# Co je nařízení o kybernetické odolnosti (CRA)? > Nařízení o kybernetické odolnosti (Cyber Resilience Act, CRA) je nařízení Evropské unie ustanovující horizontální požadavky kybernetické bezpečnosti na produkty s digitálními prvky uváděné na trh EU. - Kanonická URL: https://yellowcube.eu/cs/glossary/cyber-resilience-act/ - Vydavatel: Yellow Cube - Jazyk: cs - Kontakt: hello@yellowcube.eu ## Obsah Formálně nařízení (EU) 2024/2847 se aplikuje tam, kde zamýšlený účel či přiměřeně předvídatelné použití produktu zahrnuje přímé či nepřímé logické či fyzické datové připojení k zařízení či síti. Produkt zahrnuje řešení vzdáleného zpracování dat pouze tehdy, když je tento software navržen a vyvinut výrobcem či pod jeho odpovědností a produkt by bez něj nevykonával jednu ze svých funkcí. Tento obecný rozsah podléhá výjimkám článku 2 a možným sektorovým omezením, včetně specifikovaných zdravotnických a in-vitro diagnostických prostředků, regulovaných motorových vozidel, certifikovaných civilních leteckých produktů, námořního vybavení, kvalifikujících identických náhradních dílů a produktů vyvinutých výhradně pro účely národní bezpečnosti či obrany nebo specificky navržených ke zpracování utajovaných informací. CRA vstoupilo v platnost 10. prosince 2024. Jeho hlavní povinnosti se používají od **11\. prosince 2027**. Ustanovení o oznamování orgánů posuzování shody se začala používat 11. června 2026 a povinnosti hlášení zranitelností a incidentů v článku 14 se používají od **11\. září 2026**. Článek 14 se také vztahuje na produkty v rozsahu uvedené na trh před hlavním datem aplikace; ostatní požadavky obecně ovlivňují dřívější produkty, když jsou od 11. prosince 2027 podstatně modifikovány. Přechodné případy stále vyžadují analýzu specifickou pro produkt. ### Klíčové body - **Povinnosti výrobce:** Provést a dokumentovat posouzení kybernetického rizika; navrhovat, vyvíjet a produkovat produkt tak, aby splňoval esenciální požadavky; řídit zranitelnosti; poskytovat bezpečnostní aktualizace a informace uživatelům; udržovat technickou dokumentaci; provádět požadované posouzení shody; a podporovat povinnosti dohledu nad trhem. - **Zabezpečený životní cyklus:** Požadavky řeší charakteristiky secure-by-design a secure-by-default, ochranu před neautorizovaným přístupem, důvěrnost a integritu, redukci útočné plochy, odolnost, bezpečnostní logování tam, kde je to vhodné, nakládání se zranitelnostmi, koordinované zveřejňování a nápravu během období podpory. - **Období podpory:** Výrobci musí určit a komunikovat období podpory odrážející očekávané použití produktu a faktory specifikované nařízením. Období musí obecně být alespoň pět let; kde se očekává použití produktu kratší než pět let, může odpovídat tomuto kratšímu období. Každá bezpečnostní aktualizace zpřístupněná během období podpory musí zůstat po vydání dostupná alespoň deset let či po zbytek období podpory, podle toho, co je delší. - **Shoda:** Mnoho produktů může použít procedury interní kontroly, zatímco produkty klasifikované jako důležité či kritické mohou vyžadovat přísnější procedury či posouzení třetí stranou podle kategorie, standardů, certifikace a platné cesty shody. Označení CE komunikuje shodu s platnými požadavky EU; není to slib, že zranitelnosti nikdy nebudou existovat. - **Role dodavatelského řetězce:** Dovozci a distributoři mají vlastní povinnosti, včetně kontrol před uvedením či zpřístupněním produktů na trhu a akce, když se domnívají, že produkt není ve shodě. Dovozce či distributor, který uvádí produkt na trh pod vlastním jménem či ochrannou známkou nebo provádí podstatnou modifikaci, je považován za výrobce a podléhá povinnostem výrobce. - **Hlášení od 11. září 2026:** Výrobci musí hlásit aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty skrze Jednotnou hlášecí platformu CRA. Oba procesy začínají včasným varováním do 24 hodin a plnším oznámením do 72 hodin. Závěrečná zpráva je splatná nejpozději 14 dní poté, co se stane dostupné nápravné či zmírňující opatření u aktivně zneužívané zranitelnosti, či do jednoho měsíce po 72hodinovém oznámení u závažného incidentu. - **Důležité omezení:** Rozsah, klasifikace, cesty shody, hlášení a přechodná data CRA závisí na produktu, roli ekonomického operátora a faktech. Označení CE a posouzení shody nedokazují, že produkt je prost zranitelností, a rozhodnutí o publikaci vyžadují kvalifikovaný právní přezkum. ### Související termíny [Zabezpečení od návrhu]() · [Koordinované zveřejnění zranitelností (CVD)]() · [Seznam softwarových komponent (SBOM)]() · [Směrnice NIS2]() ### Zdroje [EUR-Lex: Regulation (EU) 2024/2847, especially Articles 2, 13–16, 43, and 68–71](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) · [European Commission: Cyber Resilience Act](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act) · [European Commission: CRA Reporting Obligations](https://digital-strategy.ec.europa.eu/en/policies/cra-reporting) ## Pojďme budovat chytřejší kybernetickou obranu Společně Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera. [Spojte se s Yellow Cube]() ## Uvedení zdroje a rozsah Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.