Dne 11. září 2026 začaly být použitelné první povinnosti vyplývající z nařízení o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky (Cyber Resilience Act – CRA).
Od tohoto data musí výrobci produktů s digitálními prvky spadajících do působnosti CRA oznamovat aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty, které mají dopad na bezpečnost jejich produktů. Oznámení se podávají prostřednictvím jednotné platformy spravované agenturou ENISA. Prvotní varování je přitom třeba podat bez zbytečného odkladu, nejpozději do 24 hodin od okamžiku, kdy se výrobce o zranitelnosti nebo incidentu dozví, a podrobnější oznámení následuje nejpozději do 72 hodin.
Prakticky významné je, že tyto oznamovací povinnosti se vztahují také na produkty s digitálními prvky, které byly uvedeny na trh již před 11. prosincem 2027. Výrobci by proto neměli vycházet z toho, že se jich CRA začne týkat až s jeho plnou použitelností.
Plný rozsah povinností podle CRA, zejména požadavky na bezpečný návrh a vývoj produktů, řízení kybernetických rizik, bezpečnostní aktualizace a další povinnosti výrobců, dovozců a distributorů, se začne uplatňovat právě až od 11. prosince 2027.
Společnosti, které vyvíjejí nebo dodávají produkty s digitálními prvky, by proto měly již nyní prověřit, zda jejich produkty do působnosti CRA spadají, určit, kdo bude odpovědný za vyhodnocení a případné oznámení zranitelnosti nebo incidentu, a nastavit procesy pro řízení zranitelností, bezpečnostní aktualizace, dokumentaci a komunikaci v dodavatelském řetězci.
Celý podzimní Digital Legal Update 2026 k přečtení zde.