Nové nařízení EU. CRA v praxi: jak se dotkne lidí, vývojářů a e-shopů?

Kolem evropského nařízení CRA se strhla vlna paniky. Objevily se titulky, že „zabije open-source“, že každý, kdo dá kód na GitHub, bude čelit pokutám, a že hardware v Evropě podraží. Realita je podstatně klidnější a pro většinu makerů dokonce dobrá zpráva. V tomto článku si CRA rozebereme: co to je, proč to vzniklo, co z toho máte jako uživatel, a hlavně – jak se to dotýká bastlení, open-source a e-shopů, které k hardwaru přibalují vzorové kódy.

Co je CRA a proč vzniklo

CRA je zkratka pro Cyber Resilience Act, formálně nařízení (EU) 2024/2847. Je to takzvaně horizontální produktový zákon – nemíří na jedno odvětví, ale na všechny „produkty s digitálními prvky“ (zkratka PDE), které se prodávají na evropském trhu. Digitálním prvkem se myslí prakticky cokoliv, co se přímo nebo nepřímo připojuje k jinému zařízení nebo síti: hardware s firmwarem, samostatný software, knihovny, SDK.

Levné IP kamery, které za celou dobu životnosti nedostanou jedinou aktualizaci a kvůli známé díře se stanou součástí botnetu. IoT zařízení s napevno zadaným heslem admin/admin. Chytré žárovky, přes které se útočník dostane do domácí sítě, aniž by to majitel kdy zjistil.

Čemu má CRA předcházet a co řeší

Konkrétně se nařízení snaží zabránit několika opakujícím se problémům:

• Zařízení bez aktualizací. Produkt se prodá, výrobce na něj „zapomene“ a po čase objevená bezpečnostní díra tam zůstane už navěky. CRA vyžaduje poskytovat aktualizace po celou dobu podpory.
• Neošetřené zranitelnosti v dodavatelském řetězci. Když je díra v knihovně, kterou používají stovky produktů, musí existovat proces, jak se o ní dozvědět a reagovat.
• Netransparentnost. Kupující dnes nemá jak poznat bezpečný produkt od nebezpečného. CRA váže kyberbezpečnostní minimum na značku CE – stejně jako u elektrické bezpečnosti.
• Chybějící secure-by-design. Bezpečnost nesmí být přilepená až nakonec, ale zohledněná od návrhu.

Co tím uživatel získá

Z pohledu koncového uživatele – ať už kupujete modul k bastlení nebo chytrou domácnost – přináší CRA čtyři hmatatelné věci:

• Aktualizace jako standard. Produkty, u kterých se to dá rozumně očekávat, mají dostávat bezpečnostní aktualizace automaticky, s možností tuto volbu vypnout.
• Definovanou dobu podpory. Výrobce musí dobu podpory stanovit a po tuto dobu řešitzranitelnosti. Nařízení počítá s minimem pěti let, kratší doba je možná jen tehdy, pokud je kratší i předpokládaná životnost produktu.
• Značka CE = i kyberbezpečnostní minimum. Nově znamená, že výrobce doložil splnění kyberbezpečnostních požadavků a nese za to odpovědnost. Pozor, u běžných produktů jde o posouzení vlastními silami, nikoli o kontrolu třetí stranou.
• SBOM. Výrobci vedou soupis softwarových komponent (software bill of materials). Nemusí ho zveřejňovat ani dávat zákazníkům, je součástí technické dokumentace a na vyžádání ho předkládají orgánům dozoru. Pro uživatele to znamená hlavně to, že dodavatel dokáže rychle zjistit, které jeho produkty zasáhla díra v konkrétní knihovně.

Klíčové termíny

CRA se nezavádí naráz – povinnosti nabíhají postupně:

• 10. prosince 2024 – vstup v platnost. Nařízení začíná právně platit, spouští se přechodné lhůty. Zatím žádné okamžité povinnosti pro většinu subjektů.
• září 2026 – povinné hlášení. Výrobci musí hlásit aktivně zneužívané zranitelnosti a závažné incidenty. Povinnost se vztahuje i na produkty, které jsou už na trhu. Nejde ale o zpětnou účinnost: zranitelnosti, o jejichž aktivním zneužívání výrobce věděl před tímto datem, nemusí výrobce „řešit“.
• prosinec 2027 – plná účinnost. Všechny hlavní požadavky: secure-by-design, žádné známé zneužitelné díry, SBOM v dokumentaci, posouzení shody, CE značení pro kyberbezpečnost. Produkty uvedené na trh dříve spadají pod tyto požadavky až ve chvíli, kdy u nich dojde k podstatné úpravě.

Na koho CRA dopadá – a na koho ne

Tady je nejdůležitější část celého článku, protože právě jeho nepochopení stojí za většinou paniky. CRA pracuje s rozdílem mezi projektem a produktem.

Projekt je open-source software, na kterém pracujete, sdílíte ho na GitHubu, přijímáte pull-requesty. 

Produkt je komerčně „konzumovatelná“ verze uváděná na trh za účelem zisku. CRA míří na produkty a na ty, kdo je uvádějí na trh.

Nekomerční open-source vyvíjený mimo komerční aktivitu je z velké části mimo záběr nařízení.

Mimo záběr jsou navíc kategorie, které mají vlastní bezpečnostní pravidla – zdravotnické prostředky, automobily, civilní letectví.

Jak se to týká bastlení a open-source

Dobrá zpráva pro hobby scénu: pokud bastlíte, publikujete kód na GitHubu, píšete tutoriály a sdílíte návody bez komerčního záměru – CRA na vás jako na fyzickou osobu plnou tíhu povinností výrobce nevrhá. Váš repozitář se vzorovým kódem k ESP32 není „produkt uváděný na trh“.

Kdy se situace mění? Ve chvíli, kdy z projektu uděláte produkt. Například:

• Stanete se „výrobcem“, když vezmete open-source komponentu, zabudujete ji do produktu a ten uvedete na trh pod svým jménem. Pak nesete odpovědnost za kyberbezpečnost celého produktu, včetně těch open-source částí.
• Role „open-source steward“ je nová kategorie, kterou CRA zavádí – ale týká se jen právnických osob (nadace, konsorcia, firmy), které systematicky a dlouhodobě podporují vývoj open-source určeného pro komerční využití. Jednotlivý bastlíř s GitHub účtem stewardem není.
• Stewardi mají výrazně lehčí povinnosti než výrobci: žádné CE značení, žádné posouzení shody. Hlavně mají mít bezpečnostní politiku a hlásit aktivně zneužívané zranitelnosti. A pokuty za porušení hlášení se na stewardy vůbec nevztahují.

Jak se to týká e-shopů s hardwarem

E-shopy prodávající moduly, senzory a stavebnice a přibalující k nim vzorové kódy jsou specifický případ. Klíčové je, jakou roli u konkrétního produktu e-shop hraje, protože CRA rozlišuje tři a každá má jiné povinnosti:

• Distributor – nabízí produkt na trhu bez úprav. Ověřuje, že produkt nese CE značení a že výrobce a dovozce splnili své povinnosti. Nemusí sám držet technickou dokumentaci, ale musí umět na vyžádání poskytnout prohlášení o shodě a spolupracovat s dozorem.
• Dovozce (importer) – uvádí na trh EU produkt od výrobce mimo EU. Ověřuje, že výrobce provedl posouzení shody, vytvořil dokumentaci a připojil CE. Právě sem spadá spousta modulů z Číny.
• Výrobce – nejvíce povinností.

Rebranding a podstatné úpravy, které z vás udělají Výrobce: pokud dovozce nebo distributor uvede produkt na trh pod svým vlastním jménem či značkou, nebo produkt podstatně upraví, CRA na něj hledí jako na výrobce – se všemi povinnostmi včetně posouzení rizik, technické dokumentace a řešení zranitelností. To je přesně situace, do které se e-shop může snadno dostat u „vlastních“ produktů nebo rebrandovaných modulů.

A co ty vzorové kódy a open-source na GitHubu?

Přibalený vzorový kód, knihovna nebo příklad na GitHubu je typicky součást podpory produktu, ne samostatný komerční software uváděný na trh. Sám o sobě obvykle nespouští povinnosti výrobce softwaru. Jakmile se ale stane součástí produktu, který e-shop prodává pod svou značkou, spadá pod odpovědnost toho, kdo produkt uvádí na trh – a měl by být zohledněn v SBOM a v posouzení rizik. Praktické doporučení pro e-shopy: udržovat přehled komponent, mít cestu, jak eskalovat nahlášenou zranitelnost směrem k výrobci, a u vlastních nebo rebrandovaných produktů počítat s rolí výrobce.

Hlášení zranitelností od září 2026

První povinnost, která nabíhá, je hlášení. Zvlášť se řeší aktivně zneužívané zranitelnosti a zvlášť závažné incidenty. Lhůty se počítají od okamžiku, kdy se o problému dozvíte:

• Do 24 hodin – včasné varování.
• Do 72 hodin – podrobnější oznámení včetně přijatých opatření.

Do 14 dní od okamžiku, kdy je k dispozici nápravné nebo zmírňující opatření (u zranitelností) nebo do měsíce u závažných (u incidentů) – finální zpráva.

Hlásí se agentuře ENISA a příslušnému národnímu CSIRT. V Česku je klíčovým orgánem pro implementaci CRA NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost).

Týká se CRA i vás?

1. Uvádíte produkt na trh EU v rámci obchodní činnosti? Pokud ne (bastlíte, sdílíte nekomerčně) – pak se na vás toto nařízení nevztahuje.
2. Prodáváte hardware nebo software pod vlastní značkou nebo ho upravujete? Pokud ano – pravděpodobně jste v roli výrobce.
3. Jen přeprodáváte hotové produkty beze změn? Jste distributor – lehčí povinnosti (ověřit CE a dokumentaci).
4. Dovážíte z ciziny mimo EU? Jste dovozce – musíte ověřit, že výrobce splnil své povinnosti.

Pokud spadáte-li do více rolí, platí ta nejpřísnější.

Nejčastější mýty o CRA

• „CRA zabije open-source.“ Ne. Nekomerční open-source je z velké části mimo záběr a EU záměrně vytvořila lehčí režim pro stewardy (což bastlíř není).
• „Za svůj GitHub projekt budu muset platit certifikaci.“ Ne. Certifikace a CE se vážou na produkty uváděné na trh, ne na projekty.
• „Týká se to i mého Arduino tutoriálu.“ Ne. Návod ani vzorový kód sdílený nekomerčně není produkt.
• „Jsem jednotlivec, takže jsem steward.“ Ne. Steward je definován jako právnická osoba, ne fyzická.

Závěr

CRA není konec bastlení ani open-source. Je to pokus zvýšit bezpečnost u produktů, které si kupujeme a připojujeme do svých sítí – a odpovědnost za to hodit na toho, kdo je prodává a ne na uživatele. Pro drtivou většinu bastlířů – makerů, kteří bastlí, publikují kód a sdílejí návody, platí, že se jich plné povinnosti netýkají. Kdo ale začne prodávat vlastní hardware nebo software, měl by vědět, do jaké role spadá – a podle toho se připravit na dvě data: září 2026 a prosinec 2027.

Kde hledat oficiální informace

• Evropská komise – stránka o implementaci CRA (digital-strategy.ec.europa.eu)
• Oficiální FAQ Evropské komise k CRA
• ORC Working Group – FAQ zaměřené na open-source (orcwg.org)
• NÚKIB – národní orgán pro implementaci CRA v ČR

Tento článek slouží k orientaci a nenahrazuje právní poradenství. Závazné je vždy znění nařízení (EU) 2024/2847.