PRŮVODCE AKTEM CRA

Co CRA je a čeho se snaží dosáhnout

Akt o kybernetické odolnosti (anglicky Cyber Resilience Act, běžně „CRA“), tedy nařízení (EU) 2024/2847, je horizontální předpis o produktech, ne o odvětvích. Dopadá na hardware a software dodávaný na trh Unie, jehož zamýšlený účel nebo rozumně předvídatelné použití zahrnuje přímé nebo nepřímé datové připojení k zařízení nebo síti (čl. 2 odst. 1). Takový produkt smí být dodán na trh jen tehdy, když splňuje základní požadavky na kybernetickou bezpečnost z přílohy I a když postupy zavedené výrobcem splňují požadavky na řešení zranitelností (čl. 6).

Z bezpečnostního pohledu míří nařízení na dvě věci, které jsou v praxi nejčastější příčinou zbytečných incidentů. První je produkt dodaný s nastavením, které je pohodlné pro nasazení a špatné pro provoz. Druhá je zranitelnost, která je sice opravená, ale oprava se k uživateli nedostane — výrobce nemá kanál, kterým by ji poslal, nemá přehled o tom, co v produktu vlastně je, a nemá adresu, na kterou by mu někdo zvenčí mohl zranitelnost nahlásit.

CRA z těchto věcí dělá vymahatelnou povinnost: bezpečné výchozí nastavení, softwarový kusovník, politika koordinovaného zveřejňování zranitelností, bezpečná distribuce aktualizací.

Nařízení je přímo použitelné, netransponuje se do českého zákona. Členský stát doplňuje jen výkon dozoru a sankce — u nás je to předmětem návrhu adaptačního zákona, o kterém je řeč v poslední sekci. A nezaměňujte CRA se zákonem o kybernetické bezpečnosti: ZKB (264/2025 Sb.) reguluje poskytovatele služeb, CRA výrobce produktů. Jeden subjekt může spadat pod oba a povinnosti se nesčítají náhodně — regulovaný subjekt podle ZKB, který zároveň vyvíjí produkt, řeší obojí zvlášť.

Znění nařízení na téhle stránce neopisujeme. U každého tvrzení je odkaz na článek nebo přílohu, kde si závazný text přečtete v češtině — seznam odkazů je na konci stránky.

Vstup v platnost není totéž jako použitelnost

Tohle je na českém trhu nejčastější zdroj nedorozumění. CRA vstoupil v platnost 10. prosince 2024 — dvacátým dnem po vyhlášení v Úředním věstníku 20. listopadu 2024 (čl. 71 odst. 1). Vstup v platnost znamená, že předpis právně existuje a že se rozbíhá to, co má proběhnout před jeho použitelností: prováděcí a delegované akty Komise, žádost o normalizaci, jmenování orgánů. Neznamená, že se podle něj od prosince 2024 posuzují produkty.

Použitelnost je odstupňovaná a řídí ji čl. 71 odst. 2. Zbytek nařízení se použije od 11. prosince 2027, ale dva bloky dřív — kapitola IV (články 35 až 51, tedy oznamování subjektů posuzování shody) od 11. června 2026 a článek 14 (povinnosti výrobců podávat zprávy) od 11. září 2026.

Druhá past jsou přechodná ustanovení v čl. 69. Produkty uvedené na trh před 11. prosincem 2027 se nařízením řídí jen tehdy, pokud po tomto datu projdou podstatnou změnou (čl. 69 odst. 2) — a podstatná změna je definovaná v čl. 3 bodě 30 jako změna ovlivňující soulad se základními požadavky nebo měnící zamýšlený účel. Z tohoto pravidla ale existuje výslovná výjimka: povinnost hlásit podle čl. 14 se vztahuje i na produkty uvedené na trh před 11. prosincem 2027 (čl. 69 odst. 3).

• 11. 6. 2026 — kapitola IV je použitelná, členské státy mohou určovat oznamující orgány a oznamovat subjekty posuzování shody. Pro výrobce to je nepřímá zpráva: kapacita oznámených subjektů se teprve staví.
• 11. 9. 2026 — použitelný je čl. 14. Hlásí se aktivně zneužívané zranitelnosti a závažné incidenty s dopadem na bezpečnost produktu, a to i u produktů, které jsou na trhu už dnes.
• 11. 12. 2027 — použitelné je nařízení jako celek. Od tohoto dne se produkty dodávají na trh s posouzením shody, EU prohlášením o shodě, označením CE a technickou dokumentací podle přílohy VII.

Praktický důsledek pro plánování: dokumentaci a posouzení shody řešíte s výhledem na rok 2027, ale proces hlášení musíte mít funkční letos v září. To jsou dvě různé práce s různými vlastníky ve firmě.

Hlášení od 11. září 2026 — nejbližší termín

Od 11. září 2026 platí čl. 14 a s ním dvě samostatné ohlašovací povinnosti výrobce. První se týká každé aktivně zneužívané zranitelnosti obsažené v produktu, o níž se výrobce dozví (čl. 14 odst. 1). Aktivně zneužívaná znamená, že existují spolehlivé důkazy o tom, že ji škodlivý aktér v systému zneužil bez svolení vlastníka systému (čl. 3 bod 42) — nehlásí se tedy každé nalezené CVE, ale ta zranitelnost, u které víte, že se skutečně používá.

Druhá povinnost se týká každého závažného incidentu s dopadem na bezpečnost produktu (čl. 14 odst. 3). Závažný je podle čl. 14 odst. 5 tehdy, když negativně ovlivňuje nebo může ovlivnit schopnost produktu chránit dostupnost, autenticitu, integritu nebo důvěrnost citlivých či důležitých dat nebo funkcí, nebo když vedl či může vést k zavedení nebo spuštění škodlivého kódu v produktu nebo v systémech jeho uživatele.

Oznámení se podávají současně týmu CSIRT určenému jako koordinátor a agentuře ENISA, a to prostřednictvím jednotné platformy pro podávání zpráv, kterou podle čl. 16 zřizuje ENISA. Který CSIRT je váš, určuje hlavní provozovna v Unii — členský stát, kde nejčastěji padají rozhodnutí o kybernetické bezpečnosti vašich produktů (čl. 14 odst. 7). Kdo v Unii provozovnu nemá, postupuje kaskádou v témže odstavci (zplnomocněný zástupce, dovozce, distributor, počet uživatelů).

V České republice má oznámení podle čl. 14 a 15 přijímat NÚKIB — tak to stanoví návrh adaptačního zákona, který ale k 8. 8. 2026 není přijatý. Platformu ENISA staví průběžně a podle jejích vlastních informací má být pro povinné hlášení používána od 11. září 2026; registrace zástupců výrobce se řeší předem. Na lhůtách to nic nemění — 24 hodin běží od okamžiku, kdy se o věci dozvíte, ne od okamžiku, kdy máte na platformě účet.

• Čeho se incident musí týkat — nejde o incident ve vaší firemní infrastruktuře, ale o incident dotýkající se bezpečnosti produktu; typicky kompromitace prostředí, ze kterého se zákazníkům distribuují podepsané artefakty nebo aktualizace.
• Včasné varování do 24 hodin od okamžiku, kdy se výrobce o zranitelnosti nebo incidentu dozví, bez zbytečného odkladu. U incidentu se uvádí i to, zda je podezření na nezákonné či škodlivé jednání (čl. 14 odst. 2 a 4 písm. a).
• Oznámení do 72 hodin s obecnými informacemi o produktu, povaze zneužívání nebo incidentu, přijatých opatřeních a opatřeních, která mohou udělat uživatelé. Zde se také označuje, nakolik jsou informace citlivé (čl. 14 odst. 2 a 4 písm. b).
• Závěrečná zpráva — u zranitelnosti nejpozději do 14 dnů od okamžiku, kdy začalo být k dispozici nápravné nebo zmírňující opatření; u incidentu do jednoho měsíce od oznámení podle písmene b) (čl. 14 odst. 2 a 4 písm. c).
• Informování uživatelů — zasažené, případně všechny uživatele informuje výrobce o zranitelnosti nebo incidentu a o možných opatřeních, pokud možno ve strukturovaném a strojově čitelném formátu (čl. 14 odst. 8).
• Mikropodniky a malé podniky hlásit musí. Neuloží se jim pokuta za zmeškané včasné varování do 24 hodin (čl. 64 odst. 10 písm. a), ale na lhůtu 72 hodin ani na závěrečnou zprávu se ta výjimka nevztahuje.

Na hlášení podle čl. 14 se dá koukat jako na produktovou obdobu reakce na incident: musí být jasné, kdo rozhodne, že jde o aktivně zneužívanou zranitelnost, kdo drží 24hodinovou lhůtu mimo pracovní dobu, kdo píše text oznámení a kdo mluví se zákazníky. My tenhle proces stavíme a zkoušíme na cvičení, protože poprvé se nemá zkoušet naostro.

Koho nařízení dělá výrobcem

Produkt s digitálními prvky je softwarový nebo hardwarový produkt a jeho řešení pro zpracování dat na dálku, včetně softwarových nebo hardwarových komponent uváděných na trh samostatně (čl. 3 bod 1). Do působnosti se dostane tím, že jeho zamýšlené nebo rozumně předvídatelné použití zahrnuje datové připojení (čl. 2 odst. 1). Knihovna, firmware, mobilní aplikace, průmyslová brána, síťový prvek — všechno jsou produkty s digitálními prvky.

Výrobcem je ten, kdo produkt vyvíjí nebo vyrábí, ale také ten, kdo si ho nechal navrhnout, vyvinout nebo vyrobit a nabízí ho pod svým jménem nebo ochrannou známkou — ať za úplatu, za jiné zpeněžení, nebo bezplatně (čl. 3 bod 13). White label je tedy výrobce. A dovozce nebo distributor se stává výrobcem se všemi povinnostmi ve chvíli, kdy produkt uvede na trh pod svým jménem nebo ochrannou známkou, případně už uvedený produkt podstatně změní (čl. 21).

• Vyvíjíme software na zakázku pro jednoho zákazníka. Dodáním na trh je dodání k distribuci nebo použití v rámci obchodní činnosti (čl. 3 bod 22) — zakázkovost povinnosti neruší. Nařízení s ní počítá jen u dvou konkrétních míst: u bezpečné výchozí konfigurace lze s podnikatelským uživatelem dohodnout jinak (příloha I část I bod 2 písm. b) a u bezplatnosti bezpečnostních aktualizací u produktu zhotoveného na zakázku (příloha I část II bod 8).
• Máme SaaS, ne produkt. Čisté cloudové modely (SaaS, PaaS, IaaS) spadají pod směrnici NIS2, ne pod CRA (bod 12 odůvodnění). Do CRA patří jen řešení pro zpracování dat na dálku, které navrhl a vyvinul výrobce produktu a bez něhož by produkt neplnil některou ze svých funkcí (čl. 3 bod 2). Mobilní aplikace, která se opírá o vaše API nebo databázi, tedy do působnosti patří, a to včetně té serverové části.
• Děláme open source. Rozhoduje zpeněžení, ne způsob vývoje. Svobodný software poskytovaný mimo obchodní činnost do působnosti nespadá a samotné přispívání zdrojovým kódem povinnosti výrobce nezakládá (bod 18 odůvodnění). Pro právnické osoby, které systematicky a dlouhodobě podporují vývoj takového softwaru určeného pro obchodní činnost, existuje zjednodušený režim „správce softwaru s otevřeným zdrojovým kódem“ (čl. 3 bod 14 a čl. 24, blíže bod 19 odůvodnění) — politika kybernetické bezpečnosti, spolupráce s dozorem a omezené ohlašovací povinnosti, ale žádné označení CE.
• Kupujeme hardware a přidáváme firmware nebo systém integrujeme. Pokud výsledek nabízíte pod svým jménem, jste výrobce (čl. 3 bod 13). Pokud jen dodáváte cizí produkt bez zásahu do jeho vlastností, jste distributor s povinnostmi podle čl. 20. Hranice je „podstatná změna“ podle čl. 3 bodu 30 a je to bod, který se vyplatí rozhodnout dřív než při první kontrole.
• Nejsme z EU. Povinnosti se váží na dodání na trh Unie. Praktickou roli hraje zplnomocněný zástupce (čl. 18) a dovozce, který nesmí uvést na trh produkt bez posouzení shody a dokumentace (čl. 19).

Z působnosti jsou naopak vyňaté produkty pokryté jinými režimy: zdravotnické prostředky podle nařízení 2017/745 a 2017/746, vozidla podle nařízení 2019/2144, produkty certifikované podle nařízení 2018/1139 (letectví), námořní výstroj podle směrnice 2014/90/EU, náhradní díly vyrobené podle stejných specifikací a produkty výlučně pro národní bezpečnost, obranu nebo utajované informace (čl. 2 odst. 2 až 7). Vyňaté z CRA ale neznamená bez kybernetických požadavků — ty jsou v příslušných odvětvových předpisech.

Bezpečnost v návrhu: co požaduje příloha I část I

Jádro nařízení není označení CE, ale posouzení kybernetických bezpečnostních rizik. Výrobce je musí provést a jeho výsledek zohlednit ve fázi plánování, návrhu, vývoje, výroby, dodání a údržby produktu (čl. 13 odst. 2). Posouzení se dokumentuje a aktualizuje po celou dobu podpory a musí z něj být poznat, zda a jak se jednotlivé požadavky přílohy I části I bodu 2 na produkt vztahují a jak jsou uplatněné (čl. 13 odst. 3). Pokud se některý požadavek nevztahuje, patří do technické dokumentace jasné odůvodnění (čl. 13 odst. 4).

Požadavky samotné jsou napsané jako vlastnosti produktu, ne jako konkrétní technologie. Bod 2 části I jich má třináct, písmena a) až m). Níže jsou všechna ve zkratce a vlastními slovy, s písmenem v závorce, abyste si je našli v úředním znění — to je v příloze I části I a závazné je jen ono.

• Dodání na trh bez známých zneužitelných zranitelností (písm. a).
• Bezpečná výchozí konfigurace včetně možnosti vrátit produkt do původního stavu (písm. b).
• Zranitelnosti musí být opravitelné bezpečnostními aktualizacemi, tam, kde to lze, automatickými a v základním nastavení zapnutými, s jasným mechanismem výjimky a s možností instalaci dočasně odložit (písm. c).
• Ochrana před neoprávněným přístupem vhodnými kontrolními mechanismy včetně správy ověřování a identit, a hlášení možného neoprávněného přístupu (písm. d).
• Důvěrnost uchovávaných, přenášených i jinak zpracovávaných dat, mimo jiné šifrováním podle současného stavu techniky (písm. e).
• Integrita uchovávaných, přenášených i jinak zpracovávaných dat, příkazů, programů a konfigurace proti neoprávněné manipulaci nebo změně, a hlášení jejího porušení (písm. f).
• Minimalizace dat — produkt zpracovává jen data nezbytná pro zamýšlený účel (písm. g).
• Dostupnost základních funkcí i po incidentu, s odolností vůči útokům na odepření služby (písm. h).
• Minimalizace vlastního nepříznivého dopadu — produkt ani zařízení k němu připojená nemají narušovat dostupnost služeb poskytovaných jinými zařízeními nebo sítěmi (písm. i).
• Omezení prostoru k útoku včetně vnějších rozhraní (písm. j).
• Zmírnění dopadu incidentu vhodnými technikami a mechanismy zmírňujícími zneužití (písm. k).
• Bezpečnostní logování relevantní interní činnosti včetně přístupů a změn, s možností výjimky pro uživatele (písm. l).
• Možnost bezpečně a trvale smazat data a nastavení, a bezpečně je přenést jinam (písm. m).

Bod 1 části I je obecný — přiměřená úroveň bezpečnosti podle rizik. To je přesně to místo, kde se dozor bude ptát na architekturu a kde nestačí seznam nástrojů. Nejrychleji se stav zjistí threat modelem sedícím na skutečný produkt a testem podle přílohy I části II bodu 3; u nás to je součást revize bezpečného vývoje.

SBOM a řízení zranitelností: příloha I část II

Část II přílohy I neukládá vlastnosti produktu, ale procesy výrobce. Základ je softwarový kusovník (SBOM) — formální záznam komponent v softwarových prvcích produktu a jejich vztahů v dodavatelském řetězci (čl. 3 bod 39). Podle přílohy I části II bodu 1 musí být v běžně používaném strojově čitelném formátu a obsahovat alespoň nejdůležitější závislosti produktu.

SBOM přitom není povinné zveřejňovat. Orgánu dozoru nad trhem se předkládá na odůvodněnou žádost, pokud je to nezbytné k ověření souladu (příloha VII bod 8), a uživateli se zpřístupňuje jen tehdy, když se tak výrobce rozhodne (příloha II bod 9). Formát a prvky kusovníku může Komise upřesnit prováděcím aktem (čl. 13 odst. 24).

• Neprodleně řešit a odstraňovat zranitelnosti, mimo jiné poskytováním bezpečnostních aktualizací; tam, kde to je technicky možné, oddělených od funkčních aktualizací (bod 2).
• Pravidelně testovat a přezkoumávat bezpečnost produktu (bod 3).
• Po vydání opravy zveřejnit informace o zranitelnosti, jejím dopadu a závažnosti a o tom, jak ji uživatel odstraní; zveřejnění lze v odůvodněných případech odložit, dokud uživatelé nemají možnost opravu nasadit (bod 4).
• Zavést a prosazovat politiku koordinovaného zveřejňování zranitelností (bod 5) a mít kontaktní adresu pro hlášení zranitelností (bod 6).
• Mít mechanismy pro bezpečnou distribuci aktualizací, automatickou tam, kde to je možné (bod 7).
• Bezpečnostní aktualizace šířit neprodleně a bezplatně spolu s poradní zprávou pro uživatele (bod 8); výjimka z bezplatnosti je jen u produktů zhotovených na zakázku po dohodě s podnikatelským uživatelem.

Komponenty třetích stran mají vlastní režim: při jejich začleňování se postupuje s náležitou péčí, a to i u open source komponent, které na trh dodány nebyly (čl. 13 odst. 5). Když v komponentě najdete zranitelnost, oznámíte ji tomu, kdo komponentu vyrábí nebo udržuje, a pokud jste vyvinuli opravu, poskytnete mu kód nebo dokumentaci (čl. 13 odst. 6). Tohle v praxi mění vztah k upstreamu z „bereme a nevracíme“ na proces, který musí někdo vlastnit.

Doba podpory a očekávaná doba používání

Doba podpory je období, během něhož musí výrobce zajistit, že se zranitelnosti produktu řeší podle přílohy I části II (čl. 3 bod 20). Stanovuje ji výrobce sám, ale ne libovolně: má odrážet dobu, po kterou se očekává používání produktu, s ohledem na přiměřená očekávání uživatelů, povahu produktu včetně zamýšleného účelu a na právo Unie určující životnost produktů (čl. 13 odst. 8). Zohlednit lze i doby podpory srovnatelných produktů na trhu a doby podpory začleněných komponent od třetích stran.

Dolní hranice je pět let. Kratší doba podpory je možná jen tam, kde se očekává, že se produkt bude používat méně než pět let — pak odpovídá očekávané době použití (čl. 13 odst. 8 třetí pododstavec). Vedle toho platí samostatná povinnost: vydané bezpečnostní aktualizace musí zůstat dostupné nejméně deset let od svého vydání, nebo po zbytek doby podpory, je-li delší (čl. 13 odst. 9).

Doba podpory je zároveň informační povinnost. Měsíc a rok jejího skončení musí být jasně a snadno přístupně uvedeny už v době nákupu — na produktu, na obalu, nebo digitálními prostředky (čl. 13 odst. 19). Je-li to technicky proveditelné, výrobce uživateli konec podpory oznámí. Do technické dokumentace patří informace, ze kterých jste při stanovení doby podpory vyšli (příloha VII bod 4), a do informací pro uživatele druh nabízené podpory a datum jejího skončení (příloha II bod 7).

Praktický dopad: doba podpory je obchodní rozhodnutí, které se dělá před uvedením na trh, protože po něm je napsané na obalu i v dokumentaci. U průmyslového zařízení, které zákazník bude mít v provozu dvanáct let, se pět let neobhájí přiměřenými očekáváními uživatelů. U produktů se zabudovanými komponentami je omezujícím faktorem doba podpory těch komponent, ne vaše přání.

Kategorie produktů, posuzování shody a stav norem

Nařízení pracuje se třemi úrovněmi. Běžný produkt — výrobce si posouzení shody udělá sám interní kontrolou (modul A, čl. 32 odst. 1). Důležitý produkt z přílohy III, rozdělený do třídy I a II. Kritický produkt z přílohy IV. Rozhoduje klíčová funkce produktu jako celku (čl. 7 odst. 1) — když do zpravodajské aplikace zabudujete prohlížeč, nestává se z aplikace důležitý produkt.

Z kategorie plyne postup posuzování shody podle čl. 32. U třídy I si vystačíte s interní kontrolou jen tehdy, pokud jste plně použili harmonizované normy, společné specifikace nebo evropskou certifikaci alespoň na úrovni záruky „významná“; jinak je nutné EU přezkoušení typu (modul B + C) nebo komplexní zabezpečování kvality (modul H), tedy oznámený subjekt. U třídy II je třetí strana povinná vždy.

U kritických produktů může Komise aktem v přenesené pravomoci vyžadovat evropský certifikát kybernetické bezpečnosti alespoň na úrovni „významná“ (čl. 8 odst. 1); dokud takový akt není, platí režim třídy II (čl. 32 odst. 4). Kategorie v přílohách III a IV jsou přitom popsané jen názvem — technický popis doplnilo prováděcí nařízení Komise (EU) 2025/2392 z 28. listopadu 2025, vyhlášené 1. prosince 2025. Pro zařazení konkrétního produktu je to dnes hlavní dokument.

A teď to, co je pro rok 2026 zásadní: presumpce shody vzniká teprve zveřejněním odkazu na harmonizovanou normu v Úředním věstníku (čl. 27 odst. 1). K 8. 8. 2026 podle stránky Komise k normalizaci CRA není citovaná žádná harmonizovaná norma; práce běží podle žádosti o normalizaci M/606, která zahrnuje 41 norem. Kdo dnes připravuje dokumentaci, nemůže se tedy o presumpci opřít a musí v technické dokumentaci popsat, jaká řešení zvolil a proč splňují přílohu I (příloha VII bod 5). U třídy I to má i druhý důsledek: normy nelze „plně použít“, takže cesta vede přes oznámený subjekt.

• Technická dokumentace podle čl. 31 a přílohy VII: popis produktu a zamýšleného účelu, verze ovlivňující shodu, informace a pokyny pro uživatele podle přílohy II.
• Popis návrhu, vývoje a výroby a postupů řešení zranitelností — včetně SBOM, politiky koordinovaného zveřejňování, důkazu o kontaktní adrese a popisu bezpečné distribuce aktualizací.
• Posouzení kybernetických bezpečnostních rizik podle čl. 13 a informace, ze kterých jste vyšli při stanovení doby podpory.
• Seznam použitých norem a společných specifikací, nebo popis vlastních zvolených řešení, pokud normy použité nebyly.
• Protokoly o zkouškách a kopie EU prohlášení o shodě (vzor v příloze V, zjednodušená verze v příloze VI).
• Označení CE podle čl. 30: u softwaru se umísťuje na EU prohlášení o shodě nebo na internetové stránky doprovázející produkt, kde musí být snadno a přímo přístupné.

Mikropodniky a malé podniky mohou prvky technické dokumentace předložit ve zjednodušeném formátu; jeho formulář má stanovit Komise prováděcím aktem (čl. 33 odst. 5). Dokumentace se navíc nedá napsat zpětně — posouzení rizik podle čl. 13 odst. 3 má být z průběhu vývoje. My ji proto stavíme spolu s threat modelem, ne jako samostatný dokument na konci.

Sankce a kdo bude CRA v Česku kontrolovat

Sazby stanoví čl. 64 a jsou odstupňované podle toho, co se poruší. Za nedodržení základních požadavků z přílohy I a povinností podle čl. 13 a 14 hrozí správní pokuta do 15 000 000 EUR nebo do 2,5 % celkového celosvětového ročního obratu za předchozí finanční rok, podle toho, která hodnota je vyšší (čl. 64 odst. 2).

Za porušení dalších povinností (dovozci a distributoři, EU prohlášení o shodě, označení CE, technická dokumentace, postupy posuzování shody, povinnosti oznámených subjektů) je horní hranice 10 000 000 EUR nebo 2 % (odst. 3). Za nesprávné, neúplné nebo zavádějící informace poskytnuté oznámeným subjektům a orgánům dozoru 5 000 000 EUR nebo 1 % (odst. 4).

Dvě výjimky stojí za zapamatování (čl. 64 odst. 10): mikropodnikům a malým podnikům se neukládá pokuta za zmeškané včasné varování do 24 hodin podle písm. a) — nikoli za zmeškanou lhůtu 72 hodin nebo závěrečnou zprávu — a správcům softwaru s otevřeným zdrojovým kódem se správní pokuty podle tohoto nařízení neukládají. Při určení výše pokuty se zohledňuje povaha, závažnost a doba trvání porušení, dříve uložené pokuty a velikost hospodářského subjektu (čl. 64 odst. 5).

Dozorový orgán nařízení nepřiděluje — to je věcí členského státu (čl. 52). V Česku to má vyřešit adaptační zákon; jeho návrh poslalo Ministerstvo průmyslu a obchodu 3. července 2026 do mezirezortního připomínkového řízení (termín připomínek 23. 7. 2026). Co návrh obsahuje:

• NÚKIB je oznamujícím orgánem podle kapitoly IV nařízení a zároveň přijímá oznámení podle čl. 14 a 15.
• Dozor nad trhem se má rozdělit mezi existující dozorové orgány podle jejich sektorové působnosti; hlavní díl agendy — software a spotřební elektronika — má dostat Česká obchodní inspekce.
• Informace a pokyny pro uživatele a EU prohlášení o shodě mají být v českém jazyce.

K 8. 8. 2026 je to návrh, ne platný zákon — konkrétní rozdělení dozoru se ještě může změnit. Na vašich povinnostech to nic nemění: nařízení je přímo použitelné a lhůty z čl. 14 platí od 11. září 2026 bez ohledu na to, který český úřad bude jejich plnění kontrolovat.

Časová osa CRA

Data podle čl. 71 a 69 nařízení (EU) 2024/2847 a podle navazujících aktů Komise. U každého řádku je uvedeno, co se tím dnem skutečně mění.

Oficiální zdroje

Tento průvodce je informativní a znění předpisů nenahrazuje. Všechny údaje výše jsou z těchto zdrojů, stav k 8. 8. 2026.