The Prague Post - Cyber Resilience Act ukládá výrobcům hlásit zneužívané zranitelnosti

Od 11. září 2026 musí výrobci softwaru a zařízení oznamovat aktivně zneužívané zranitelnosti a závažné incidenty ovlivňující bezpečnost jejich produktů. A to je teprve začátek. V záplavě nové regulace a zkratek, jako je NIS2, DSA, AI Act, DNA, CSA2 či GIA možná zapadla další důležitá zkratka, vyprodukovaná evropskou legislativní smrští v rámci Digitální dekády. Za další zkratkou CRA se skrývá Cyber Resilience Act (Akt o kybernetické odolnosti). Text nařízení Evropského parlamentu a Rady (EU) 2024/2847 ze dne 23.

října 2024 dochází do fáze, ve které začíná postupně platit, a Komise k němu vydává další legislativní akty, jako jsou prováděcí nařízení a vodítka. První praktický dopad na český průmysl, vývojáře a výrobce nastal už nyní. Od 11. září 2026 musí výrobci softwaru a zařízení oznamovat aktivně zneužívané zranitelnosti a závažné incidenty ovlivňující bezpečnost jejich produktů. Jde o první praktický dopad evropského nařízení Cyber Resilience Act. Podstatně širší změna přijde 11. prosince 2027, kdy se kybernetická bezpečnost stane součástí požadavků na uvedení dotčených výrobků na evropský trh.

CRA propojuje odpovědnost za bezpečný návrh výrobku s povinností řešit jeho zranitelnosti a poskytovat bezpečnostní aktualizace. Dopadá na hardware, software i jejich komponenty, od síťových zařízení a firmwaru po komerční aplikace. Své postavení musí posoudit také firmy, které výrobek dodávají pod vlastní značkou. Přestože jej samy nevyvinuly, mohou nést povinnosti výrobce. Hlášení musí fungovat i o víkendu Výrobci nemusí panikařit, hlásit každou nalezenou chybu při složitosti dnešních zařízení by nebylo účelné a vlastně i nebezpečné.

Reportační povinnosti jsou u aktivně zneužívaných děr do jejich systémů. Samostatně se také oznamují závažné incidenty, které ovlivňují bezpečnost jejich produktů. Podle článku 14 CRA musí první upozornění následovat bez zbytečného odkladu, nejpozději do 24 hodin od zjištění příslušné skutečnosti. Podrobnější oznámení se podává do 72 hodin od stejného okamžiku. Každý výrobce tedy potřebuje určit procesy, odpovědné osoby, zajistit jejich zastupitelnost a propojit technické vyhodnocení s podáním hlášení. Zatěžovat je bude povinnost komunikovat aktivně zneužívané zranitelnosti v podstatě nonstop.

Neděle se světit nebude. Komu hlásit? V České republice zajišťuje úlohu koordinátora podle CRA Národní úřad pro kybernetickou a informařní bezpečnost (NÚKIB). Výrobci, pro které je příslušná Česká republika, mu oznámení podávají prostřednictvím jednotné platformy SRP, jejíž provoz zajišťuje evropská agentura ENISA. O té v digitální ekonomice ještě hodně uslyšíme. Mění se také posuzování shody výrobků Od 11. prosince 2027 bude nutné při uvádění produktů s digitálními prvky na trh doložit splnění požadavků CRA.

Kybernetická bezpečnost se promítne do technické dokumentace, EU prohlášení o shodě a označení CE. Dosavadní posouzení se nezabývá kybernetickou bezpečnostní, nově ale nebude pouhé doložení elektrické bezpečnosti nebo elektromagnetické kompatibility stačit. Vzhledem k termínům by výrobci měli zpozornět, některé podrobné požadavky v podobě harmonizovaných norem ještě nejsou hotové a teprve se připravují. CRA rozlišuje několik kategorií produktů, pro které stanoví rozdílné postupy prokazování bezpečnosti. U běžných produktů může výrobce posoudit splnění požadavků sám a doložit je technickou dokumentací.

U důležitých produktů třídy I, třeba routerů nebo operačních systémů, je vlastní posouzení podmíněno úplným použitím příslušných harmonizovaných norem nebo dalších podkladů uznaných nařízením. Pokud takové podklady nejsou k dispozici nebo je výrobce použije pouze částečně, musí splnění nepokrytých požadavků ověřit nezávislý subjekt oprávněný k posuzování shody podle CRA, označovaný jako oznámený subjekt. Právě proto je příprava harmonizovaných norem pro výrobce podstatná. Jejich dostupnost může rozhodnout o tom, zda bude moci shodu posoudit vlastními kapacitami, nebo bude muset zaplatit externí posouzení.

U důležitých produktů třídy II, třeba firewallů nebo hypervizorů, již samotné použití harmonizovaných norem k vlastnímu posouzení nestačí. CRA zde vyžaduje zapojení oznámeného subjektu, případně umožňuje využít uznaný evropský systém certifikace kybernetické bezpečnosti. Co to znamená pro odběratele technologií, zejména regulovaných podle NIS2 Provozovatelé regulovaných služeb podle zákona o kybernetické bezpečnosti potřebují dodavatele, který prokazatelně plní své povinnosti a poskytuje použitelné informace o bezpečnosti produktu. Na ně musí navázat vlastní vyhodnocení dopadu, instalace opravy nebo přijetí jiného ochranného opatření.

Zranitelnost může být obsažena také v softwarové komponentě třetí strany, kterou výrobce použil ve svém produktu. Výrobce proto musí vědět, ve kterých produktech a verzích se tato komponenta nachází, aby mohl informovat dotčené zákazníky a zajistit nápravu. K tomu slouží přehled použitých softwarových komponent, označovaný jako SBOM. Regulovaná osoba pak musí podle vlastní evidence zařízení a softwaru ověřit, zda se upozornění týká jeho provozu, a přijmout odpovídající opatření. Za bezpečnost produktu odpovídá výrobce.

Za jeho používání a ochranu vlastní služby odpovídá provozovatel. CRA vytváří podmínky, aby tuto odpovědnost mohli plnit ve vzájemné, doložitelné spolupráci. Je toho hodně. A to je teprve první fáze. Chcete se dozvědět více o Cyber Resilience Act a o tom, jak bude ovlivňovat regulované osoby podle ZKB/NIS2? Téma se bude probírat na ICT konferenci KKDS 2026 5. listopadu v NTK Praha.

D.Dvorak--TPP