Nařízení CRA v praxi: Sedm výkladových otázek k rozsahu povinností (Záznam webináře)

Nařízení o kybernetické odolnosti (Cyber Resilience Act) se často odbývá poznámkou, že „platí až od prosince 2027“. To je nebezpečné zjednodušení. Povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty začíná běžet 11. září 2026 a dopadá na všechny produkty s digitálními prvky, které jsou na trhu Evropské unie – bez ohledu na to, kdy na něj byly uvedeny.

CRA je navíc produktová regulace. Zatímco NIS2 a zákon o kybernetické bezpečnosti nastavují ekosystém procesů uvnitř organizace, CRA míří přímo do vývoje, výroby a životního cyklu konkrétního produktu. Není to jednorázová certifikace ani nálepka CE – je to provozní systém, který musíte udržet po celou stanovenou dobu podpory produktu.

Webinář je postavený na sedmi výkladových otázkách, které společně určují rozsah vašich povinností. Žádný teoretický průlet nařízením: Michaela Holíková vychází z hraničních dotazů klientů, s nimiž strávila celé letní měsíce, a každou kapitolu doplňuje rozhodovacím postupem a příklady z praxe.

Co se dozvím?

– Jak poznáte produkt s digitálními prvky – hardware i software, logické i fyzické připojení, výjimky (zdravotnické prostředky, vozidla, letectví, náhradní díly) a proč čistý SaaS zpravidla pod CRA nespadá
– „Teorie nákazy“ u SaaS a cloudu – kdy se cloudový backend stane součástí produktu a proč nerozhoduje umístění serveru
– Hraniční případy z praxe – SaaS ERP s instalovaným klientem, API a konektory, AI moduly, embedded firmware, zakázkový vývoj, složené produkty a produktové rodiny
– Tři kategorie produktů – základní, důležité (třída 1 a 2) a kritické, včetně role klíčové funkce produktu a toho, kde hledat požadavky (příloha 1 a příloha 4)
– Kdo je výrobce, dovozce a distributor – právní fikce, které vás do role výrobce dostanou i bez jediné řádky kódu, a co znamená účet developera v App Store
– Uvedení versus dodání na trh – rozhodující okamžik pro celé posouzení, rozdíl mezi hardwarem a čistým softwarem a co s dlouhodobými kontrakty na přelomu roku 2027
– Režim legacy produktů – proč aplikace uvedená na trh dnes nemusí plnit CRA ani po prosinci 2027
– Podstatná změna – tři modelové typy změn, kdy se z updatu stane nové uvedení na trh a proč vyjádření „to je jen udržovací změna“ nikoho neochrání
– Hlášení zranitelností a incidentů – co je trigger, lhůty 24 hodin / 72 hodin / 14 dní / 1 měsíc, platforma ENISA a dvousměrná oznamovací povinnost i vůči uživatelům
– Open source a softwarový dodavatelský řetězec – kdy komunitní přispěvatel výrobcem není, co jsou open source stewardi a co to znamená pro toho, kdo open source integruje do svého řešení
– Roadmapa přípravy – governance a matice odpovědností, inventura produktů a komponent, risk assessment, posouzení shody, smlouvy s dodavateli a proces vulnerability managementu
– Souběh s NIS2, ZKB, DORA, GDPR a AI Actem – kde se povinnosti překrývají a kde se ohlašovací povinnosti násobí

Aktuální stav českého adaptačního zákona

V závěru s Michaelou a s účastníky webináře diskutujeme o návrhu českého adaptačního zákona k CRA, který je v mezirezortním připomínkovém řízení. Řeč je o třinácti dozorových orgánech a riziku kompetenčních sporů, o povinné akreditaci subjektů posuzujících shodu (a o tom, co znamená její absence pro české výrobce, kteří budou potřebovat certifikaci od prosince 2027) i o kapacitách NÚKIB jako orgánu, který má zvládnout metodickou podporu, roli CSIRT týmu a technické posouzení při dozoru nad trhem zároveň.

Kdo webinář vedl?

Michaela Holíková – advokátní kancelář ROWAN LEGAL, kde se věnuje kybernetické bezpečnosti a souvisejícím regulacím. Před příchodem do advokacie působila v soukromém sektoru a také v oblasti energetiky, takže CRA sleduje od jeho prvních návrhů – nejprve z pozice compliance na straně výrobce, dnes jako poradkyně klientů.

Jak dlouhý je záznam?

120 minut

Pro koho je záznam určený?

Pro právníky in-house i v advokacii, produktové manažery, vývojáře a architekty, compliance a bezpečnostní manažery, nákup a každého, kdo uvádí na trh Evropské unie hardware nebo software – včetně těch, kdo si vývoj nechávají dělat na zakázku nebo pouze přeprodávají.

Kde najdu záznam po zakoupení?

Pokud máte zakoupený video kurzy (záznam webináře) nebo předplatné, přihlaste se na webu. Pokud si následně v e-shopu otevřete video kurz (záznam webináře), namísto vložení do košíku Vám bude k dispozici tlačítko „Zobrazit kurz“