Povinnosti podle Cyber Resilience Act pro výrobce mimo EU

• CRA platí pro výrobce mimo EU prodávající na trhu EU od 11. září 2026
• Článek 18: povinnost mít autorizovaného zástupce v EU, pokud nemají sídlo v EU
• Povinnost hlásit zneužité zranitelnosti do 24 hodin (článek 14)
• Postup posuzování shody závisí na třídě produktu
• Pokuty až 15 milionů eur nebo 2,5 % obratu za porušení

Aktualizováno 18 October 2026 · 9 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 18 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje (s čísly článků)

Cyber Resilience Act (CRA) je nová regulace EU pro produkty s digitálními prvky, včetně hardwaru, softwaru a komponent. Platí pro všechny výrobce bez ohledu na místo sídla, pokud jejich produkty uvádějí na trh EU. Zákon vstoupil v platnost 10. prosince 2024. Povinnost hlášení začíná 11. září 2026; plná shoda (včetně označení CE a posouzení shody) je požadována od 11. prosince 2027.

• Článek 18: Výrobci mimo EU musí jmenovat autorizovaného zástupce v EU pro každou produktovou řadu, pokud nemají sídlo v EU. Tento zástupce je oficiálním kontaktem pro úřady a tržní dohled.
• Článek 14: Výrobci musí hlásit aktivně zneužívané zranitelnosti a vážné incidenty ovlivňující bezpečnost produktu. Termíny jsou přísné: první varování do 24 hodin, úplné oznámení do 72 hodin a závěrečná zpráva do 14 dnů po nápravě nebo oznámení. Platformu pro hlášení spravuje ENISA, příjemce je určen státem členským zástupce.
• Přílohy I a II: Výrobci musí splnit základní požadavky na kybernetickou bezpečnost, včetně řešení zranitelností, vývoje bezpečného designu a jasných uživatelských pokynů v jazyce snadno srozumitelném uživatelům a úřadům.
• Posouzení shody: Požadovaný proces závisí na třídě produktu. Výchozí produkty mohou provést vlastní posouzení; důležité třídy I musí použít harmonizované normy nebo posouzení třetí stranou; důležité třídy II a kritické produkty vyžadují posouzení oznámeným subjektem nebo certifikačním schématem.
• Podpora: Výrobci musí poskytovat bezpečnostní aktualizace a řešení zranitelností po dobu deklarované podpory (minimálně pět let).
• Výjimky: Mikro a malé podniky a správci open-source jsou osvobozeni od pokut za pozdní hlášení, ale musí splnit technické a hlásící povinnosti.

Importéři a distributoři se stávají výrobci, pokud uvádějí produkty pod svým jménem nebo je podstatně upravují. Jinak zůstává odpovědnost za dodržení CRA a hlášení na původním výrobci.

Jak vybrat zástupce nebo poskytovatele compliance pro CRA

Výběr správného zástupce dle článku 18 nebo poskytovatele compliance je pro výrobce mimo EU klíčový. Trh se velmi liší cenou, transparentností a nabízenými službami. Na co si dát pozor:

• Právní subjekt a sídlo: Ověřte právní subjekt a sídlo v EU poskytovatele. Například REP27 je Europe Services, SE se sídlem v Praze a zapsaná v českém obchodním rejstříku. Vždy si to ověřte před platbou.
• Rozsah zmocnění: Někteří poskytovatelé nabízejí pouze zmocnění dle článku 18 (jak vyžaduje zákon), jiní zahrnují i GDPR nebo NIS2 zastoupení. Potvrďte, že zmocnění je omezeno na článek 18(3) a nezahrnuje povinnosti zakázané článkem 18(2).
• Transparentnost cen: Hledejte poskytovatele, kteří zveřejňují ceny pro první rok i obnovu. Pozor na nízké úvodní ceny následované tichým zdražením. REP27 například jasně uvádí ceny obnovy vedle prvního roku.
• Ověření a podpora: Zajistěte, že poskytovatel nabízí ověřitelný certifikát, veřejnou metodu ověření a obsluhovaný kontaktní kanál. Zeptejte se na postup přeposílání požadavků úřadům nebo CSIRT, podporované jazyky a reakční doby.
• Balení služeb: Pokud potřebujete i GDPR článek 27 nebo GPSR článek 16 zastoupení, někteří poskytovatelé (např. REP27) nabízejí kombinované balíčky za výhodnější cenu.

Rozhodovací matice:

Vždy si vyžádejte písemné zmocnění a certifikát před uvedením produktů na trh EU.

Co cena skutečně zahrnuje: srovnání poskytovatelů

Ceny a zahrnuté služby se výrazně liší. Zmocnění dle článku 18 je obvykle nejnižší externí náklad na dodržení CRA, ale mnozí poskytovatelé nezveřejňují podrobnosti. Níže je srovnání toho, co je zahrnuto, nezahrnuto nebo může vyžadovat doplatky (stav k říjnu 2026):

Pro většinu výrobců je zmocnění dle článku 18 jednou stránkou plus povinnost přeposílat požadavky. Posouzení shody, technické testy a generování SBOM jsou samostatné náklady a nejsou zahrnuty v základních poplatcích zástupce.

Skryté náklady a výjimky

I když je zmocnění dle článku 18 zákonnou nutností, tvoří jen malou část celkových nákladů na dodržení CRA. Nejdražší položky – posouzení shody, poplatky oznámeným subjektům, technická dokumentace a období podpory – nejsou většinou zahrnuty v balíčcích zástupců. Na co si dát pozor:

• Poplatky za posouzení shody: U důležitých produktů třídy II nebo kritických produktů mohou náklady na oznámené subjekty či certifikační schémata dosahovat tisíců eur a trvat měsíce. Tyto náklady plánujte zvlášť.
• Technická dokumentace: Poskytovatelé jako Reglyze a EmberKat nabízejí tvorbu technických souborů, import SBOM a analýzu dokumentace, ale nejsou součástí standardních zmocnění.
• Poplatky za obnovu a jednotlivé požadavky: Někteří poskytovatelé mohou účtovat vyšší ceny za obnovu nebo poplatky za jednotlivá hlášení. Vždy si vyžádejte písemné potvrzení cen obnovy a dalších poplatků před podpisem.
• Výpovědní lhůty a limity odpovědnosti: Tiché obnovy a nejasné storno podmínky mohou vést k neočekávaným nákladům. Odpovědnost za nedodržení compliance bývá často vyloučena nebo omezena zástupcem.
• Náklady na období podpory: Zákon vyžaduje minimálně pět let bezpečnostních aktualizací a řešení zranitelností, což je významný provozní náklad, který je třeba plánovat jako součást produktové řady.

REP27 je transparentní ohledně toho, co není zahrnuto: právní poradenství, technické posouzení a generování SBOM jsou mimo zmocnění. Vždy si u poskytovatele vyjasněte výjimky a skryté náklady.

Jak probíhá jmenování: krok za krokem

Jmenování zástupce dle článku 18 a dosažení shody s CRA zahrnuje několik konkrétních kroků. Praktický postup pro výrobce mimo EU:

1. Zjistěte, zda jsou vaše produkty v rozsahu: Identifikujte všechny produkty s digitálními prvky (hardware, software, komponenty nebo vzdálená datová řešení) uváděné na trh EU.
2. Klasifikujte své produkty: Podle definic CRA určete, zda jsou vaše produkty výchozí, důležité třídy I/II nebo kritické. To ovlivní postup posouzení shody.
3. Vyberte zástupce: Zvolte zástupce dle článku 18 s ověřitelným právním subjektem v EU. Potvrďte rozsah, ceny a podmínky obnovy písemně.
4. Podepište zmocnění: Uzavřete písemné zmocnění (článek 18(3)) s vybraným poskytovatelem. Získejte certifikát a veřejnou metodu ověření.
5. Připravte dokumentaci: Sestavte technickou dokumentaci (příloha VII), SBOM, EU prohlášení o shodě a uživatelské pokyny v požadovaných jazycích.
6. Zajistěte 24hodinový kanál pro hlášení: Mějte k dispozici personálně zajištěný kanál pro příjem hlášení zranitelností a incidentů. Připravte si šablony pro včasné varování a oznámení.
7. Zaregistrujte se u ENISA: Registrujte osoby oprávněné podávat hlášení na platformě ENISA. Přidělte minimálně dvě osoby s přístupem v různých časových pásmech.
8. Naplánujte rozpočet na průběžnou shodu: Počítejte s náklady na období podpory (minimálně pět let aktualizací), posouzení shody (pokud je vyžadováno) a údržbu dokumentace.
9. Pravidelně kontrolujte a aktualizujte: Naplánujte pravidelné revize compliance, dokumentace a procesů hlášení.

Dodržení tohoto seznamu zajistí připravenost na právní a praktické požadavky CRA.

Rizika a pokuty za nedodržení

CRA zavádí vysoké sankce za nedodržení. Porušení základních požadavků na kybernetickou bezpečnost nebo povinností výrobce může vést k pokutám až 15 milionů eur nebo 2,5 % celosvětového ročního obratu, podle toho, co je vyšší. Tyto sankce platí pro výrobce z EU i mimo EU uvádějící produkty na trh EU.

• Selhání v hlášení: Nedodržení lhůty 24 hodin pro hlášení zranitelností vystavuje výrobce postihu. Mikro a malé podniky a správci open-source jsou osvobozeni od pokut za pozdní hlášení, nikoli však od povinnosti hlásit.
• Rizika při nákupu a přístupu na trh: Bez zástupce dle článku 18 může dojít ke zdržení v nákupních procesech a vyloučení z podnikových prodejů či veřejných zakázek.
• Úkony tržního dohledu: Úřady mohou proti nevyhovujícím výrobcům zakročit, včetně stažení nebo stažení produktu z trhu.
• Rizika pro distributory/dovozce: Pokud výrobce nezjmenuje zástupce, mohou být dovozci nebo distributoři v EU považováni za výchozí hlásící cestu, což může vést ke ztrátě kontroly nad komunikací o shodě.
• Tiché prodlení: Neobnovení zmocnění nebo neudržování aktuální dokumentace může vést k nepozorovaným prodlením, která vystaví výrobce sankcím bez varování.

Efektivní dodržování není jen o vyhnutí se pokutám, ale také o zajištění nepřerušeného přístupu na trh a udržení důvěry zákazníků a partnerů.

Co poskytovatelé obvykle nezmiňují

Mnozí poskytovatelé zdůrazňují zákonnou nutnost zmocnění dle článku 18, ale nemusí zveřejnit celý obraz. Často opomíjené informace:

• Rozsah zmocnění: Zmocnění dle článku 18 je omezeno na přeposílání požadavků a působení jako kontaktní místo. Nezahrnuje právní poradenství, technické posouzení ani generování SBOM, pokud není výslovně uvedeno.
• Posouzení shody: U důležitých produktů třídy II a kritických produktů jsou náklady na oznámené subjekty či certifikační schémata mnohem vyšší než poplatek za zástupce a mohou trvat měsíce. Tyto náklady nejsou nikdy zahrnuty v základních zmocněních.
• Období podpory: Požadavek na minimálně pět let bezpečnostních aktualizací a řešení zranitelností představuje významný provozní náklad, který není pokryt žádnou službou zástupce.
• Podmínky obnovy a výpovědi: Někteří poskytovatelé používají nízké ceny pro první rok s výrazně vyššími obnovami nebo vyžadují dlouhé výpovědní lhůty. Vždy si nechte podmínky obnovy písemně potvrdit.
• Odpovědnost: Zástupci obvykle vylučují odpovědnost za nedodržení compliance. Výrobce zůstává odpovědný za všechny povinnosti podle CRA.

Transparentnost ohledně toho, co není zahrnuto, je stejně důležitá jako informace o tom, co je zahrnuto. Vždy si vyžádejte úplný seznam výjimek a ujasněte roli poskytovatele před podpisem.

Reálné scénáře: která cesta platí?

• Americká SaaS společnost: Poskytovatel SaaS se sídlem v USA prodává software přímo zákazníkům v EU. Musí jmenovat zástupce dle článku 18, připravit technickou dokumentaci a SBOM a zřídit 24hodinový kanál pro hlášení. Pokud je produkt výchozí třídy, může postačit vlastní posouzení; pokud důležitý nebo kritický, je nutný oznámený subjekt. Nejjednodušší cesta je jmenovat zástupce (např. REP27), připravit dokumentaci a registrovat se u ENISA.
• Čínský prodejce na Amazonu: Výrobce v Číně prodává IoT zařízení pod svým jménem na Amazonu zákazníkům v EU. Musí jmenovat zástupce dle článku 18 a splnit všechny požadavky CRA. Pokud produkt uvádí na trh dovozce z EU, může dovozce převzít povinnosti. Jinak je odpovědný původní výrobce za hlášení a dokumentaci.
• Britský online obchod: Maloobchodník z Velké Británie zasílá připojená zařízení zákazníkům v EU. Musí jmenovat zástupce dle článku 18, připravit technické soubory a zajistit 24hodinový proces hlášení zranitelností. Pokud prodává přes distributora z EU, který uvádí produkt pod svým jménem, distributor přebírá povinnosti; jinak zůstává odpovědný britský maloobchodník.

Ve všech scénářích je klíčové mapovat prodejní kanály, určit, kdo uvádí produkt na trh, a pokud je to potřeba, jmenovat zástupce. To zabraňuje zdržení v nákupu, zajišťuje shodu a předchází pokutám.

Kontrolní seznam: jak být dnes v souladu

1. Mapujte své prodejní kanály v EU a identifikujte všechny produkty s digitálními prvky.
2. Klasifikujte každý produkt (výchozí, důležitý I/II, kritický) podle definic CRA.
3. Zjistěte, zda potřebujete zástupce dle článku 18 (povinné pro výrobce mimo EU).
4. Vyžádejte si písemné zmocnění a certifikát od vybraného poskytovatele (např. REP27, kadano, Euverify).
5. Připravte technickou dokumentaci: soubor přílohy VII, SBOM, EU prohlášení o shodě, uživatelské pokyny v jazycích EU.
6. Zřiďte personálně zajištěný 24hodinový kanál pro hlášení zranitelností. Připravte šablony pro včasné varování a oznámení.
7. Zaregistrujte minimálně dva podávající na platformě ENISA (nejlépe v různých časových pásmech).
8. Naplánujte rozpočet na oznámený subjekt nebo certifikační schéma, pokud je produkt důležitý třídy II nebo kritický.
9. Prohlaste a zajistěte zdroje na období podpory minimálně pět let pro bezpečnostní aktualizace a řešení zranitelností.
10. Naplánujte pravidelné revize compliance a aktualizace dokumentace.

Dodržení těchto kroků zajistí připravenost na termíny vymáhání CRA v letech 2026–2027 a vyhne se nákladným mezerám v souladu.