Výrobci do 24 hodin musí hlásit, že někdo hackuje tvoji chytrou kameru nebo zámek. Co to znamená pro tebe?

Stručně: Od 11. září 2026 musí výrobci chytrých zařízení v EU hlásit aktivně zneužívané zranitelnosti a závažné incidenty. První varování mají poslat do 24 hodin, podrobné hlášení do 72 hodin. Týká se to kamer, chytrých zámků, hlídačů, hodinek, televizí i chytrých spotřebičů, včetně těch, které už máš doma. Hlavní povinnosti nařízení (CRA) začnou platit až 11. prosince 2027. 

Autor: Ondřej Kaňa

Co je Cyber Resilience Act

Cyber Resilience Act (CRA) je evropské nařízení, které stanovuje povinné kybernetické požadavky pro hardware i software s digitálními prvky. Evropská komise u něj zmiňuje trackery dětí, chytré hodinky, aplikace i počítačové programy. Nařízení platí od 10. prosince 2024, ale povinnosti se zapínají postupně.

Co se změnilo 11. září 2026

Podle Evropské komise musí výrobci od tohoto data hlásit aktivně zneužívané zranitelnosti a závažné incidenty, které ovlivňují bezpečnost jejich produktů. Lhůty jsou přísné:

• 24 hodin: první varování,
• 72 hodin: hlavní hlášení,
• do 14 dnů po dostupnosti opravy: závěrečná zpráva u zneužívané zranitelnosti,
• do jednoho měsíce: závěrečná zpráva u závažného incidentu.

Hlášení jdou přes jednotnou platformu, kterou provozuje agentura ENISA, a míří na národní CSIRT a ENISA. Povinnost platí pro všechny produkty uvedené na trh EU, i ty, které už prodávané byly. 

Na jaká zařízení se to vztahuje

Podle Global Sources se pravidla týkají chytrých domácích kamer, televizí, ledniček, hraček a dalších produktů, které se přímo nebo nepřímo připojují k síti. Vyjmuté jsou kategorie, na které platí jiná regulace, například auta, zdravotnické prostředky a letecké systémy. Komise navíc výslovně zmiňuje chytré zámky dveří.

Co ti to v praxi dá

• Rychlejší reakce. Úřady a výrobce se o zneužité zranitelnosti dozvědí do jednoho dne, ne za týdny.
• Platí i pro starší produkty. Tvoje dnešní kamera nebo zámek spadá pod hlášení, i když ses ho koupil před lety.
• Odpovědnost výrobce. Pokud je zranitelnost v cizí komponentě, hlásit ji musí výrobce finálního produktu.

Co ti zákon zatím neslibuje

To je část, kterou ti většina textů neřekne:

• Hlášení míří na úřady, ne přímo na tebe. Komise píše, že se lidé mohou spolehnout na rychlejší upozornění, ale to, jestli a jak tě výrobce o problému přímo informuje, není nikde uvedeno.
• Neříká nic o tom, jak rychle bude zranitelnost opravena. Lhůta 24 hodin platí pro hlášení, ne pro záplatu.
• Malé firmy nemusí pokutu dostat. Mikropodniky a malé firmy nelze pokutovat za nedodržení lhůty 24 hodin.
• Nezaručuje, že tvoje zařízení nebude hacknuté. Jde o povinnost hlásit, ne o zákaz zranitelností.
• Plné požadavky ještě nejsou v platnosti. Produkty uvedené na trh před 11. prosincem 2027 podléhají nařízení jen tehdy, pokud se po tomto datu podstatně změní. Povinnost hlásit se ale týká všech.

Co se změní v prosinci 2027

Od 11. prosince 2027 začnou platit hlavní povinnosti. Pro tebe jako kupujícího jsou nejdůležitější tyto:

• Datum konce podpory. Výrobce musí při nákupu jasně uvést, do kdy (měsíc a rok) bude řešit zranitelnosti produktu.
• Označení CE. Značka ukáže, že produkt splňuje požadavky CRA.
• Kontakt na výrobce. K produktu musí být připojena adresa, e-mail nebo jiný kontakt na výrobce.
• Srozumitelný návod. Informace k bezpečné instalaci a používání musí být v jazyce, kterému uživatelé snadno rozumí.
• Vyšší kontrola u rizikových kategorií. Některé produkty nemohou projít jen vlastním posouzením výrobce, ale potřebují posouzení nezávislé stranou.

A jak je na to Česko?

V Česku zákon doplňující evropské nařízení v létě 2026 procházel připomínkovým řízením. Právník z Hospodářské komory ale upozorňuje, že evropská povinnost hlášení platí od 11. září bez ohledu na to, v jaké fázi je český zákon.

Šest věcí, které můžeš udělat hned

1. Zjisti výrobce a kontakt. U kamer, zámků a hlídačů si zkontroluj, kdo je výrobce a kde najdeš podporu.
2. Hlídej konec podpory. U nových zařízení po prosinci 2027 vyžaduj, ať je datum konce podpory uvedeno u nákupu. Pokud není, zvaž jiný produkt.
3. Zapni aktualizace u bezpečnostních zařízení. U kamer a zámků je rychlá oprava důležitější než riziko chybné aktualizace.
4. Vyřaď zařízení bez podpory. Pokud výrobce už aktualizace nevydává, dlouhodobě se nevyplatí zařízení používat.
5. Odděl chytrá zařízení do vlastní sítě. Hosté a IoT zařízení patří mimo síť s tvými počítači.
6. Nahlas zranitelnost, když na ni narazíš. Jednotná platforma umožňuje dobrovolné hlášení zranitelností a kybernetických hrozeb komukoli.

FAQ: Časté otázky o CRA a chytré domácnosti

Co je Cyber Resilience Act?
Evropské nařízení, které stanovuje povinné kybernetické požadavky pro hardware a software s digitálními prvky na trhu EU.

Od kdy platí povinnost hlásit zranitelnosti?
Od 11. září 2026. První varování musí výrobce poslat do 24 hodin a hlavní hlášení do 72 hodin.

Týká se to i zařízení, která už mám doma?
Ano. Povinnost hlášení platí pro všechny produkty uvedené na trh EU, i ty prodávané před 11. prosincem 2027.

Kdy začnou platit hlavní povinnosti nařízení?
11. prosince 2027. Do té doby platí hlavně povinnost hlášení.

Kam výrobce zranitelnosti hlásí?
Přes jednotnou platformu agentury ENISA, a to národnímu CSIRT a ENISA.

Dozvím se o zranitelnosti ve svém zařízení?
Komise říká, že se lidé mohou spolehnout na rychlejší upozornění. Povinnost přímého informování uživatelů jsem ale v načtených zdrojích neověřil.

Co znamená označení CE u chytrých zařízení?
Po zavedení hlavních povinností bude CE označovat produkty, které splňují požadavky CRA.

Musí výrobce uvést, jak dlouho bude zařízení podporovat?
Ano. Při nákupu musí jasně uvést datum konce podpory (měsíc a rok). Minimální délku podpory jsem v načtených zdrojích nepotvrdil.

Mohu sám nahlásit zranitelnost?
Ano, jednotná platforma umožňuje dobrovolné hlášení komukoli.

Platí CRA i pro auta nebo zdravotnické prostředky?
Ne, tyto kategorie jsou vyjmuty, protože na ně platí jiná regulace.

Verdikt

CRA je důležitý krok, ale je třeba si ho nespletovat s ochranou před hackery. Od 11. září výrobci musí hlásit zneužité zranitelnosti, což zrychluje reakci úřadů. Zásadní pravidla pro tebe jako kupujícího, jako datum konce podpory a CE označení, ale přijdou až v prosinci 2027. Do té doby se spoléhej hlavně na vlastní opatrnost.

Zdroje: Evropská komise: Safer and more secure digital products (11. 9. 2026) · Cyber Resilience Act (Shaping Europe's digital future) · Shrnutí nařízení · BusinessInfo.cz · Global Sources

Cyber Resilience Act, CRA, kybernetická odolnost produktů, 11. září 2026, hlášení zranitelností, povinnost hlásit zranitelnosti, aktivně zneužívané zranitelnosti, bezpečnost chytré domácnosti, bezpečnost chytrých kamer, chytré zámky bezpečnost,