Ešte pred pár rokmi platilo, že softvér sa dodá a bezpečnosť sa „doladí“ podľa potreby. Cyber Resilience Act (CRA) to otáča naruby. Hovorí jasne: kto softvér vyvíja a uvádza na trh, ten za jeho bezpečnosť aj zodpovedá – od uvedenia na trh až po koniec podpory. To, čo bolo doteraz dobrou praxou, je teraz zákonná povinnosť.

A nejde len o odporúčanie. Za porušenie základných bezpečnostných požiadaviek hrozí firme pokuta až do 15 miliónov eur alebo 2,5 % z celosvetového ročného obratu – podľa toho, čo je vyššie.

Pre vývojárske tímy to znamená jednu zásadnú zmenu: bezpečnosť sa musí riešiť od prvého commitu, priamo vo vývojovej pipeline, nie tesne pred odovzdaním.

Čo presne CRA prináša

Cyber Resilience Act (nariadenie EÚ 2024/2847) je prvý celoeurópsky predpis, ktorý stanovuje povinné bezpečnostné požiadavky pre produkty s digitálnymi prvkami – softvér aj hardvér – predávané na trhu EÚ. Nariadenie už platí a jeho povinnosti nabiehajú postupne: hlásenie zraniteľností je povinné od 11. septembra 2026, väčšina ostatných povinností od 11. decembra 2027.

Z pohľadu bežnej vývojárskej praxe sú kľúčové tri veci:

  • Riadenie zraniteľností. Firma musí mať proces, ako zraniteľnosti nachádza, vyhodnocuje a opravuje. Aktívne zneužívané zraniteľnosti a vážne incidenty treba hlásiť národnému CSIRT-u aj európskej agentúre ENISA cez jednotnú platformu – prvé varovanie do 24 hodín, podrobnejšie do 72 hodín od zistenia.
  • Prehľad o zložení softvéru. Každý produkt musí mať SBOM (Software Bill of Materials) – zoznam všetkých komponentov a knižníc, z ktorých je poskladaný, v strojovo čitateľnom formáte. Uchováva sa minimálne 10 rokov.
  • Bezpečnosť počas celej podpory. Produkt sa nesmie dodať so známou zraniteľnosťou a firma musí poskytovať bezpečnostné aktualizácie zdarma, spravidla aspoň päť rokov.

Spoločný menovateľ všetkých troch bodov: nestačí byť bezpečný, treba to vedieť aj dokázať. A to sa nedá odbaviť manuálne, raz za čas, na konci projektu – musí to byť súčasť každého buildu.

Prečo je SBOM viac než formalita

Väčšina moderného softvéru je poskladaná z open-source knižníc a komponentov od iných firiem – bežná aplikácia môže mať stovky závislostí, a každá z nich je potenciálna cesta pre útočníka. Prípad Log4Shell to ukázal jasne: najväčším problémom firiem nebola samotná oprava, ale zistiť, kde všade sa zraniteľná knižnica vôbec používa.

Presne to má riešiť SBOM. Ak je aktuálny a strojovo čitateľný, otázka „zasiahla nás táto nová zraniteľnosť?“ sa dá zodpovedať v priebehu minút, nie dní – ale len za jednej podmienky, že existuje pre celé portfólio, nielen pre nové projekty. Jednorazovo vytvorený SBOM totiž zastará hneď pri ďalšom vydaní. Zmysel má len vtedy, keď vzniká automaticky, ako súčasť build procesu.

Dôležité termíny a pokuty podľa CRA

Cyber Resilience Act zavádza viacero kľúčových termínov: od 11. septembra 2026 platí povinnosť hlásiť aktívne zneužívané zraniteľnosti a závažné bezpečnostné incidenty, od 11. decembra 2027 sa začína uplatňovať väčšina ostatných požiadaviek nariadenia.

Dátum Povinnosť
11. september 2026 Počiatočné hlásenie aktívne zneužívaných zraniteľností a závažných bezpečnostných incidentov národnému CSIRT a agentúre ENISA (do 24 hodín včasné varovanie, do 72 hodín podrobnejšia správa)
14 dní po náprave / 1 mesiac po incidente Záverečná správa s popisom príčiny incidentu a prijatých nápravných opatrení
11. december 2027 Začiatok uplatňovania väčšiny ostatných požiadaviek CRA na produkty s digitálnymi prvkami (napr. SBOM, bezpečnosť pri návrhu)


Pri nesúlade CRA rozlišuje tri kategórie pokút podľa typu porušenia, nie podľa všeobecnej „závažnosti“: až 15 miliónov eur alebo 2,5 % celosvetového ročného obratu za porušenie základných bezpečnostných požiadaviek na produkt a povinností výrobcu, až 10 miliónov eur alebo 2 % za porušenie ostatných povinností nariadenia (napríklad súvisiacich s dokumentáciou alebo procesmi), a až 5 miliónov eur alebo 1 % za poskytnutie nesprávnych, neúplných alebo zavádzajúcich informácií orgánom dohľadu alebo notifikovaným osobám.

Čo ak firma zatiaľ SBOM nemá?

Log4Shell ukázal praktickú hodnotu prehľadu o softvérových komponentoch organizácií (pozri správu CISA Cyber Safety Review Board), bez SBOM firmy ťažšie zisťovali, kde presne zraniteľnú knižnicu používajú. Rovnaký princíp platí aj pri príprave na CRA: čím skôr má firma prehľad o komponentoch vo svojich produktoch, tým rýchlejšie dokáže reagovať na novú zraniteľnosť aj preukázať súlad s nariadením.

Ako vývoj softvéru poňatý cez DevSecOps procesy vám vieme pomôcť nastaviť SBOM aj hlásenie zraniteľností priamo v CI/CD pipeline, ako software house máme s tým vlastnú prevádzkovú skúsenosť.

Ako to funguje v praxi?

Požiadavky CRA sme zaviedli priamo do vývojových procesov, ako súčasť DevSecOps:

SBOM vzniká automaticky pri každom builde, vo formáte CycloneDX – rovnako ako samotná aplikácia. Každá verzia produktu tak má presný záznam o tom, z čoho je zložená.

  • SBOM následne putuje do Dependency-Tracku – open-source platformy projektu OWASP, ktorú na správu softvérových závislostí používa viac ako 20 000 organizácií vo svete. U nás slúži ako centrálny register všetkých produktov a komponentov. Zraniteľnosti vyhodnocujeme cez nástroj Trivy, ktorý komponenty rozpoznáva podľa presných identifikátorov balíkov, nie len podľa podobnosti názvu – takže falošných poplachov je málo. Register sa vyhodnocuje priebežne, takže o novom riziku vieme aj pri produktoch, ktoré bežia už roky.
  • Každé zistenie má vlastníka a jasný proces – triedime podľa závažnosti, pravdepodobnosti zneužitia a toho, či ide o aktívne zneužívanú zraniteľnosť. Dependency-Track navyše kontroluje aj licencie použitých komponentov voči našim interným pravidlám.

Výsledok: vulnerability management u nás nie je akcia raz za týždeň, ale nepretržitý proces na pozadí každého projektu.

Regulácia ako príležitosť, nie prekážka

Firmy, ktoré majú prehľad o svojich softvérových komponentoch, získavajú viac než len súlad s legislatívou. Rýchlejšie reagujú na incidenty, lepšie plánujú technologický dlh a vedia zákazníkom aj regulátorom ukázať, ako je ich softvér postavený. V tendroch a dodávateľských vzťahoch sa schopnosť doložiť SBOM čoraz častejšie stáva podmienkou spolupráce – nie len výhodou navyše.

Pomôžeme vám pripraviť sa

Ako software house aj systémový integrátor pomáhame firmám zvládnuť túto zmenu v praxi:

  • zavedieme procesy tvorby a správy SBOM priamo do CI/CD pipeline,
  • implementujeme nástroje na priebežné vyhodnocovanie zraniteľností, vrátane Dependency-Tracku a Trivy,
  • zosúladíme vývoj softvéru s požiadavkami CRA – od posúdenia rizík až po technickú dokumentáciu.

Súlad s CRA rieši bezpečnosť pri vývoji softvéru – ak vás zaujíma aj operačná bezpečnosť už bežiacej infraštruktúry a identít, pozrite si náš prehľad ako posiľňujeme kybernetickú bezpečnosť.

Kybernetická odolnosť dnes nie je len otázka IT. Je to otázka dôvery a konkurencieschopnosti.

Ak túto tému riešite, radi budeme vaším partnerom. Napíšte nám.

Zhrnutie

  • CRA (nariadenie EÚ 2024/2847) platí pre výrobcov produktov s digitálnymi prvkami uvádzaných na trh EÚ v rámci obchodnej činnosti.
  • Od 11. septembra 2026 platí povinnosť hlásiť aktívne zneužívané zraniteľnosti, od 11. decembra 2027 sa začína uplatňovať väčšina ostatných požiadaviek.
  • Pokuty majú tri kategórie podľa typu porušenia: od 5 mil. eur/1 % (nesprávne informácie orgánom dohľadu) až po 15 mil. eur alebo 2,5 % obratu (porušenie základných bezpečnostných požiadaviek).
  • SBOM musí byť v strojovo čitateľnom formáte (napríklad CycloneDX alebo SPDX, konkrétny štandard si firma volí sama); technická dokumentácia produktu sa musí uchovávať minimálne 10 rokov od jeho uvedenia na trh.
  • Príprava sa oplatí začať čo najskôr, zavedením SBOM a hlásenia zraniteľností priamo do CI/CD pipeline.

FAQ

Od kedy platia povinnosti podľa Cyber Resilience Act?

Povinnosť hlásiť aktívne zneužívané zraniteľnosti a závažné bezpečnostné incidenty platí od 11. septembra 2026. Väčšina ostatných požiadaviek, napríklad na SBOM a bezpečnosť produktu, sa začína uplatňovať od 11. decembra 2027.

Aké pokuty hrozia za nesúlad s CRA?

CRA rozlišuje tri kategórie pokút podľa typu porušenia: až 15 miliónov eur alebo 2,5 % celosvetového ročného obratu za porušenie základných bezpečnostných požiadaviek na produkt, až 10 miliónov eur alebo 2 % za porušenie ostatných povinností nariadenia a až 5 miliónov eur alebo 1 % za poskytnutie nesprávnych, neúplných alebo zavádzajúcich informácií orgánom dohľadu.

Ako dlho sa musí uchovávať technická dokumentácia podľa CRA?

Technická dokumentácia produktu sa musí uchovávať minimálne 10 rokov od jeho uvedenia na trh. SBOM musí byť v strojovo čitateľnom formáte, konkrétny štandard (napríklad CycloneDX alebo SPDX) si firma volí sama.

Zdroje

Súvisiace články