Cyber Resilience Act 2026 — co nové EU nařízení znamená pro české firmy, které software kupují#

Cyber Resilience Act (nařízení EU 2024/2847) je první evropský zákon, který stanoví povinné požadavky na kybernetickou bezpečnost veškerého softwaru prodávaného v EU. Od září 2026 musí výrobci hlásit zranitelnosti do 24 hodin. Od prosince 2027 garantovat bezpečnostní aktualizace minimálně pět let. Pro firmu kupující software to znamená nové páky, jak od dodavatele požadovat bezpečnost — a nová kritéria pro výběr systému.

Proč se CRA týká i firem, které software nevyrábějí#

Většina článků o Cyber Resilience Act je napsaná pro výrobce softwaru — právnickým jazykem, s důrazem na CE označení a posuzování shody. České firmy s 10–80 zaměstnanci ale software nevyrábějí. Kupují ho. Přesto na ně CRA dopadne — nepřímo, ale výrazně.

CRA mění pravidla hry pro dodavatele softwaru. Kdo chce prodávat software v EU, musí od prosince 2027 splnit desítky požadavků na bezpečnost. Firma kupující systém má poprvé v ruce konkrétní páky: může se zeptat, zda dodavatel splňuje CRA, jak dlouho garantuje aktualizace a co se stane, když objeví zranitelnost.

Kontext je jasný. NÚKIB evidoval v roce 2025 celkem 203 kybernetických incidentů a počet trestných činů v oblasti kyberkriminality v Česku vzrostl meziročně o 14 % na 21 137. Počet vyděračských útoků na české firmy se v prvním čtvrtletí 2026 zdvojnásobil — cílí především na malé a střední podniky. CRA je reakce EU na tuto situaci. Pro firmu kupující software je to dobrá zpráva.

Jak kybernetická bezpečnost souvisí s výběrem systému, rozebírá průvodce výběrem firemního systému. Širší kontext digitalizace přibližuje kompletní průvodce digitalizací firem.

Kdy co platí — tři klíčová data#

CRA neřeší jen budoucnost. Část pravidel už běží.

1. 1

   Červen 2026 — certifikační orgány

   Pravidla pro notifikované subjekty (článek 35). Certifikační infrastruktura se rozjíždí. Pro kupující nepřímo relevantní — orgány začínají posuzovat shodu produktů.

2. 2

   Září 2026 — hlášení zranitelností

   Oznamovací povinnosti (článek 14). Výrobce musí hlásit aktivně zneužívané zranitelnosti agentuře ENISA a národnímu CSIRT do 24 hodin. Podrobná zpráva do 72 hodin. Platí i pro software prodávaný dnes.

3. 3

   Prosinec 2027 — plný rozsah

   Bezpečnostní aktualizace min. 5 let, seznam komponent softwaru (SBOM), posouzení shody, CE označení, bezpečnost od návrhu. Kdo nesplní, nesmí software v EU prodávat.

Pět věcí, které CRA mění pro kupující firemního softwaru#

1. Bezpečnostní aktualizace minimálně pět let#

Dodavatel softwaru bude muset garantovat bezpečnostní záplaty po celou dobu předpokládaného používání produktu — minimálně pět let od uvedení na trh. Žádné „verze, pro které ukončujeme podporu." Žádné „přejděte na novou verzi za příplatek." Pokud používáte firemní systém, máte podle CRA právo na bezpečnostní aktualizace bez dalších poplatků.

2. Seznam komponent softwaru#

CRA zavádí povinnost dodávat seznam všech komponent, ze kterých je software sestaven — takzvaný SBOM (Software Bill of Materials). Podobně jako složení na obalu potraviny. Firma kupující systém tak poprvé uvidí, z čeho je software „postaven" a zda neobsahuje zastaralé nebo zranitelné součásti.

3. Hlášení zranitelností do 24 hodin#

Od září 2026 musí výrobce nahlásit aktivně zneužívanou zranitelnost do 24 hodin agentuře ENISA a národnímu týmu CSIRT. Do 72 hodin musí dodat podrobnou zprávu. Musí také informovat zasažené uživatele produktu — tedy vaši firmu. Hospodářská komora ČR doporučuje firmám zavést interní postup pro rychlé rozpoznání a předání takového hlášení odpovědným pracovníkům.

4. CE označení i pro software#

Software prodávaný v EU bude muset nést značku CE — stejně jako dnes hračky nebo elektrospotřebiče. CE označení potvrzuje, že produkt prošel posouzením shody s požadavky CRA. Firma kupující systém získá jednoduchý způsob, jak ověřit základní úroveň bezpečnosti.

5. Výrobce nese odpovědnost — ne uživatel#

CRA přesouvá odpovědnost za kybernetickou bezpečnost z uživatele na výrobce. Dosud platilo: koupíte software, bezpečnost je váš problém. Podle CRA musí výrobce zajistit bezpečnost od návrhu produktu přes celý jeho životní cyklus. Pro firmu s 10–80 zaměstnanci bez vlastního IT oddělení je to zásadní změna. Jak zavést bezpečný systém bez IT specialistů, rozebírá průvodce využitím umělé inteligence bez IT oddělení.

Na co se zeptat dodavatele firemního systému#

Většina hotových softwarových produktů na českém trhu tyto otázky zatím neumí zodpovědět. To se ale změní — CRA je nařízení, ne doporučení. Kdo do prosince 2027 nesplní požadavky, nesmí software v EU prodávat. Kolik různé přístupy k firemnímu systému stojí, ukazuje srovnání cen firemních systémů.

Jaký typ systému splňuje CRA přirozeně#

Ne každý přístup k firemnímu softwaru je z pohledu CRA rovnocenný.

CRA zapadá do širší vlny EU regulací, které české firmy řeší:

• EU AI Act — povinnost gramotnosti zaměstnanců v umělé inteligenci (od února 2025), hlavní vlna povinností od srpna 2026
• JMHZ — jednotné měsíční hlášení zaměstnavatele od dubna 2026, automatizace reportingu šetří hodiny
• Elektronická fakturace — příprava na povinnou eFakturu (Slovensko 2027, Česko přes ViDA 2030)

Firma kupující firemní systém dnes by měla myslet dopředu — systém, který nesplňuje CRA, bude za rok problém. Systém, který je na CRA připravený od prvního dne, šetří budoucí migraci.

Stavební firma se 35 zaměstnanci — co se může pokazit#

Představte si stavební firmu se 35 zaměstnanci, která používá hotový účetní software, tabulky pro nabídky a poptávky a sdílené složky na síťovém disku. Žádný z těchto nástrojů nemá garantované bezpečnostní aktualizace. Výrobce účetního programu ukončil podporu starší verze s tím, že firma musí přejít na novější — za příplatek.

V březnu 2026 někdo ve firmě otevřel přílohu podvrženého e-mailu. Ransomware zašifroval síťový disk — nabídky, smlouvy, faktury za tři roky. Výpadek 14 dní, přímé náklady 800 tisíc korun, dva ztracení klienti.

S CRA by tato firma měla právo požadovat od dodavatele softwaru bezpečnostní aktualizace, včasné hlášení o zranitelnostech a transparentní bezpečnostní politiku. Firemní systém provozovaný na vlastní infrastruktuře v EU s pravidelným zálohováním a průběžnými aktualizacemi by takovou situaci buď předešel, nebo minimalizoval škody.

Často kladené otázky#

Co je Cyber Resilience Act a koho se týká?#

Cyber Resilience Act (nařízení EU 2024/2847) je evropský zákon o kybernetické odolnosti produktů s digitálními prvky — hardwaru i softwaru prodávaného v EU. Týká se primárně výrobců, dovozců a distributorů softwaru. Pro firmy kupující software to znamená, že od dodavatelů mohou požadovat bezpečnostní aktualizace, hlášení zranitelností a transparentnost komponent.

Musí malá firma splňovat Cyber Resilience Act?#

Povinnosti CRA směřují na výrobce softwaru, ne na uživatele. Malá firma jako kupující přímo povinnosti nemá. Má ale právo požadovat od dodavatele splnění CRA — bezpečnostní aktualizace, hlášení zranitelností, transparentnost komponent. Pokud firma sama vyvíjí software pro trh EU, CRA na ni dopadá bez ohledu na velikost.

Jaké povinnosti přináší CRA pro dodavatele software?#

Dodavatel softwaru musí od září 2026 hlásit aktivně zneužívané zranitelnosti do 24 hodin a závažné incidenty do 72 hodin. Od prosince 2027 musí garantovat bezpečnostní aktualizace minimálně pět let, dodávat seznam komponent, provést posouzení shody a označit produkt značkou CE. Pokuty za nedodržení sahají až do 15 milionů eur nebo 2,5 % celosvětového obratu.

Jak CRA ovlivní výběr firemního systému?#

Při výběru firemního systému se vyplatí ptát dodavatele: jak dlouho garantuje bezpečnostní aktualizace, kde běží infrastruktura, jak rychle opravuje zranitelnosti a zda dodá seznam komponent. Systém provozovaný na vlastní infrastruktuře v EU s transparentní bezpečnostní politikou splňuje požadavky CRA přirozeně — bez dodatečných úprav.

Jaké sankce hrozí za nedodržení CRA?#

Sankce jsou třístupňové. Za porušení základních povinností hrozí pokuta až 15 milionů eur nebo 2,5 % celosvětového obratu. Za méně závažná porušení až 10 milionů eur nebo 2 % obratu. Za poskytnutí nepravdivých informací až 5 milionů eur nebo 1 % obratu. U malých a středních podniků se uplatňuje nižší z obou hodnot.

---

Kybernetická bezpečnost firemního systému není jen technická otázka — je to otázka důvěry mezi firmou a dodavatelem. CRA tuto důvěru přeměňuje na měřitelné požadavky.

Zjistit, jestli si sedneme — domluvte si nezávazný hovor, ve kterém vám ukážeme, jak přistupujeme k bezpečnosti firemního systému.