Nová evropská pravidla pro digitální produkty. První povinnosti platí od 11. září

Od 11. září 2026 začnou platit první povinnosti podle takzvaného Aktu o kybernetické odolnosti, evropského nařízení známého jako Cyber Resilience Act. Většina pravidel naběhne až koncem roku 2027, ohlašovací povinnosti ale přijdou dřív.

Podstata je jednoduchá. Kdo vyrábí nebo vyvíjí produkt, který se nějak digitálně připojuje, bude muset hlásit aktivně zneužívané zranitelnosti a vážné bezpečnostní incidenty. A to rychle, do 24 hodin od chvíle, kdy je zjistí.

Důležité je, koho se to týká. Nejsou to jen výrobci routerů nebo průmyslových strojů. Nařízení dopadá na každou firmu, která dělá software, mobilní aplikaci nebo firmware, od bankovní aplikace po chůvičku k dítěti. Nezáleží na velikosti ani na oboru, stejná pravidla platí pro živnostníka i pro velkou korporaci. Produkty se dělí na tři kategorie podle rizika a podle toho se liší i náročnost.

Zářijový termín se zatím týká hlavně hlášení, tvrdší část přijde později. I tak je dobré vědět, co se blíží. Firma, která software jen prodává nebo si ho nechává dělat na zakázku, by měla mít jasno, jestli povinnost dopadá na ni, nebo na dodavatele. Nastavit si, kdo a jak rychle nahlásí incident, se dá v klidu teď. Po termínu už to bude práce pod tlakem.