Jak se připravit na Cyber Resilience Act

Evropské nařízení o kybernetické odolnosti Cyber Resilience Act přináší nové požadavky na bezpečnost digitálních produktů - od softwaru až po chytrá zařízení nebo třeba i hračky. První povinnosti začnou platit postupně od druhé poloviny roku 2026, úplná účinnost nařízení se očekává v průběhu roku 2027.

Evropská regulace kybernetické bezpečnosti se rozšiřuje. Zatímco směrnice NIS2 se zaměřuje především na bezpečnost organizací a řízení jejich kybernetických rizik, nařízení Cyber Resilience Act (CRA) přináší požadavky na bezpečnost samotných produktů s digitálními prvky - od softwaru až po chytrá zařízení.

Firmy, které vyvíjejí, dodávají nebo využívají digitální produkty, tak budou muset vedle bezpečnosti vlastních procesů více zohledňovat i rizika spojená s konkrétními produkty a jejich využíváním.

CRA zavádí princip, že bezpečnost musí být integrální součástí digitálního produktu už od jeho návrhu. Požadavky se netýkají pouze hardwaru, ale vztahují se také na software a další produkty s digitálními prvky. Regulace zároveň dopadá nejen na výrobce, ale také na dovozce a distributory těchto produktů.

CRA však nevyžaduje, aby produkt nikdy neměl žádnou zranitelnost, požaduje, aby měl výrobce nastavené procesy umožňující rizika včas identifikovat a řešit, tedy např. řízení zranitelností, bezpečnostní aktualizace, evidenci komponent nebo postupy pro reakci na incidenty.

Koho se CRA týká a proč by organizace neměly čekat

Přestože nařízení ukládá přímé regulatorní povinnosti především výrobcům, dovozcům a distributorům produktů s digitálními prvky, jeho nepřímý dopad pocítí prakticky všechny organizace, které při své činnosti digitální produkty využívají.

Vedle technologických firem, vývojářů vlastních aplikací a integrátorů řešení třetích stran tak CRA ovlivní i organizace v roli koncových uživatelů, které budou muset věnovat větší pozornost bezpečnosti používaných technologií a svých dodavatelů.

První povinnosti začínají platit již v září 2026

I když plná účinnost některých povinností nastane až koncem roku 2027, první ustanovení nařízení začnou platit už letos v září. Firmy a instituce by tak měly začít s přípravou už nyní.

Pro uživatele technologií je prvním kritickým krokem získat přehled o tom, jaké systémy a produkty vlastně používají, od jakých dodavatelů pocházejí a kde mohou vznikat bezpečnostní rizika.

Než tedy organizace začne nastavovat konkrétní opatření, potřebuje detailně znát svůj výchozí stav. Ideálním a nezbytným odrazovým můstkem je proto provedení komplexní analýzy kybernetických rizik.

Tato analýza pomůže přesně identifikovat kritická místa, vyhodnotit možné dopady na chod organizace a jasně určit oblasti, kterým je potřeba věnovat největší pozornost.

Právě systematická práce s riziky je jedním ze základních principů moderní kybernetické bezpečnosti - a zároveň klíčovým podkladem pro všechny další kroky spojené s plněním regulatorních požadavků.

Nástroje pro analýzu kybernetických rizik

Na trhu dnes existují specializované nástroje, které organizacím pomáhají získat lepší přehled o jejich kybernetických rizicích a systematicky řídit bezpečnostní opatření. Jedním z nich je certifikovaný nástroj CSA (Cyber Security Audit) od českého vývojáře informačních systémů spol. GORDIC, který získal certifikaci v souladu se zákonem o kybernetické bezpečnosti (ZoKB) od nezávislé auditorské společnosti TAYLLORCOX.

Certifikovaný nástroj GORDIC CSA - Cyber Security Audit

Aplikace Cyber Security Audit (CSA) umožňuje zpracovat analýzu rizik a řídit související procesní náležitosti kybernetické bezpečnosti z jednoho místa. Organizacím pomáhá s evidencí a hodnocením aktiv, identifikací hrozeb a zranitelností, posouzením kybernetických rizik, návrhem bezpečnostních opatření, plánováním jejich realizace i následným řízením rizik.

Součástí nástroje jsou funkce pro audit kybernetické bezpečnosti, správu bezpečnostních událostí a incidentů, hodnocení dodavatelů, tvorbu plánů kontinuity nebo přípravu prohlášení o aplikovatelnosti.

CSA pracuje s metodikami vycházejícími ze skupiny norem ISO/IEC 27000 a požadavků české legislativy v oblasti kybernetické bezpečnosti a pomáhá organizacím připravit podklady také pro plnění požadavků souvisejících s NIS2.

Díky zabezpečenému online prostředí, přehledným výstupům a možnostem integrace s dalšími nástroji umožňuje CSA spravovat bezpečnostní agendu efektivněji než při využívání běžných tabulkových či textových nástrojů.

Pro organizace, které potřebují zmapovat své digitální prostředí, identifikovat slabá místa a získat podklady pro další bezpečnostní kroky, představuje CSA praktickou metodickou i technologickou podporu.

Příprava na CRA začíná porozuměním vlastním rizikům

Nová evropská pravidla posouvají kybernetickou bezpečnost od reakce na problémy k jejich předcházení. Organizace, které si včas zmapují svá rizika a nastaví odpovídající opatření, budou mít lepší pozici při naplňování nových požadavků.

Prvním krokem přitom není rozsáhlá transformace, ale důkladné zmapování současného stavu a identifikace kybernetických rizik. Právě na těchto základech lze následně stavět další opatření vedoucí ke splnění požadavků CRA.

Článek GORDIC spol. s r. o. ze dne středa 5. srpna 2026

Další články od GORDIC spol. s r. o.