Povinnosti výrobce mimo EU podle Cyber Resilience Act

• Povinnost jmenovat zástupce EU (čl. 18 CRA) pro výrobce mimo EU
• Hlášení zranitelností do 24 hodin (čl. 14 CRA) přes zástupce
• REP27: mandát CRA 490 €/rok (cena platná od října 2026)
• Rozsah služeb a omezení se liší, vždy ověřte předem
• Není zahrnuto: posouzení shody, testy, SBOM, technické reporty
• Importéři/distributoři bez prodeje na vlastní jméno nemají povinnost

Aktualizováno 21 October 2026 · 4 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 21 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje: klíčové články CRA

Cyber Resilience Act (CRA, nařízení EU 2024/2847) zavádí přísné povinnosti pro výrobce digitálních produktů, kteří chtějí prodávat v EU. Pokud výrobce nemá sídlo v EU, musí jmenovat autorizovaného zástupce v Unii podle článku 18. Tento zástupce slouží jako jediný kontaktní bod pro oficiální komunikaci s evropskými orgány dohledu trhu a zajišťuje příjem a přeposílání formálních požadavků.

Další klíčovou povinností je hlášení zranitelností: článek 14 CRA ukládá výrobcům povinnost oznámit do 24 hodin každou aktivně zneužívanou zranitelnost nebo vážný incident ovlivňující bezpečnost produktu. Hlášení probíhá přes platformu ENISA a koordinující CSIRT, určený podle sídla zástupce. Autorizovaný zástupce je proto nezbytný pro včasnost a správnost komunikace, zejména u firem s časovými pásmy mimo Evropu nebo bez personálu v EU.

Důležité: povinnost se týká pouze výrobců. Importéři a distributoři nemusí jmenovat zástupce CRA, pokud neprodávají na vlastní jméno. Prodejci na tržištích (Amazon, Etsy, eBay) musí posoudit, zda jsou podle definice CRA výrobci. Produkty již na trhu před platností CRA podléhají povinnostem hlášení.

• Článek 18 CRA: Jmenování zástupce EU pro výrobce mimo EU
• Článek 14 CRA: Hlášení zranitelností do 24 hodin
• Kdo je vyjmut: Importéři/distributoři bez prodeje na vlastní jméno

Jak vybrat zástupce CRA: kritéria, srovnání a klíčové otázky

Výběr zástupce CRA je strategické rozhodnutí ovlivňující soulad s předpisy, rychlost reakce na incidenty a transparentnost nákladů. Hlavní kritéria jsou:

• Uveřejněná cena a jasnost obnovy: Jen někteří poskytovatelé (např. REP27) zveřejňují transparentní ceny a podmínky obnovy; jiní vyžadují přímý kontakt pro podrobnosti.
• Zahrnuté služby: Vždy ověřte, co mandát zahrnuje: příjem a přeposílání požadavků, ověřitelný certifikát, podpora hlášení, 24/7 dostupnost.
• Výslovné vyloučení: Žádný zástupce nenabízí posouzení shody, bezpečnostní testy, generování SBOM nebo technické reporty – ty jsou na výrobci.
• Ověření mandátu: Preferujte poskytovatele s certifikátem s QR kódem a veřejnou ověřovací stránkou.
• Otázky k položení: Kdo podepisuje mandát? Jak probíhá postup při požadavku orgánů? V jakých jazycích odpovídají? Jaké jsou náklady na obnovu a případné další poplatky?

Následuje srovnávací tabulka deklarovaných služeb:

Transparentnost ohledně zahrnutí, vyloučení a cen je známkou důvěryhodnosti: vyhněte se poskytovatelům, kteří to nespecifikují jasně.

Co cena skutečně zahrnuje: transparentnost, limity a praktické srovnání

Mandát zástupce CRA pokrývá výhradně právní zastoupení a komunikaci s evropskými orgány. Cena zveřejněná REP27 (490 €/rok, 440 € obnova) zahrnuje:

• Písemný mandát dle čl. 18 CRA, elektronicky podepsaný
• Ověřitelný certifikát s QR kódem a veřejnou stránkou
• Příjem a přeposílání všech požadavků orgánů dohledu trhu
• Správu hlášení zranitelností dle termínů CRA

Není zahrnuto:

• Posouzení shody produktu (úkol notifikovaných orgánů, nikoliv zástupce)
• Bezpečnostní testy nebo generování SBOM
• Vypracování či zasílání technických reportů
• Provozní podpora nebo technické poradenství

Většina poskytovatelů nezveřejňuje detaily služeb: kadano (999 €/rok) a Euverify (590 £/rok) nespecifikují, co je v ceně. Vždy si vyžádejte podrobný seznam služeb před podpisem.

Dávejte pozor na automatické obnovy a fakturační politiku: REP27 garantuje jednu roční fakturu a cenu obnovy předem.

Skryté náklady a rizika: co opravdu zvážit pro soulad s CRA

Náklady na mandát zástupce jsou jen malou částí souladu s CRA. Hlavní, často skryté či podceňované náklady jsou:

• Posouzení shody: U produktů vyšší nebo kritické třídy je nutný notifikovaný orgán, náklady mohou výrazně převýšit cenu zástupce.
• Technická podpora a aktualizace: Výrobce musí zajistit minimálně pět let bezpečnostních aktualizací s vyhrazenými zdroji.
• Řízení incidentů a reporting: Neposkytnutí včasného hlášení zranitelnosti může vést k sankcím, zákazu prodeje a reputačním škodám.
• Obnovy a dodatečné náklady: Někteří poskytovatelé účtují příplatky za požadavky mimo pracovní dobu, další jazyky nebo složitou správu incidentů. REP27 uvádí, že žádné příplatky neúčtuje, ostatní to nespecifikují.

Největší provozní riziko je neexistence 24/7 dostupného kanálu hlášení: zástupce musí být vždy dosažitelný, i v noci a svátky, aby dodržel lhůtu 24 hodin.

Stručně, soulad s CRA vyžaduje plánování, interní zdroje a uvážený výběr zástupce, nelze se spoléhat jen na nejnižší cenu.

Jak probíhá jmenování: kroky a osvědčené postupy

Jmenování zástupce CRA má přesný postup, klíčový pro zajištění souladu a rychlé reakce na požadavky orgánů:

1. Zvažte potřebu: Jste výrobce mimo EU prodávající digitální produkty v Unii? Pokud ano, pokračujte.
2. Vyberte poskytovatele: Zkoumejte zveřejněné ceny, zahrnuté služby, ověřitelnost mandátu a 24/7 dostupnost.
3. Požádejte o službu: Vyplňte žádost na webu vybraného poskytovatele.
4. Podepište mandát: Obdržíte a podepíšete písemný mandát dle čl. 18 CRA, ideálně s uznávaným elektronickým podpisem (např. eIDAS).
5. Získejte certifikát: Obdržíte ověřitelný certifikát (QR kód, veřejná stránka) a vložíte jej do technické dokumentace.
6. Aktualizujte interní postupy: Zahrňte údaje o zástupci do bezpečnostních politik, runbooku pro incidenty a technické dokumentace.
7. Připravte hlášení: Předvyplňte šablony pro hlášení zranitelností (early warning, notifikace 72h, závěrečná zpráva) a jmenujte minimálně dva submittery s přístupem na platformu ENISA.
8. Ověřte dostupnost: Ujistěte se, že zástupce je dosažitelný 24/7 pro včasné přeposlání hlášení.

Osvědčený postup: vždy si vyžádejte simulaci hlášení u poskytovatele před podpisem, abyste ověřili rychlost reakce a jasnost postupu.

Kontrolní seznam pro soulad s CRA (výrobci mimo EU)

1. Ověřte, zda prodáváte digitální produkty v EU
2. Klasifikujte produkt podle CRA (default, důležitý I/II, kritický)
3. Jmenujte zástupce EU s mandátem dle čl. 18
4. Připravte kanály a postupy pro hlášení zranitelností 24/7
5. Zdokumentujte jmenování v technické dokumentaci a interních politikách
6. Jmenujte minimálně dva submittery s přístupem na platformu ENISA
7. Předvyplňte šablony hlášení (early warning, notifikace, závěrečná zpráva)
8. Zajistěte zdroje na minimálně 5 let bezpečnostních aktualizací
9. Ověřte pokrytí zástupce ve všech relevantních zemích EU
10. Simulujte hlášení pro test provozní připravenosti

Co poskytovatelé často neříkají: vyloučení, limity a praktická rizika

• Mandát pokrývá jen právní zastoupení: Žádný zástupce nenabízí posouzení shody, bezpečnostní testy, SBOM nebo technickou podporu v základní ceně.
• Hlavní náklady jsou interní: Soulad s CRA vyžaduje zdroje na inženýrství, podporu a aktualizace, které nejsou součástí služby zástupce.
• Automatické obnovy a nezveřejněné ceny: Někteří poskytovatelé nezveřejňují cenu obnovy nebo uplatňují netransparentní zvýšení. REP27 zveřejňuje ceny a obnovy předem.
• Desk není vždy aktivní: Dostupnost 24/7 není vždy garantována: vždy se informujte, jak je řešeno hlášení mimo pracovní dobu.
• Omezená odpovědnost: Zástupce nenese technickou odpovědnost za produkt, pouze za přenos komunikace.
• Poplatky za požadavky: Někteří poskytovatelé mohou účtovat příplatky za složité požadavky, další jazyky nebo správu incidentů mimo pracovní dobu: vždy si ověřte před podpisem.

Rozhodovací matice: kdo musí jmenovat zástupce CRA

Tato matice pomáhá rychle určit povinnost jmenování podle role a obchodního modelu.

Praktické scénáře: tři reálné příklady a nejjednodušší řešení

• SaaS USA: Americká firma nabízí softwarovou platformu zákazníkům v EU. Musí jmenovat zástupce CRA, připravit kanály hlášení zranitelností a vložit certifikát do technické dokumentace. Řešení: REP27 nabízí mandát za 490 €/rok, 24/7 desk, ověřitelný certifikát.
• Prodejce Amazon Čína: Pokud je prodejce výrobcem digitálního produktu, musí jmenovat zástupce CRA a připravit hlášení. Pokud je jen přeprodejcem/importérem, povinnost neplatí. Řešení: posoudit definici výrobce dle CRA a jmenovat zástupce jen pokud je to nutné.
• Obchod UK: Britský online obchod vyrábějící a prodávající digitální zařízení v EU musí jmenovat zástupce CRA a připravit hlášení. Pokud jen importuje produkty třetích stran bez úprav a značkování, nemá povinnost. Řešení: vyjasnit roli v dodavatelském řetězci a vybrat poskytovatele s uveřejněnými cenami a aktivním deskem.

Ve všech scénářích volba transparentního poskytovatele snižuje rizika a nečekané náklady.