Cyber Resilience Act (CRA), v slovenskom preklade Akt o kybernetickej odolnosti, je nariadenie EÚ 2024/2847. Zavádza povinné bezpečnostné požiadavky pre produkty s digitálnymi prvkami – softvér aj hardvér – ktoré sa uvádzajú na trh Európskej únie. Keďže ide o nariadenie, platí priamo vo všetkých členských štátoch.

Podstatou je posun zodpovednosti na výrobcu: bezpečnosť už nemá byť dodatočnou funkciou, ale vlastnosťou produktu od návrhu cez vývoj až po podporu na konci životného cyklu.

Hlavné povinnosti a termíny

  • Hlásenie – od 11. septembra 2026 musia výrobcovia hlásiť aktívne zneužívané zraniteľnosti a vážne incidenty národnému CSIRT-u a agentúre ENISA. Prvé varovanie do 24 hodín, podrobnejšie hlásenie do 72 hodín.
  • Ostatné povinnosti – väčšina ďalších požiadaviek sa uplatňuje od 11. decembra 2027.
  • SBOM – výrobca vedie zoznam softvérových komponentov v strojovo čitateľnom formáte a uchováva ho minimálne 10 rokov.
  • Bezpečnostné aktualizácie – poskytujú sa bezplatne, spravidla aspoň 5 rokov.
  • Sankcie – pokuty môžu dosiahnuť až 15 mil. € alebo 2,5 % celosvetového ročného obratu.

Čo to znamená pre vývoj softvéru

Ako opisuje článok Cyber Resilience Act mení spôsob, akým sa vyvíja softvér, výrobcovia musia mať prehľad o všetkých knižniciach a závislostiach, proces na prijímanie a vyhodnocovanie hlásení o zraniteľnostiach a spôsob, ako bezpečnostné opravy dostať k zákazníkom. V praxi to znamená bezpečný vývojový cyklus, automatizované skenovanie závislostí, verziovanie a dokumentáciu.

PosAm tieto požiadavky rieši aj na vlastných produktoch – pripravuje Servio WFMS na požiadavky CRA – a pre svoje produkty prevádzkuje kanál na nahlásenie bezpečnostnej zraniteľnosti.

CRA verzus NIS2

Smernica NIS2 rieši kybernetickú bezpečnosť prevádzky organizácií, CRA bezpečnosť produktov. Ak nakupujete softvér, CRA vám dáva silnejšiu pozíciu: môžete od dodávateľa očakávať transparentnosť komponentov a dlhodobú podporu.

Časté otázky

Týka sa CRA aj softvéru na zákazku?

Závisí od toho, či sa produkt uvádza na trh, a od výnimiek v nariadení. Pri konkrétnom produkte odporúčame posúdenie s odborníkom.

Čo by mal výrobca urobiť ako prvé?

Zmapovať produkty a ich komponenty, vytvoriť SBOM a nastaviť proces prijímania a hlásenia zraniteľností, keďže táto povinnosť už platí.

Ak plánujete nový softvér a chcete mať požiadavky CRA zapracované od začiatku, pozrite si, ako PosAm pristupuje k vývoju softvéru.