Cyber Resilience Act

Čo to znamená

Cyber Resilience Act je nariadenie EÚ, ktoré ukladá výrobcom hardvéru a softvéru s digitálnymi prvkami navrhovať produkty bezpečne, opravovať zraniteľnosti počas celej doby podpory a hlásiť aktívne zneužívané chyby. Týka sa napríklad routerov, inteligentných zariadení, aplikácií aj firemného softvéru.

Na rozdiel od NIS2, ktorá rieši kybernetickú bezpečnosť organizácií, sa CRA zameriava na samotné produkty. Bezpečnosť sa tak stáva podmienkou uvedenia na trh rovnako ako elektrická bezpečnosť, a bez splnenia požiadaviek produkt nesmie niesť označenie CE.

Povinnosti nabiehajú postupne. Hlásenie aktívne zneužívaných zraniteľností a závažných incidentov platí od septembra 2026, väčšina ostatných požiadaviek na návrh, dokumentáciu a posudzovanie zhody od decembra 2027. Prísnejší režim platí pre dôležité a kritické kategórie produktov.

Ako to funguje v praxi

Výrobca musí posúdiť riziká, dodávať produkt bez známych zneužiteľných zraniteľností, s bezpečným predvoleným nastavením a poskytovať bezpečnostné aktualizácie po stanovenú dobu podpory. Súčasťou je aj zoznam použitých komponentov a proces na prijímanie hlásení o chybách.

Firmy, ktoré si softvér dávajú vyvinúť na mieru pre vlastnú potrebu, priamo nespadajú pod povinnosti výrobcu. Ak ho však ďalej predávajú zákazníkom, stávajú sa výrobcom. V zmluve o vývoji softvéru by preto malo byť jasné, kto zodpovedá za aktualizácie a hlásenia.

Pre IT tímy je CRA dobrou správou: produkty budú mať jasnejšiu dobu podpory a výrobcovia budú zraniteľnosti zverejňovať s označením CVE. To uľahčí patch management a výber dodávateľov, ktorí berú bezpečnosť vážne.

Na čo si dať pozor

Za nedodržanie hrozia vysoké pokuty a stiahnutie produktu z trhu. Malé softvérové firmy a výrobcovia zariadení by mali včas zmapovať, ktoré produkty spadajú pod nariadenie a aké posúdenie zhody potrebujú, pretože príprava dokumentácie trvá mesiace.

Otvorený softvér vyvíjaný mimo obchodnej činnosti je z nariadenia vylúčený, no firma, ktorá open source komponenty zabudováva do svojho produktu, za ich bezpečnosť zodpovedá. Vhodné je preveriť aj poistenie zodpovednosti za výrobok.