení shody vlastními silami podle modulu A v rámci CRA?
Modul A je postup posuzování shody založený na interní kontrole: výrobce sám posoudí produkt podle základních požadavků a sám vydá EU prohlášení o shodě, bez účasti oznámeného subjektu. Modul A lze použít přibližně u 90 % produktů, tedy u výchozí kategorie.
Potřebuji pro CRA oznámený subjekt?
Pouze u „důležitých“ produktů třídy II a u „kritických“ produktů (příloha III třída II a příloha IV CRA). Produkty výchozí kategorie a většina „důležitých“ produktů třídy I mohou shodu posoudit vlastními silami podle modulu A, zejména pokud se uplatňují harmonizované normy.
Co je technická dokumentace podle přílohy VII?
Příloha VII stanoví technickou dokumentaci, kterou musí výrobce sestavit a uchovávat k dispozici orgánům dozoru nad trhem: popis produktu, posouzení rizik, doklady o splnění základních požadavků a softwarový kusovník (SBOM). Reglyze ji sestaví z vašeho posouzení.
Co je EU prohlášení o shodě podle CRA?
Je to podepsané prohlášení, že váš produkt splňuje základní požadavky CRA na kybernetickou bezpečnost. Je povinné před umístěním označení CE a uvedením produktu na trh. Reglyze ho vydá, jakmile jsou splněny všechny základní požadavky.
Které produkty jsou podle CRA „důležité“ nebo „kritické“?
Příloha III CRA uvádí „důležité“ produkty (třídy I a II), například správce hesel, VPN, firewally a operační systémy; příloha IV uvádí „kritické“ produkty, například brány inteligentních měřicích systémů (smart meter gateway) a zabezpečené prvky. Vše ostatní patří do výchozí kategorie a shodu posuzuje vlastními silami podle modulu A.
Jaké sankce hrozí za nesoulad s CRA?
Za porušení základních požadavků na kybernetickou bezpečnost a hlavních povinností výrobce lze uložit pokutu až 15 milionů EUR nebo 2,5 % celkového celosvětového ročního obratu, podle toho, která částka je vyšší, spolu s případným nařízením stažení z trhu. Za ostatní porušení platí nižší sazby.
Čím se CRA liší od NIS2?
NIS2 upravuje kybernetickou bezpečnost organizací (základních a důležitých subjektů); CRA upravuje kybernetickou bezpečnost produktů s digitálními prvky uváděných na trh EU. Výrobce může podléhat oběma: NIS2 kvůli tomu, jak funguje, CRA kvůli tomu, co dodává.
Vztahuje se CRA na software a open source?
Ano. Samostatný software je produkt s digitálními prvky. Software s otevřeným zdrojovým kódem dodávaný v rámci obchodní činnosti spadá do působnosti, s mírnějšími povinnostmi pro nekomerční správce softwaru s otevřeným zdrojovým kódem. Samostatně hostovaný SaaS obvykle pod CRA nespadá, pokud nejde o řešení zpracování dat na dálku, které je nedílnou součástí produktu.