Praha 4. srpna 2026 – Evropské nařízení o kybernetické odolnosti (Cyber Resilience Act, CRA) přináší nové požadavky na bezpečnost digitálních produktů, od softwaru až po chytrá zařízení nebo třeba i hračky. První povinnosti začnou platit postupně od druhé poloviny roku 2026, přičemž úplná účinnost nařízení se očekává v průběhu roku 2027. Organizace se proto potřebují připravit nejen na nové povinnosti, ale především získat přehled o kybernetických rizicích, která s využívanými technologiemi a produkty souvisejí.
Kybernetická bezpečnost už není jen otázkou procesů
Evropská regulace kybernetické bezpečnosti se rozšiřuje. Zatímco směrnice NIS2 se zaměřuje především na bezpečnost organizací a řízení jejich kybernetických rizik, nařízení Cyber Resilience Act (CRA) přináší požadavky na bezpečnost samotných produktů s digitálními prvky – od softwaru až po chytrá zařízení. Firmy, které vyvíjejí, dodávají nebo využívají digitální produkty, tak budou muset vedle bezpečnosti vlastních procesů více zohledňovat i rizika spojená s konkrétními produkty a jejich využíváním.
CRA zavádí princip, že bezpečnost musí být integrální součástí digitálního produktu už od jeho návrhu. Požadavky se netýkají pouze hardwaru, ale vztahují se také na software a další produkty s digitálními prvky. Regulace zároveň dopadá nejen na výrobce, ale také na dovozce a distributory těchto produktů. CRA však nevyžaduje, aby produkt nikdy neměl žádnou zranitelnost, požaduje, aby měl výrobce nastavené procesy umožňující rizika včas identifikovat a řešit, tedy např. řízení zranitelností, bezpečnostní aktualizace, evidenci komponent nebo postupy pro reakci na incidenty.
Koho se CRA týká a proč by organizace neměly čekat
Přestože nařízení ukládá přímé regulatorní povinnosti především výrobcům, dovozcům a distributorům produktů s digitálními prvky, jeho nepřímý dopad pocítí prakticky všechny organizace, které při své činnosti digitální produkty využívají. Vedle technologických firem, vývojářů vlastních aplikací a integrátorů řešení třetích stran tak CRA ovlivní i organizace v roli koncových uživatelů, které budou muset věnovat větší pozornost bezpečnosti používaných technologií a svých dodavatelů.
První povinnosti začnou platit už letos v září
I když plná účinnost některých povinností nastane až koncem roku 2027, první ustanovení nařízení začnou platit už letos v září. Firmy a instituce by tak měly začít s přípravou už nyní. Pro uživatele technologií je prvním kritickým krokem získat přehled o tom, jaké systémy a produkty vlastně používají, od jakých dodavatelů pocházejí a kde mohou vznikat bezpečnostní rizika.
Než tedy organizace začne nastavovat konkrétní opatření, potřebuje detailně znát svůj výchozí stav. Ideálním a nezbytným odrazovým můstkem je proto provedení komplexní analýzy kybernetických rizik. Tato analýza pomůže přesně identifikovat kritická místa, vyhodnotit možné dopady na chod organizace a jasně určit oblasti, kterým je potřeba věnovat největší pozornost. Právě systematická práce s riziky je jedním ze základních principů moderní kybernetické bezpečnosti – a zároveň klíčovým podkladem pro všechny další kroky spojené s plněním regulatorních požadavků.
Nástroje pro analýzu kybernetických rizik
Na trhu dnes existují specializované nástroje, které organizacím pomáhají získat lepší přehled o jejich kybernetických rizicích a systematicky řídit bezpečnostní opatření. Jedním z nich je certifikovaný nástroj CSA (Cyber Security Audit) od českého vývojáře informačních systémů spol. GORDIC, který získal certifikaci v souladu se zákonem o kybernetické bezpečnosti (ZoKB) od nezávislé auditorské společnosti TAYLLORCOX.
CSA umožňuje zpracovat analýzu rizik a řídit související procesní náležitosti kybernetické bezpečnosti z jednoho místa. Organizacím pomáhá s evidencí a hodnocením aktiv, identifikací hrozeb a zranitelností, posouzením kybernetických rizik, návrhem bezpečnostních opatření, plánováním jejich realizace i následným řízením rizik. Součástí nástroje jsou funkce pro audit kybernetické bezpečnosti, správu bezpečnostních událostí a incidentů, hodnocení dodavatelů, tvorbu plánů kontinuity nebo přípravu prohlášení o aplikovatelnosti.
CSA pracuje s metodikami vycházejícími ze skupiny norem ISO/IEC 27000 a požadavků české legislativy v oblasti kybernetické bezpečnosti a pomáhá organizacím připravit podklady také pro plnění požadavků souvisejících s NIS2. Díky zabezpečenému online prostředí, přehledným výstupům a možnostem integrace s dalšími nástroji umožňuje CSA spravovat bezpečnostní agendu efektivněji než při využívání běžných tabulkových či textových nástrojů. Pro organizace, které potřebují zmapovat své digitální prostředí, identifikovat slabá místa a získat podklady pro další bezpečnostní kroky, představuje CSA praktickou metodickou i technologickou podporu.
Příprava na CRA začíná porozuměním vlastním rizikům
Nová evropská pravidla posouvají kybernetickou bezpečnost od reakce na problémy k jejich předcházení. Organizace, které si včas zmapují svá rizika a nastaví odpovídající opatření, budou mít lepší pozici při naplňování nových požadavků. Prvním krokem přitom není rozsáhlá transformace, ale důkladné zmapování současného stavu a identifikace kybernetických rizik. Právě na těchto základech lze následně stavět další opatření vedoucí ke splnění požadavků CRA.
Zdroj: Gordic
Často kladené otázky
Jaké jsou první povinnosti CRA?
První ustanovení nařízení začnou platit už letos v září.
Kdo se musí připravit na CRA?
Nařízení se týká výrobců, dovozců, distributorů a uživatelů digitálních produktů.
Jaké nástroje mohou pomoci s analýzou rizik?
Existují specializované nástroje jako CSA od společnosti GORDIC.
