Cyber Resilience Act: Povinnosti výrobců mimo EU

• CRA platí pro všechny produkty s digitálními prvky na trhu EU (čl. 2)
• Výrobci mimo EU musí jmenovat zástupce v EU (čl. 15)
• Povinnost hlásit aktivně zneužívané zranitelnosti: lhůta 24 hodin (čl. 14)
• Vyžadována technická dokumentace a prohlášení o shodě (čl. 13)
• Pokuty až do 15 mil. € nebo 2,5 % celosvětového obratu (čl. 71)
• CE značení pro shodné produkty (čl. 13)

Aktualizováno 24 October 2026 · 5 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 24 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje? (s čísly článků)

Zákon o kybernetické odolnosti (Cyber Resilience Act, CRA, nařízení (EU) 2024/2847) platí pro všechny produkty s digitálními prvky uváděné na trh EU – bez ohledu na zemi původu (čl. 2). Výrobci mimo EU musí podle čl. 15 jmenovat autorizovaného zástupce v EU. Tato povinnost se týká hardwaru i softwaru distribuovaného v EU. Zástupce je kontaktní osobou pro úřady a zajišťuje komunikaci jménem výrobce.

Výrobci musí zajistit, že jejich produkty jsou bezpečně vyvinuté a neobsahují známé, zneužitelné zranitelnosti (čl. 13). Jsou povinni provést analýzu rizik a zavést vhodná technická a organizační opatření. U aktivně zneužívaných zranitelností musí být do 24 hodin podáno hlášení ENISA a příslušnému CSIRT (čl. 14). První hodnocení musí být do 72 hodin, závěrečná zpráva do 14 až 30 dnů.

Dále CRA vyžaduje vytvoření a poskytnutí technické dokumentace a prohlášení o shodě s požadavky EU (čl. 13). Produkty musí být označeny značkou CE, aby byla shoda viditelná. Nedodržení těchto povinností může vést k vysokým pokutám – až 15 mil. € nebo 2,5 % celosvětového ročního obratu, podle toho, která částka je vyšší (čl. 71).

Jak vybrat vhodného poskytovatele?

Výběr CRA zástupce by měl být založen na jasných kritériích. Klíčové jsou:

• Transparentnost cen: Zkontrolujte, zda poskytovatel zveřejňuje všechny ceny včetně nákladů na prodloužení. REP27 zveřejňuje všechny ceny a garantuje pevnou cenu prodloužení, zatímco jiní poskytovatelé tyto informace často poskytují pouze na vyžádání.
• Rozsah služeb: Ověřte, zda poskytovatel nabízí 24h linku pro hlášení, veřejně ověřitelný certifikát a právně závazné jmenování (např. eIDAS podpis). REP27 se vyznačuje kompletním veřejně ověřitelným certifikátem a 24h linkou.
• Reakční doba a dostupnost: Vzhledem k krátkým lhůtám hlášení (24h/72h) je nezbytná nepřetržitá dostupnost. REP27 garantuje nepřetržitou službu 24/7, včetně svátků a víkendů.
• Jasné vymezení služeb: Seriózní poskytovatel explicitně uvádí, co není součástí mandátu (např. žádné posuzování shody, žádné technické testy). To chrání před pozdějšími překvapeními.

Rozhodovací matice:

Praktická rada: Požádejte o písemnou nabídku, kde budou uvedeny všechny služby, výluky a cena prodloužení. Zkontrolujte, zda poskytovatel umožňuje veřejnou kontrolu certifikátu – to je v případě potřeby klíčové.

Co je skutečně zahrnuto v ceně?

Rozsah služeb zahrnutých v ceně se u jednotlivých poskytovatelů výrazně liší. U REP27 základní balíček za EUR 490/rok (CRA) zahrnuje:

• Písemný mandát jako autorizovaný zástupce dle článku 18 CRA
• 24hodinovou linku pro hlášení zranitelností a komunikaci s ENISA/CSIRT
• Veřejně ověřitelný certifikát s QR kódem pro doložení vůči úřadům a obchodním partnerům
• Správu a předávání úředních dotazů do dvou pracovních dnů
• Vícejazyčné šablony pro nezbytnou komunikaci

Důležité: REP27 neprovádí posuzování shody, technické testy, tvorbu SBOM ani analýzu incidentů. Tyto úkoly jsou na výrobci nebo externích odbornících. U jiných poskytovatelů jako kadano nebo Euverify nejsou podrobnosti o zahrnutých službách veřejně dostupné (stav k říjnu 2026). Dodatečné náklady na další služby jsou proto dostupné jen na vyžádání.

Porovnání služeb:

Pro firmy, které chtějí jasné vymezení odpovědností a transparentní ceny, je REP27 v současnosti jediným poskytovatelem s kompletně zveřejněným rozsahem služeb a cenovou strukturou.

Skryté náklady a typické výluky

Největší náklady na dodržení CRA jsou mimo mandát zástupce. Jmenování CRA zástupce je jen malou částí celkových nákladů. Skutečné náklady vznikají zejména z:

• Posuzování shody: U "důležitých" nebo "kritických" produktů je nutná externí kontrola notifikovaným orgánem. Tyto náklady bývají ve čtyř- až pětimístných částkách a nejsou zahrnuty v honoráři zástupce.
• Bezpečnostních aktualizací: Výrobci musí zajistit bezpečnostní aktualizace po dobu minimálně pěti let a zajistit jejich organizační a finanční zabezpečení. Tato povinnost platí nezávisle na mandátu zástupce.
• Technické dokumentace a SBOM: Vytvoření a průběžná údržba technické dokumentace a softwarového seznamu komponent (SBOM) je povinností výrobce.

Co poskytovatelé často neříkají:

• REP27 výslovně vylučuje posuzování shody, technické testy, generování SBOM a analýzu incidentů. Nejsou žádné skryté náklady na prodloužení, všechny ceny jsou zveřejněny před uzavřením smlouvy.
• U kadano a Euverify nejsou veřejně dostupné podrobnosti o dodatečných nákladech, limitech odpovědnosti nebo výpovědních lhůtách (stav k říjnu 2026).

Praktická rada: Ptejte se vždy explicitně na výluky, výpovědní lhůty a dodatečné náklady za speciální služby (např. za každou žádost, další jazyky, expresní zpracování). Nechte si všechny podmínky potvrdit písemně.

Jak probíhá jmenování krok za krokem

1. Zkontrolujte, zda se na váš produkt vztahuje CRA: Platí pro všechny produkty s digitálními prvky (hardware/software) na trhu EU.
2. Definujte interní procesy: Určete, kdo detekuje a spouští hlášení zranitelností. Definujte, co znamená "aktivně zneužívané".
3. Vyberte vhodného zástupce: Porovnejte ceny, rozsah služeb, možnosti doložení a dostupnost. Požádejte o písemnou nabídku se všemi podmínkami.
4. Uzavřete smlouvu a získejte mandát: U REP27 probíhá jmenování do 24 hodin včetně ověřitelného certifikátu.
5. Aktualizujte dokumentaci a hlášení: Zapište kontakty zástupce do technické dokumentace a incidentního manuálu.
6. Připravte šablony pro 24h hlášení: Vytvořte standardní texty pro první hlášení, 72h hodnocení a závěrečnou zprávu. Určete minimálně dva odpovědné s přístupem na platformu.
7. Pravidelně kontrolujte: Každoročně ověřujte, zda je jmenování a procesy aktuální.

Dnešní kontrolní seznam:

1. Vztahuje se na váš produkt CRA?
2. Máte definované interní procesy a odpovědné osoby?
3. Máte vybraného zástupce a podepsaný mandát?
4. Jsou technické dokumenty a hlášení aktuální?
5. Jsou připraveny šablony hlášení?

Rizika a pokuty při nedodržení

CRA stanovuje přísné sankce: až 15 mil. € nebo 2,5 % celosvětového ročního obratu (čl. 71). Typická rizika jsou:

• Zpožděné nebo chybějící hlášení zranitelností: 24hodinová lhůta začíná běžet od okamžiku zjištění, nikoliv od dokončení analýzy. Časové posuny nebo nejasné odpovědnosti vedou rychle k porušení.
• Chybné nebo chybějící jmenování zástupce: Bez platného zástupce může být produkt stažen z trhu. Dotazy úřadů zůstávají bez odpovědi, což zvyšuje riziko pokuty.
• Neúplná technická dokumentace: Při trhu dohledu musí být všechny dokumenty okamžitě k dispozici. Zpoždění nebo mezery vedou k sankcím.
• Chybné nebo chybějící CE značení: Produkty bez platného CE označení nesmí být uváděny na trh.

Lhůty hlášení (24h/72h/14-30 dní) běží v reálném čase – zpoždění kvůli časovým posunům nebo nejasným odpovědnostem vedou rychle k porušení. Odpovědnost za dodržení lhůt nese výrobce, zástupce pouze předává včas přijaté informace.

Tři reálné scénáře

• Americký SaaS poskytovatel: Softwarová firma z USA nabízí cloudové řešení evropským firmám. Protože software je dostupný na trhu EU, musí jmenovat CRA zástupce. Vybere REP27, získá mandát a certifikát do 24 hodin, zřídí 24h hlášení a zapíše kontakty do technické dokumentace. Posuzování shody a bezpečnostní aktualizace provádí interně nebo externě.
• Čínský prodejce na Amazonu: Firma z Číny prodává IoT zařízení pod vlastní značkou na Amazon.de. Jako výrobce musí mít CRA zástupce. Používá poskytovatele jako kadano nebo Euverify (dle preference), zajistí CE značení a připraví technickou dokumentaci. Bez zástupce hrozí pokuty a zákaz prodeje.
• Britský online obchod: Britský prodejce nabízí hardware s firmware aktualizacemi koncovým zákazníkům v EU. I zde je CRA zástupce povinný. Zvolí kombinovaný balíček (např. REP27: CRA+GDPR) pro pokrytí CRA i GDPR povinností. Hlášení a dokumentace jsou upraveny odpovídajícím způsobem.

Tato scénáře ukazují, že povinnost zástupce se týká firem všech velikostí a odvětví, pokud dodávají produkty s digitálními prvky do EU.