Akt o kybernetickej odolnosti pod kontrolou.
Ak uvádzate na trh EÚ produkt s digitálnymi prvkami, vzťahuje sa na vás CRA. Reglyze s vami zrozumiteľným jazykom posúdi zhodu a vygeneruje technickú dokumentáciu podľa prílohy VII a EÚ vyhlásenie o zhode. Pri väčšine produktov stačí posúdenie zhody samotným výrobcom (modul A).
Pozrite sa, ako to funguje: od produktu po podpísané vyhlásenie
Dvojminútová ukážka: posúdenie pôsobnosti pri produkte, zrozumiteľné posúdenie zhody vlastnými silami a vygenerovanie technickej dokumentácie podľa prílohy VII a EÚ vyhlásenia o zhode.
Od otázky „týka sa nás to?“ k podpísanému vyhláseniu
1 · Pôsobnosť a zaradenie
Štyri otázky ukážu, či sa na vás CRA vzťahuje, do akej triedy podľa prílohy III/IV produkt patrí a aký postup posudzovania zhody vás čaká. Zadarmo, bez účtu.
2 · Posúdenie vlastnými silami
Odpovedzte na cca 20 jednoduchých otázok o svojom produkte. Asistent navrhne úroveň vyspelosti 0–3 pre každú základnú požiadavku (príloha I) s oporou v norme IEC 62443.
3 · Vygenerovanie dokumentácie
Technická dokumentácia podľa prílohy VII a vaše EÚ vyhlásenie o zhode, zostavené z vašich odpovedí, so zohľadnením SBOM a vo vašom jazyku.
Čo získate
- Technická dokumentácia podľa prílohy VII
- EÚ vyhlásenie o zhode (vydané až po splnení všetkých požiadaviek)
- Správa o nedostatkoch podľa prílohy I s otvorenými bodmi na uzavretie
- Import SBOM (CycloneDX / SPDX) uvedený v technickej dokumentácii
Základ: IEC 62443-4-1 (bezpečný vývoj) a 62443-4-2 (požiadavky na komponenty). Text CRA je verejné právo EÚ; odkazy na normy IEC sú parafrázované, nikdy nie reprodukované doslovne.
Cenník
CRA má samostatný cenník, oddelený od platformy NIS2.
Akt o kybernetickej odolnosti: časté otázky
Vzťahuje sa akt EÚ o kybernetickej odolnosti (CRA) na môj produkt?
CRA sa vzťahuje na každý produkt s digitálnymi prvkami sprístupnený na trhu EÚ, teda na hardvér so softvérom alebo firmvérom aj na samostatný softvér. Ak uvádzate na trh EÚ pripojené zariadenie, produkt IoT alebo inštalovateľný softvér, patríte do rozsahu pôsobnosti. Bezplatné overenie pôsobnosti v Reglyze to potvrdí pomocou štyroch otázok.
Odkedy sa akt o kybernetickej odolnosti uplatňuje?
Rozhodujúce sú dva dátumy: povinnosti nahlasovať zraniteľnosti a incidenty platia od 11. septembra 2026 a plný súlad vrátane označenia CE sa vyžaduje od 11. decembra 2027. CRA je nariadenie (EÚ) 2024/2847.
Čo je posúdenie zhody vlastnými silami podľa modulu A v rámci CRA?
Modul A je postup posudzovania zhody založený na internej kontrole: výrobca sám posúdi produkt podľa základných požiadaviek a sám vydá EÚ vyhlásenie o zhode, bez účasti notifikovanej osoby. Modul A možno použiť približne pri 90 % produktov, teda pri predvolenej kategórii.
Potrebujem pre CRA notifikovanú osobu?
Iba pri „dôležitých“ produktoch triedy II a pri „kritických“ produktoch (príloha III trieda II a príloha IV CRA). Produkty predvolenej kategórie a väčšina „dôležitých“ produktov triedy I môžu zhodu posúdiť vlastnými silami podľa modulu A, najmä ak sa uplatňujú harmonizované normy.
Čo je technická dokumentácia podľa prílohy VII?
Príloha VII stanovuje technickú dokumentáciu, ktorú musí výrobca zostaviť a uchovávať k dispozícii orgánom dohľadu nad trhom: opis produktu, posúdenie rizík, dôkazy o splnení základných požiadaviek a zoznam softvéru (SBOM). Reglyze ju zostaví z vášho posúdenia.
Čo je EÚ vyhlásenie o zhode podľa CRA?
Je to podpísané vyhlásenie, že váš produkt spĺňa základné požiadavky kybernetickej bezpečnosti podľa CRA. Je povinné pred umiestnením označenia CE a uvedením produktu na trh. Reglyze ho vydá, keď sú splnené všetky základné požiadavky.
Ktoré produkty sú podľa CRA „dôležité“ alebo „kritické“?
Príloha III CRA uvádza „dôležité“ produkty (triedy I a II), napríklad správcov hesiel, VPN, firewally a operačné systémy; príloha IV uvádza „kritické“ produkty, napríklad brány inteligentných meracích systémov (smart meter gateway) a zabezpečené prvky. Všetko ostatné patrí do predvolenej kategórie a zhodu posudzuje vlastnými silami podľa modulu A.
Aké sankcie hrozia za nesúlad s CRA?
Za porušenie základných požiadaviek kybernetickej bezpečnosti a hlavných povinností výrobcu možno uložiť pokutu až do 15 miliónov EUR alebo 2,5 % celkového celosvetového ročného obratu, podľa toho, ktorá suma je vyššia, spolu s prípadným príkazom na stiahnutie z trhu. Za ostatné porušenia platia nižšie sadzby.
Čím sa CRA líši od NIS2?
NIS2 upravuje kybernetickú bezpečnosť organizácií (kľúčových a dôležitých subjektov); CRA upravuje kybernetickú bezpečnosť produktov s digitálnymi prvkami uvádzaných na trh EÚ. Výrobca môže podliehať obom: NIS2 pre to, ako funguje, CRA pre to, čo dodáva.
Vzťahuje sa CRA na softvér a open source?
Áno. Samostatný softvér je produkt s digitálnymi prvkami. Softvér s otvoreným zdrojovým kódom dodávaný v rámci obchodnej činnosti patrí do rozsahu pôsobnosti, s miernejšími povinnosťami pre nekomerčných správcov softvéru s otvoreným zdrojovým kódom. Samostatne hostovaný SaaS spravidla pod CRA nepatrí, pokiaľ nejde o riešenie spracovania údajov na diaľku, ktoré je neoddeliteľnou súčasťou produktu.