Cyber Resilience Act: ohlasovacia povinnosť výrobcov začína 11. septembra

Ak vyrábate čokoľvek, čo obsahuje softvér — stroje, zariadenia, riadiace jednotky, aplikácie —, od 11. septembra 2026 vám vzniká nová ohlasovacia povinnosť. Netýka sa len nových produktov: vzťahuje sa aj na tie, ktoré ste uviedli na trh pred rokmi a ktoré sú u zákazníkov v prevádzke.

Cyber Resilience Act sa v slovenskom priestore takmer nespomína. Zatiaľ čo o NIS2 a zákone o kybernetickej bezpečnosti sa píše roky, o nariadení, ktoré dopadá na výrobcov, nevie väčšina dotknutých firiem nič. A práve výrobcov je na Slovensku veľa.

O čo ide

Nariadenie (EÚ) 2024/2847, známe ako Cyber Resilience Act, zavádza bezpečnostné požiadavky na produkty s digitálnymi prvkami — teda na hardvér aj softvér, ktorý sa priamo alebo nepriamo pripája k inému zariadeniu alebo k sieti.

Nariadenie nadobudlo účinnosť 10. decembra 2024, ale jeho povinnosti sa spúšťajú postupne:

Väčšina firiem si všimla až posledný riadok a naplánovala si prácu na rok 2027. Prvý termín je pritom o pár dní.

Koho sa to týka

Povinnosť dopadá na výrobcu produktu s digitálnymi prvkami. To je širšia množina, než sa na prvý pohľad zdá:

• výrobcovia strojov a zariadení s riadiacou elektronikou;
• výrobcovia embedded zariadení a IoT produktov;
• dodávatelia softvéru vrátane aplikácií a knižníc;
• výrobcovia zdravotníckej techniky, meracích a regulačných zariadení;
• firmy, ktoré produkt uvádzajú na trh pod vlastnou značkou, aj keď ho fyzicky vyrába niekto iný.

Na Slovensku a v Česku sú to firmy, ktoré sa doteraz kybernetickou reguláciou nezaoberali — pretože samy nespadajú pod zákon o kybernetickej bezpečnosti a nepovažovali sa za „IT firmy“.

Koho sa to na Slovensku týka

Presný počet sa dnes určiť nedá a je poctivé to povedať rovno: neexistuje verejný register výrobcov produktov s digitálnymi prvkami. Nariadenie navyše nemá veľkostné prahy — o tom, či sa naň vzťahuje, nerozhoduje počet zamestnancov, ale to, či podnik uvádza na trh Európskej únie vlastný produkt s digitálnymi prvkami.

Náš odhad vychádza z počtu spoločností v relevantných odvetviach podľa SK NACE — výroba počítačových, elektronických a optických výrobkov, elektrických zariadení, strojov a meracej techniky, a vývoj vlastných softvérových produktov — po zohľadnení toho, že nie každý podnik v týchto odvetviach uvádza na trh vlastný produkt v zmysle nariadenia. Časť z nich pracuje v zákazkovom vývoji, v subdodávke alebo montuje pod cudzou značkou.

Takto vychádza 500 až 1 500 podnikov. Je to kvalifikovaný odhad, nie údaj z registra.

Čo ich čaká, nie je to, čo väčšina z nich pozná z médií. Nejde o registráciu, analýzu rizík podľa vyhlášky ani o audit kybernetickej bezpečnosti — tie povinnosti má prevádzkovateľ základnej služby, nie výrobca. Výrobcu podľa tohto nariadenia čaká splnenie základných bezpečnostných požiadaviek na produkt, posúdenie zhody a označenie CE, technická dokumentácia vrátane zoznamu komponentov, zaobchádzanie so zraniteľnosťami počas celého obdobia podpory — a ohlasovanie aktívne zneužívaných zraniteľností a závažných incidentov.

Čo presne začína 11. septembra 2026

Od tohto dátumu musí výrobca hlásiť dve kategórie udalostí.

Aktívne zneužívanú zraniteľnosť vo svojom produkte — teda zraniteľnosť, o ktorej je dôvodné sa domnievať, že ju niekto skutočne zneužíva, nie len že teoreticky existuje.

Závažný incident s vplyvom na bezpečnosť produktu.

Lehoty

Čas začína plynúť od momentu, keď má výrobca dostatočnú istotu o zraniteľnosti alebo incidente.

Komu sa hlási

Jedným podaním cez jednotnú ohlasovaciu platformu. Hlásenie sa adresuje CSIRT tímu v krajine hlavného sídla výrobcu; agentúra ENISA sa informuje súčasne, nejde teda o druhé samostatné podanie. Výrobca musí zároveň informovať dotknutých používateľov a v odôvodnených prípadoch všetkých používateľov produktu.

Čo naopak ešte neplatí

Toto je rovnako dôležité, pretože okolo CRA vzniká zbytočná panika.

Od 11. septembra 2026 nezačínajú platiť konštrukčné požiadavky na bezpečnosť produktu, povinnosť posudzovania zhody, technická dokumentácia ani označenie CE podľa CRA. To všetko prichádza až 11. decembra 2027.

Inými slovami: teraz musíte vedieť hlásiť, nie mať produkt prerobený. Sú to dve úplne odlišné úrovne úsilia a je dobré si to uvedomiť skôr, než niekto v dobrej viere spustí projekt za desiatky tisíc eur o rok skôr, než treba.

Prekvapenie, ktoré prehliadne väčšina firiem

Ohlasovacia povinnosť sa vzťahuje aj na produkty, ktoré ste uviedli na trh pred 11. 12. 2027 — teda na všetko, čo máte dnes u zákazníkov v prevádzke.

Prakticky to znamená, že ak sa budúci mesiac objaví aktívne zneužívaná zraniteľnosť v riadiacej jednotke, ktorú ste predávali v rokoch 2019 až 2023, ohlasovacia povinnosť sa spustí. Bez ohľadu na to, že produkt vznikol dávno pred nariadením.

Pre firmy, ktoré nemajú prehľad o tom, aké verzie softvéru sú kde nasadené, je toto ten skutočný problém — nie samotné hlásenie.

Čo treba mať pripravené

Do 11. septembra 2026 sa nedá stihnúť veľa. Dá sa však stihnúť to podstatné — a je to prekvapivo málo:

1. Zodpovedná osoba a zástup. Kto rozhodne, že situácia napĺňa definíciu, a kto ho zastúpi cez víkend a počas dovolenky. Dvadsaťštyri hodín je krátka lehota a nezastaví sa v piatok o štvrtej.
2. Cesta, ako sa k vám informácia dostane. Zraniteľnosť sa spravidla nedozviete od seba, ale od výskumníka, zákazníka alebo z verejného zdroja. Ak nemáte zverejnený kontakt, informácia sa k vám nedostane včas — alebo vôbec.
3. Kontaktný bod pre hlásenie zraniteľností. Súbor security.txt a jasne uvedená e-mailová adresa. Je to hodina práce a zásadne to skracuje čas, kým sa informácia dostane k vám.
4. Zoznam produktov a verzií. Bez neho neviete povedať, koho sa zraniteľnosť týka — a ani koho máte informovať.
5. Šablóna hlásenia. Vopred pripravená štruktúra, aby sa v prvých hodinách neriešilo, čo sa vlastne píše.
6. Rozhodovacie kritérium. Jednoduchý postup, podľa ktorého viete odlíšiť „zraniteľnosť, ktorú riešime v ďalšom vydaní“ od „aktívne zneužívanej zraniteľnosti, ktorú hlásime do 24 hodín“.

Kde sa 24-hodinová lehota v praxi láme

Na papieri to vyzerá jednoducho. Prvotné upozornenie do 24 hodín od zistenia, plné oznámenie do 72 hodín, záverečná správa do štrnástich dní od sprístupnenia nápravy pri zraniteľnosti a do mesiaca pri závažnom incidente. Jedno podanie cez jednotnú ohlasovaciu platformu, ktoré sa adresuje CSIRT tímu v krajine hlavného sídla výrobcu; agentúra ENISA sa informuje súčasne. Žiadne samostatné hlásenia pre každý členský štát.

Lehota však beží od zistenia, nie od pondelka rána.

Najväčšou praktickou výzvou je aktívne zneužívaná zraniteľnosť, ktorá sa objaví v piatok večer. Mnohé firmy dnes nemajú nastavený nepretržitý proces, ktorý by v priebehu niekoľkých hodín dokázal potvrdiť závažnosť udalosti, zapojiť technických expertov, právnikov aj manažment a pripraviť prvotné hlásenie. Rozhodnutie, či ide o ohlasovanú udalosť, pritom nie je technické — je to rozhodnutie s právnym následkom a musí ho niekto urobiť aj cez víkend.

Z praxe u klientov vidíme, že problémom nebýva samotné odoslanie oznámenia. Problémom je získať v priebehu hodín spoľahlivú odpoveď na tri otázky: aký je rozsah, ktorých produktov a verzií sa to týka a aké je skutočné riziko pre používateľov. Kým tie odpovede nie sú, hlási sa buď neskoro, alebo sa hlási niečo, čo o dva dni vyzerá inak — a oprava už podaného hlásenia je vlastný problém.

Prakticky to znamená mať vopred rozhodnuté štyri veci: kto posudzuje závažnosť mimo pracovného času, kto má okamžitý prístup k zoznamu produktov a ich komponentov, kto podanie odosiela a kto komunikuje smerom von. Nič z toho sa nedá vymyslieť v sobotu.

Sťažuje to jedna okolnosť, ktorú nikto neovplyvní: jednotná ohlasovacia platforma sa spúšťa v ten istý deň, keď povinnosť začína. Prvé hlásenia teda pôjdu cez systém, ktorý si nikto nemohol vyskúšať v ostrej prevádzke.

Ako sa CRA prekrýva so zákonom o kybernetickej bezpečnosti

Ak už spadáte pod zákon č. 366/2024 Z. z., časť práce máte hotovú — proces hlásenia incidentov v režime 24 a 72 hodín funguje na rovnakej logike a dá sa rozšíriť, nie stavať odznova.

Ak pod zákon nespadáte, CRA je pre vás prvá kybernetická regulácia vôbec. To je nepríjemné, ale zároveň to znamená, že sa dá postaviť rovno správne a s výhľadom na požiadavky, ktoré prídu v decembri 2027.

Tretia skupina sú firmy, ktoré pod zákon nespadajú, ale dostávajú bezpečnostné dotazníky od odberateľov. Pre tie je CRA argumentom, prečo sa tomu venovať systematicky — nie kvôli jednému zákazníkovi, ale kvôli povinnosti, ktorá platí tak či tak.

Čo urobiť v najbližších dňoch

• Zistite, či ste výrobcom produktu s digitálnymi prvkami. Väčšina firiem, ktorých sa to týka, si to zatiaľ neuvedomuje.
• Určte zodpovednú osobu a zástup. Toto je jediný krok, ktorý sa nedá odložiť.
• Zverejnite kontakt na hlásenie zraniteľností. Hodina práce.
• Overte, či viete zostaviť zoznam produktov a nasadených verzií. Ak nie, začnite tým.

Zvyšok — dokumentácia, procesy, príprava na december 2027 — má čas. Prvých pár dní rozhoduje o tom, či v prípade incidentu vôbec zaregistrujete, že vám beží lehota.

Zdroje

• Nariadenie (EÚ) 2024/2847 — Cyber Resilience Act
• Európska komisia — Cyber Resilience Act
• Jones Day — 24-hodinové ohlasovacie povinnosti od 11. 9. 2026
• Hospodářská komora ČR — upozornenie pre výrobcov

---

Článok má informatívny charakter a nenahrádza právne poradenstvo.

---

Nie ste si istí, či ste výrobcom podľa CRA?

Za tridsať minút vám povieme, či na vás nariadenie dopadá, čo musíte mať pripravené do 11. septembra 2026 a čo má čas do decembra 2027. Bez záväzku.

Dohodnúť nezáväznú konzultáciu →

Právny stav overený k 4. 9. 2026. Pri právnom obsahu je zastaraný článok horší než žiadny — ak nájdete nezrovnalosť, napíšte nám na sk@iosec.eu.

Zdroje

• https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act