Vyrábíte nebo dovážíte zařízení obsahující software? Vyvíjíte aplikace nebo prodáváte produkty, které komunikují s internetem či jinými zařízeními? Pak je nejvyšší čas zjistit, zda a do jaké míry se vás týká evropské nařízení o kybernetické odolnosti (Cyber Resilience Act – CRA).
Hlavní požadavky CRA se začnou uplatňovat od 11. prosince 2027, což možná působí jako dlouhá doba, jenže vývojový cyklus produktu může trvat rok a půl i déle. A pokud zjistíte problém s hardwarem nebo u některého ze svých dodavatelů, nemusí být jeho odstranění otázkou dnů, ba ani týdnů.
CRA přitom zdaleka není záležitostí pouze IT firem.
První otázka je zdánlivě jednoduchá: Kterých vašich produktů se CRA vlastně týká?
Máte třeba desítky či stovky produktů a každý může spadat do jiného režimu. Prvním krokem je proto produktová analýza. „Podíváme se na kompletní portfolio a zjistíme, co do působnosti CRA spadá a co nikoli,“ popisuje Vladislav Kocián, vedoucí laboratoře kybernetické bezpečnosti TÜV SÜD Czech.
U relevantních produktů přijde na řadu analýza kybernetických rizik, na jejímž základě firma stanoví nezbytná bezpečnostní opatření. Poté musí ověřit jejich účinnost.
Celý proces má dvě části, technickou a procesní. V technické odborníci zkontrolují splnění požadavků na základě dokumentace k produktu, fyzicky jej otestují a identifikují nedostatky. Firma je následně odstraní a účinnost nápravy znovu ověří.
Procesní část zahrnuje řízení kybernetické bezpečnosti během celého životního cyklu produktu: od zohlednění rizik při vývoji a výrobě přes sledování zranitelností a bezpečnostní aktualizace až po informování uživatelů a plnění oznamovacích povinností.
Výsledkem bude nejen bezpečnější výrobek, ale také dokumentace dokládající, že příslušné požadavky skutečně splňujete.
Součástí prokazování souladu s CRA musí být odpovídající praktické ověření účinnosti opatření, například tzv. penetračními testy a dalšími bezpečnostními zkouškami.
„Snažíme se primárně realizovat reálné ofenzivní útoky,“ vysvětluje Dalibor Zeman, Software Developer v TÜV SÜD Czech. „Pouhý výčet potenciálních zranitelností sice naznačí, kde by problém mohl být, ale neřekne vám, jak je zařízení skutečně zabezpečené.“
U chytré kamery se například prověřuje, zda se neoprávněná osoba nemůže dostat k obrazu nebo ovládání zařízení. Jinde se test pokouší obejít autentizaci či zneužít síťovou komunikaci. Problém navíc nemusí být jen v kódu, ale třeba v designu výrobku, zastaralém hardwaru nebo komponentě externího dodavatele.
Záběr CRA je široký – vztahuje se na produkty s digitálními prvky, jejichž zamýšlené nebo rozumně předvídatelné použití zahrnuje přímé či nepřímé datové spojení s jiným zařízením nebo sítí.
Může jít o počítače a routery, chytré domácí spotřebiče, připojené hračky, nositelnou elektroniku, desktopové i mobilní aplikace nebo digitální části fotovoltaických systémů. Ale třeba i o moderní traktory vybavené elektronikou a připojením k síti.
Vedle základní, tzv. defaultní kategorie rozeznává CRA také důležité a kritické produkty, pro které mohou platit přísnější postupy posuzování shody. Rozhodují přitom konkrétní funkce zařízení. Elektronická hračka například nemusí automaticky patřit mezi důležité produkty, ale pokud obsahuje sociálně interaktivní funkce, jako je mluvení či natáčení, nebo umožňuje sledování polohy, může již spadat do Class I.
CRA se netýká pouze společností, které produkty samy vyvíjejí a vyrábějí. Česká firma může například dovážet a uvádět na evropský trh elektroniku z Asie – v takovém případě musí ověřit, že výrobce provedl příslušné posouzení shody, vytvořil technickou dokumentaci a splnil další požadavky CRA. Jenže importér s desítkami zahraničních dodavatelů nemusí mít vlastní odborníky schopné tuto otázku posoudit. A pouhé spoléhání na ujištění výrobce nemusí být dostačující.
Také velcí odběratelé mohou od svých dodavatelů požadovat věrohodné doložení toho, že jejich produkty evropské požadavky skutečně splňují.
Totéž se týká jednotlivých součástí. „Výrobce musí zajistit, že komponenty integrované v produktu neohrozí jeho kybernetickou bezpečnost. Musí si tedy řídit celý svůj dodavatelský řetězec,“ upozorňuje Kocián.
Důležitým nástrojem je v tomto ohledu SBOM (Software Bill of Materials), zjednodušeně softwarový kusovník obsahující seznam komponent a závislostí. Pokud se objeví bezpečnostní chyba například v určité knihovně, SBOM umožňuje zjistit, zda se nachází také v daném produktu.
„To bude podle mě kámen úrazu mnoha firem,“ upozorňuje Zeman. Pokud má společnost vlastní vývoj a kontrolu nad zdrojovým kódem, může tvorbu SBOM výrazně automatizovat. U dlouhého dodavatelského řetězce může být získání potřebných informací podstatně složitější.
Splnění požadavků CRA musí výrobce před uvedením produktu na trh doložit v rámci příslušného posouzení shody. Pokud požadavky splňuje, výrobce vypracuje EU prohlášení o shodě a opatří produkt označením CE.
Tím ale jeho odpovědnost za kybernetickou bezpečnost nekončí. Průběžně se objevují nové zranitelnosti a firma musí mít nastaven proces na jejich sledování, vyhodnocování a řešení. K tomu musí umožnit také hlášení bezpečnostních problémů externími subjekty či uživateli.
Pro automatizované sledování databází známých zranitelností lze využít již zmíněný SBOM jako vstup. Společnost TÜV SÜD Czech pro tento účel vyvinula nástroj VulnScan, který dokáže kontrolovat, zda se u některé z komponent produktu neobjevila nová známá zranitelnost.
Výrobce musí rovněž určit dobu bezpečnostní podpory, během níž zranitelnosti řeší a poskytuje bezpečnostní aktualizace. CRA obecně stanoví dobu nejméně pěti let, pokud očekávaná doba používání produktu není kratší.
CRA je třeba odlišovat od další evropské kyberbezpečnostní regulace – směrnice NIS2. Rozdíl lze zjednodušeně popsat takto: NIS2 se ptá, jak bezpečně funguje organizace. CRA se zaměřuje na bezpečnost produktu uváděného na trh.
Dobře je to vidět například u fotovoltaiky. Střídač, bateriové úložiště, řídicí jednotka či aplikace mohou být posuzovány podle CRA. Pokud je celý systém součástí energetické infrastruktury organizace podléhající NIS2, vstupuje do hry zároveň druhá rovina kybernetické bezpečnosti.
Firma, která už NIS2 řešila, může mít výhodu: je zvyklá pracovat s bezpečnostními riziky, procesy a odpovědnostmi. Splnění NIS2 ale samo o sobě neznamená splnění CRA.
„Hlavní požadavky CRA se začnou uplatňovat od 11. prosince 2027, oznamovací povinnosti výrobců ale přicházejí podstatně dříve.“
Od 11. září 2026 začínají platit oznamovací povinnosti týkající se aktivně zneužívaných zranitelností a závažných bezpečnostních incidentů. U aktivně zneužívané zranitelnosti počítá CRA s prvotním upozorněním nejpozději do 24 hodin od chvíle, kdy se o ní výrobce dozví, a následným podrobnějším oznámením do 72 hodin.
Za porušení základních požadavků na kybernetickou bezpečnost a některých klíčových povinností může být uložena pokuta až 15 milionů eur nebo 2,5 procenta celkového celosvětového ročního obratu společnosti za předchozí finanční rok, podle toho, která částka je vyšší.
Důvodem k časné přípravě ale není jen hrozba sankcí. „Vývojový cyklus může klidně trvat rok a půl nebo déle,“ upozorňuje Kocián. Problém v dodavatelském řetězci nebo nutnost nahradit zastaralý hardware může celý proces ještě prodloužit.
CRA tak není tématem, které lze odložit až na rok 2027.
„Je potřeba se tomu začít věnovat, vložit do toho úsilí a nějaké prostředky, ale není to neřešitelný problém ani důvod k panice,“ shrnuje Kocián. „Jakmile se firmy začnou jednotlivými požadavky zabývat, často zjistí, že část potřebných kroků už nějakým způsobem dělají.“
1. Zmapovat portfolio
Zjistit, které produkty do působnosti CRA spadají a do jaké kategorie patří.
2. Vyhodnotit rizika
Pro každý relevantní produkt zpracovat analýzu kybernetických rizik a podle ní určit potřebná bezpečnostní opatření.
3. Prověřit produkt a jeho komponenty
Zkontrolovat technickou dokumentaci, software, hardware i komponenty od dodavatelů.
4. Prakticky otestovat zabezpečení
Ověřit účinnost bezpečnostních opatření, identifikovat nedostatky a po jejich odstranění provést potřebné ověření.
5. Nastavit práci se zranitelnostmi
Vytvořit SBOM, průběžně sledovat nové zranitelnosti, umožnit jejich hlášení a nastavit aktualizace i povinný reporting.
6. Připravit dokumentaci a posouzení shody
Doložit splnění požadavků CRA a podle kategorie produktu provést příslušný postup posouzení shody.
7. Myslet na celý životní cyklus
Ani označením CE povinnosti nekončí. Produkt je nutné po stanovenou dobu podpory sledovat, aktualizovat a řešit nově objevené bezpečnostní problémy.
SELECT YOUR LOCATION
Global
Americas
Asia
Europe
Middle East and Africa
