Upozornenia dodávateľov podľa CRA: Čo by mali softvéroví kupujúci vyžadovať

Autor: DataTip · Publikované 14. novembra 2026

CRA stanovuje povinnosti hlásenia pre výrobcov, ale tieto povinnosti vám presne nehovoria, kedy bude dodávateľ softvéru informovať vašu organizáciu ani čo bude jeho správa obsahovať. Oznámenia dodávateľov podľa CRA sú samostatnou otázkou zmluvných podmienok: kupujúci by mali posúdiť, kto bude kontaktovať, ako rýchlo a aké informácie pomôžu ich tímom reagovať.

CRA vyžaduje, aby výrobcovia hlásili kvalifikované aktívne zneužívané zraniteľnosti a závažné incidenty vrátane 24-hodinového prvotného upozornenia a priameho oznámenia dotknutým používateľom. Táto povinnosť neustanovuje univerzálnu lehotu medzi dodávateľom a zákazníkom. Kupujúci by mali posúdiť zmluvné podmienky dodávateľa z hľadiska jasnej kontaktnej cesty, očakávaného načasovania a užitočných informácií.

Požiadavky CRA na hlásenie nadobudli účinnosť 11. septembra 2026. Širší režim zhody produktov je naplánovaný na uplatňovanie od 11. decembra 2027. CRA sa opisuje ako právny predpis EÚ o kybernetickej bezpečnosti pre produkty s digitálnymi prvkami. Ten istý zdroj o hlásení zdôrazňuje 24-hodinové lehoty na hlásenie výrobcov, ale tieto regulačné hodiny nie sú plošnou lehotou pre každé oznámenie od dodávateľa zákazníkovi.

Vzťahuje sa CRA na produkt alebo službu, ktorú kupujete?

CRA sa vzťahuje na produkty s digitálnymi prvkami vrátane softvérových a hardvérových produktov, ich riešení na vzdialené spracovanie údajov a samostatne uvádzaných softvérových alebo hardvérových komponentov. Príklady zahŕňajú operačné systémy, mobilné aplikácie, sieťové zariadenia, firmvér, pripojené spotrebiteľské zariadenia a priemyselné riadiace jednotky.

Niektoré kategórie produktov sú vylúčené. Patria sem zdravotnícke pomôcky a in vitro diagnostiká, motorové vozidlá s typovým schválením, certifikované zariadenia civilného letectva a námorné zariadenia. Výnimky sa vzťahujú aj na produkty vyvinuté alebo upravené výlučne pre národnú bezpečnosť alebo obranu, produkty určené na spracovanie utajovaných informácií a náhradné diely vyrobené podľa rovnakých špecifikácií ako diely, ktoré nahrádzajú.

Samostatný softvér ako služba (SaaS) je vo všeobecnosti mimo pôsobnosti CRA. Uvedená výnimka sa uplatňuje, keď riešenie na vzdialené spracovanie údajov navrhuje a vyvíja výrobca a produkt bez tohto riešenia nemôže vykonávať svoje funkcie. Nepredpokladajte teda, že každá služba SaaS alebo dodávateľ cloudových služieb spadá pod CRA.

Pre kupujúceho je to prvá hranica, ktorú treba určiť: identifikovať produkt alebo komponent spojený so službou a či sa CRA môže uplatňovať. Zákon nie je univerzálnym pravidlom nahlasovania incidentov pre každý softvérový vzťah.

Kto má povinnosť nahlasovania podľa CRA?

Povinnosť nahlasovania majú výrobcovia. Výrobca je strana, ktorá produkt vyvíja alebo vyrába, dáva ho navrhnúť alebo vyrobiť a uvádza ho na trh pod vlastným menom alebo ochrannou známkou. Strana, ktorá podstatne upraví produkt už uvedený na trh, sa pre účely CRA tiež stáva výrobcom.

Dovozcovia a distribútori sami nepodávajú hlásenia výrobcu. Keď sa dozvedia o zraniteľnosti, musia bez zbytočného odkladu informovať výrobcu. Ak produkt predstavuje významné kybernetické bezpečnostné riziko, musia okamžite informovať orgány dohľadu nad trhom členských štátov, v ktorých tento produkt sprístupnili.

Správcovia open-source softvéru majú samostatný, ľahší režim. Poskytnuté hlásenie opisuje pozíciu Európskej komisie tak, že začiatok ich povinností nahlasovania stanovuje na 11. decembra 2027.

Tieto rozdiely sú dôležité, keď kupujúci rokuje s dovozcom, distribútorom alebo podnikom, ktorý predáva produkt pod vlastnou značkou. Obchodný dodávateľ a právny výrobca nemusia byť tá istá strana. Kupujúci by mali určiť, kto s nimi bude komunikovať; právna povinnosť výrobcu a záväzok dodávateľa informovať zákazníka zostávajú odlišné.

Ktoré zraniteľnosti a incidenty spúšťajú povinnosť nahlasovania?

Spúšťače nahlasovania podľa CRA opísané v tomto článku sú aktívne zneužívané zraniteľnosti a závažné incidenty ovplyvňujúce bezpečnosť produktu. Neznamenajú, že každá zraniteľnosť, zistenie z testovania alebo bezpečnostná udalosť automaticky spúšťa nahlásenie.

Aktívne zneužívaná zraniteľnosť vyžaduje spoľahlivý dôkaz, že ju zlomyseľný aktér zneužil bez povolenia vlastníka systému. Bezpečnostné testovanie v dobrej viere a koordinované zverejnenie bez zlomyseľného úmyslu túto povinnosť nahlasovania nespúšťajú.

Závažný incident je taký, ktorý negatívne ovplyvňuje alebo by mohol negatívne ovplyvniť dostupnosť, autentickosť, integritu alebo dôvernosť produktových údajov či funkcií. Definícia zahŕňa aj určité incidenty týkajúce sa škodlivého kódu. Poskytnuté podklady sú pri rozprave o závažných incidentoch skrátené, a preto nepodporujú úplnejší zoznam incidentových scenárov.

Tieto definície spúšťačov pomáhajú kupujúcim pochopiť, čoho sa týka povinnosť nahlasovania výrobcu. Samy o sebe však nedefinujú každú udalosť, ktorú musí dodávateľ nahlásiť priamo zákazníkovi podľa svojich podmienok.

Čo znamenajú lehoty nahlasovania podľa CRA pre kupujúcich?

V prípade kvalifikovanej aktívne zneužívanej zraniteľnosti alebo závažného incidentu poskytnuté podklady opisujú 24-hodinové prvotné upozornenie a priame oznámenie dotknutým používateľom. Požiadavky na nahlasovanie začali platiť 11. septembra 2026; širší režim súladu produktov má platiť od 11. decembra 2027.

Tieto dátumy a povinnosti opisujú regulačný rámec CRA. Nestanovujú však univerzálnu lehotu na informovanie zákazníkov ani nešpecifikujú kontaktné údaje každého kupujúceho, obsah oznámenia či zmluvné práva. Priame oznámenie dotknutým používateľom neodpovedá na otázku, či konkrétny dodávateľ bude váš tím informovať včas alebo poskytne informácie vo forme, ktorú vaša organizácia dokáže využiť.

Táto medzera je rozhodovacím bodom pre kupujúceho. Správa výrobcu príslušným orgánom a oznámenie dodávateľa jeho zákazníkovi spolu súvisia, no nie sú vzájomne zameniteľnými povinnosťami.

Čo by ste mali skontrolovať v oznámeniach dodávateľov podľa CRA?

Pri výbere alebo obnove posúďte, či podmienky a prevádzkové usporiadanie dodávateľa odpovedajú na tri praktické otázky: kto bude kontaktovať vašu organizáciu, ako rýchlo a aké informácie podporia vašu reakciu? Povinnosti CRA v oblasti hlásenia poskytujú kontext; nestanovujú všeobecnú lehotu od dodávateľa k zákazníkovi.
Skontrolujte, či dodávateľ vysvetľuje:

• Kto oznámenie odosiela a kam smeruje. Určite kontaktnú cestu a spôsob, akým sa oznámenie môže dostať k osobám zodpovedným za jeho posúdenie.
• Kedy dodávateľ očakáva, že vás bude informovať. Hľadajte očakávanie voči zákazníkovi, ktoré je odlišné od regulačnej ohlasovacej povinnosti výrobcu. Poskytnuté materiály neustanovujú univerzálnu lehotu pre oznámenia od dodávateľa kupujúcemu.
• Čo vám oznámenie povie. Zvážte, či bude opisovať udalosť a dotknutý produkt alebo službu a poskytne informácie o dostupných zmierňujúcich alebo nápravných opatreniach, ak sú známe.
• Ako sa budú zdieľať následné informácie. Počiatočné oznámenie nemusí odpovedať na každú otázku. Posúďte, či dodávateľ vysvetľuje, ako poskytne ďalšie informácie, keď sa jeho chápanie situácie vyvinie.
  Toto sú otázky na posúdenie v podmienkach dodávateľa, nie tvrdenie, že CRA vyžaduje konkrétnu zmluvnú klauzulu. Samotné znenie zmluvy nezaručuje regulačnú zhodu. Jeho praktická hodnota spočíva v objasnení komunikačnej závislosti: ak váš tím potrebuje informácie od dodávateľa na posúdenie udalosti a reakciu, kontaktná cesta, očakávaný čas a užitočné informácie by nemali zostať implicitné.

Časté otázky: Vyžaduje CRA, aby každý dodávateľ softvéru informoval zákazníkov do 24 hodín?

Poskytnuté hlásenie neustanovuje žiadnu plošnú lehotu od dodávateľa k zákazníkovi. 24-hodinové počiatočné upozornenie je súčasťou ohlasovacej povinnosti výrobcu podľa CRA. Kupujúci by mali samostatne posúdiť, aké načasovanie informovania zákazníkov poskytujú ich podmienky s dodávateľom.

Časté otázky: Vzťahuje sa CRA na samostatný SaaS?

Samostatný SaaS je vo všeobecnosti mimo pôsobnosti CRA, s výhradou uvedenej výnimky pre vzdialené riešenie spracovania údajov navrhnuté a vyvinuté výrobcom, ktoré je nevyhnutné pre fungovanie produktu. Kupujúci by nemali predpokladať, že každá služba SaaS je pokrytá.

Časté otázky: Sú dovozcovia a distribútori zodpovední za podávanie správ podľa CRA?

Nie. Povinnosť podávať správy majú výrobcovia. Dovozcovia a distribútori majú samostatné povinnosti informovať výrobcov o zraniteľnostiach a oznámiť príslušným orgánom dohľadu nad trhom členského štátu, keď produkt predstavuje významné riziko kybernetickej bezpečnosti.

Kľúčové zistenia

• Povinnosti podávania správ podľa CRA začali 11. septembra 2026; širší režim zhody produktov je naplánovaný na 11. decembra 2027.
• Výrobcovia hlásia kvalifikované udalosti. Dovozcovia a distribútori majú samostatné povinnosti informovať výrobcov alebo príslušné orgány v určených situáciách.
• Samostatný SaaS je vo všeobecnosti mimo pôsobnosti CRA, s výhradou uvedenej výnimky pre vzdialené riešenie spracovania údajov.
• Posúďte zmluvné podmienky dodávateľa, kto bude kontaktovať vašu organizáciu, ako rýchlo a aké informácie podporia vašu reakciu.

Praktické tipy

• Pri výbere alebo obnovení identifikujte kontaktnú cestu dodávateľa a spôsob, akým sa oznámenia dostanú k osobám zodpovedným za ich posúdenie.
• Odlišujte povinnosť výrobcu podávať správy podľa CRA od záväzku dodávateľa informovať zákazníka.
• Skontrolujte, aké informácie dodávateľ očakáva, že poskytne, a ako bude zdieľať aktualizácie, keď sa jeho chápanie vyvíja.