Oznámení dodavatelů podle CRA: Co by měli softwaroví zákazníci vyžadovat

Autor: DataTip · Publikováno 14. listopadu 2026

CRA stanoví povinnosti hlášení pro výrobce, tyto povinnosti vám však přesně neříkají, kdy bude dodavatel softwaru informovat vaši organizaci ani co bude jeho zpráva obsahovat. Oznámení dodavatelů podle CRA jsou samostatnou otázkou smluvních podmínek: kupující by měli posoudit, kdo bude kontaktovat, jak rychle a jaké informace pomohou jejich týmům reagovat.

CRA ukládá výrobcům povinnost hlásit kvalifikované aktivně zneužívané zranitelnosti a závažné incidenty, včetně 24hodinového prvotního upozornění a přímého oznámení dotčeným uživatelům. Tato povinnost však nestanoví univerzální lhůtu pro oznámení od dodavatele zákazníkovi. Kupující by měli posoudit smluvní podmínky dodavatele z hlediska jasné kontaktní cesty, očekávaného načasování a užitečných informací.

Požadavky CRA na hlášení vstoupily v platnost 11. září 2026. Širší režim shody produktů má platit od 11. prosince 2027. CRA je popisován jako legislativa EU o kybernetické bezpečnosti pro produkty s digitálními prvky. Stejné shrnutí upozorňuje na 24hodinové lhůty pro hlášení výrobců, ale tyto regulační hodiny nejsou paušální lhůtou pro každé oznámení od dodavatele zákazníkovi.

Vztahuje se CRA na produkt nebo službu, kterou kupujete?

CRA se vztahuje na produkty s digitálními prvky, včetně softwarových a hardwarových produktů, jejich řešení pro vzdálené zpracování dat a samostatně prodávaných softwarových nebo hardwarových komponent. Příklady zahrnují operační systémy, mobilní aplikace, síťová zařízení, firmware, připojená spotřebitelská zařízení a průmyslové regulátory.

Některé kategorie produktů jsou vyloučeny. Patří sem zdravotnické prostředky a in vitro diagnostika, schválené motorové vozidla, certifikovaná zařízení civilního letectví a námořní zařízení. Výjimky se také vztahují na produkty vyvinuté nebo upravené výhradně pro národní bezpečnost nebo obranu, produkty určené ke zpracování utajovaných informací a náhradní díly vyrobené podle stejných specifikací jako díly, které nahrazují.

Samostatný software jako služba (SaaS) je obecně mimo působnost CRA. Uvedená výjimka platí, pokud je řešení pro vzdálené zpracování dat navrženo a vyvinuto výrobcem a produkt nemůže plnit své funkce bez tohoto řešení. Nepředpokládejte tedy, že každá služba SaaS nebo dodavatel cloudu spadá pod CRA.

Pro kupujícího je toto první hranice, kterou je třeba stanovit: identifikovat produkt nebo komponentu spojenou se službou a zjistit, zda se CRA může vztahovat. Zákon není univerzálním pravidlem pro hlášení incidentů pro každý softwarový vztah.

Kdo má ohlašovací povinnost podle CRA?

Ohlašovací povinnost nesou výrobci. Výrobcem je strana, která produkt vyvíjí nebo vyrábí, nechává jej navrhnout nebo vyrobit a uvádí jej na trh pod svým vlastním jménem nebo ochrannou známkou. Strana, která podstatně upraví produkt již uvedený na trh, se pro účely CRA také stává výrobcem.

Dovozci a distributoři sami nepodávají hlášení výrobce. Když se dozvědí o zranitelnosti, musí bez zbytečného odkladu informovat výrobce. Pokud produkt představuje významné riziko pro kybernetickou bezpečnost, musí okamžitě informovat orgány dozoru nad trhem členských států, ve kterých produkt uvedli na trh.

Správci open-source softwaru mají samostatný, mírnější režim. Dodaná zpráva popisuje postoj Evropské komise tak, že počátek jejich ohlašovacích povinností stanoví na 11. prosince 2027.

Tyto rozdíly jsou důležité, když kupující jedná s dovozcem, distributorem nebo podnikem, který prodává produkt pod svou vlastní značkou. Obchodní dodavatel a právní výrobce nemusí být stejná strana. Kupující by měli zjistit, kdo s nimi bude komunikovat; právní povinnost výrobce a závazek dodavatele informovat zákazníka zůstávají odlišné.

Které zranitelnosti a incidenty spouštějí ohlašovací povinnost?

Zde popsané spouštěče ohlašování podle CRA jsou aktivně zneužívané zranitelnosti a závažné incidenty ovlivňující bezpečnost produktu. Neznamenají, že každá zranitelnost, zjištění z testování nebo bezpečnostní událost automaticky spouští ohlášení.

Aktivně zneužívaná zranitelnost vyžaduje spolehlivý důkaz, že ji zlomyslný aktér zneužil bez svolení vlastníka systému. Bezpečnostní testování v dobré víře a koordinované zveřejnění bez zlomyslného úmyslu tuto ohlašovací povinnost nespouštějí.

Závažný incident je takový, který negativně ovlivňuje nebo by mohl negativně ovlivnit dostupnost, autenticitu, integritu nebo důvěrnost dat či funkcí produktu. Definice zahrnuje také určité incidenty zahrnující škodlivý kód. Poskytnuté hlášení je v části pojednávající o závažných incidentech zkráceno, a nepodporuje tak úplnější seznam scénářů incidentů.

Tyto definice spouštěčů pomáhají kupujícím pochopit, čeho se týká ohlašovací povinnost výrobce. Samy o sobě však nedefinují každou událost, kterou musí dodavatel hlásit přímo zákazníkovi podle svých podmínek.

Co znamenají lhůty pro ohlašování podle CRA pro kupující?

U kvalifikované aktivně zneužívané zranitelnosti nebo závažného incidentu poskytnuté hlášení popisuje 24hodinové prvotní varování a přímé oznámení dotčeným uživatelům. Požadavky na ohlašování začaly platit 11. září 2026; širší režim shody produktů má platit od 11. prosince 2027.

Tato data a povinnosti popisují regulační rámec CRA. Nestanovují však univerzální lhůtu pro oznámení zákazníkům ani neurčují kontakt každého kupujícího, obsah oznámení nebo smluvní práva. Přímé oznámení dotčeným uživatelům neodpovídá na otázku, zda konkrétní dodavatel bude vaše týmy kontaktovat včas nebo poskytne informace ve formě, kterou vaše organizace dokáže využít.

Tato mezera je rozhodovacím bodem pro kupujícího. Hlášení výrobce příslušným orgánům a oznámení dodavatele jeho zákazníkovi spolu souvisejí, ale nejsou to zaměnitelné povinnosti.

Co byste měli zkontrolovat v oznámeních dodavatelů podle CRA?

Při výběru nebo obnově posuďte, zda podmínky a provozní uspořádání dodavatele odpovídají na tři praktické otázky: kdo bude kontaktovat vaši organizaci, jak rychle a jaké informace podpoří vaši reakci? Oznamovací povinnosti podle CRA poskytují kontext; nepředepisují obecnou lhůtu mezi dodavatelem a zákazníkem.
Zkontrolujte, zda dodavatel vysvětluje:

• Kdo oznámení zasílá a kam směřuje. Určete kontaktní cestu a způsob, jakým se oznámení může dostat k osobám odpovědným za jeho posouzení.
• Kdy dodavatel očekává, že vás bude informovat. Hledejte očekávání vůči zákazníkovi, které je odlišné od regulační oznamovací povinnosti výrobce. Dodaný materiál nestanovuje univerzální lhůtu pro oznámení od dodavatele kupujícímu.
• Co vám oznámení sdělí. Zvažte, zda popíše událost a dotčený produkt nebo službu a zda poskytne informace o dostupných zmírňujících nebo nápravných opatřeních, jsou-li známa.
• Jak budou sdíleny následné informace. Úvodní oznámení nemusí odpovědět na všechny otázky. Posuďte, zda dodavatel vysvětluje, jak poskytne další informace, jak se jeho porozumění vyvíjí.
  Toto jsou otázky k posouzení v podmínkách dodavatele, nikoli tvrzení, že CRA vyžaduje konkrétní smluvní ustanovení. Samotné znění smlouvy nezajišťuje soulad s předpisy. Jeho praktická hodnota spočívá v objasnění komunikační závislosti: pokud váš tým potřebuje informace od dodavatele k posouzení události a reakci, kontaktní cesta, očekávané načasování a užitečné informace by neměly zůstat implicitní.

Časté dotazy: Vyžaduje CRA, aby každý dodavatel softwaru informoval zákazníky do 24 hodin?

Dodané oznamovací materiály nestanovují žádnou plošnou lhůtu mezi dodavatelem a zákazníkem. Prvotní upozornění do 24 hodin je součástí oznamovací povinnosti výrobce podle CRA. Kupující by měli samostatně posoudit, jaké načasování oznámení zákazníkovi stanovují jejich smluvní podmínky s dodavatelem.

Časté dotazy: Vztahuje se CRA na samostatný SaaS?

Samostatný SaaS je obecně mimo působnost CRA, s výhradou uvedené výjimky pro výrobcem navržené a vyvinuté řešení vzdáleného zpracování dat, které je nezbytné pro funkce produktu. Kupující by neměli předpokládat, že se na každou službu SaaS vztahuje.

Časté dotazy: Jsou dovozci a distributoři odpovědní za podávání zpráv podle CRA?

Ne. Povinnost podávat zprávy nesou výrobci. Dovozci a distributoři mají samostatné povinnosti informovat výrobce o zranitelnostech a oznámit příslušným orgánům dohledu nad trhem členského státu, když produkt představuje významné riziko kybernetické bezpečnosti.

Klíčové poznatky

• Povinnosti podávání zpráv podle CRA začaly 11. září 2026; širší režim shody produktů je naplánován na 11. prosince 2027.
• Výrobci hlásí kvalifikované události. Dovozci a distributoři mají samostatné povinnosti informovat výrobce nebo příslušné orgány za stanovených okolností.
• Samostatný SaaS je obecně mimo působnost CRA, s výhradou uvedené výjimky pro řešení vzdáleného zpracování dat.
• Posuzujte smluvní podmínky dodavatele z hlediska toho, kdo bude kontaktovat vaši organizaci, jak rychle a jaké informace podpoří vaši reakci.

Praktické tipy

• Při výběru nebo obnově identifikujte kontaktní cestu k dodavateli a způsob, jakým se oznámení dostanou k osobám odpovědným za jejich posouzení.
• Rozlišujte povinnost výrobce podávat zprávy podle CRA od závazku dodavatele informovat zákazníka.
• Zkontrolujte, jaké informace dodavatel očekává, že poskytne, a jak bude sdílet aktualizace, jak se bude jeho porozumění vyvíjet.