Od 11. září 2026 začnou platit první povinnosti podle takzvaného Aktu o kybernetické odolnosti, evropského nařízení známého jako Cyber Resilience Act. Většina pravidel naběhne až koncem roku 2027, ohlašovací povinnosti ale přijdou dřív.
Podstata je jednoduchá. Kdo vyrábí nebo vyvíjí produkt, který se nějak digitálně připojuje, bude muset hlásit aktivně zneužívané zranitelnosti a vážné bezpečnostní incidenty. A to rychle, do 24 hodin od chvíle, kdy je zjistí.
Důležité je, koho se to týká. Nejsou to jen výrobci routerů nebo průmyslových strojů. Nařízení dopadá na každou firmu, která dělá software, mobilní aplikaci nebo firmware, od bankovní aplikace po chůvičku k dítěti. Nezáleží na velikosti ani na oboru, stejná pravidla platí pro živnostníka i pro velkou korporaci. Produkty se dělí na tři kategorie podle rizika a podle toho se liší i náročnost.
Zářijový termín se zatím týká hlavně hlášení, tvrdší část přijde později. I tak je dobré vědět, co se blíží. Firma, která software jen prodává nebo si ho nechává dělat na zakázku, by měla mít jasno, jestli povinnost dopadá na ni, nebo na dodavatele. Nastavit si, kdo a jak rychle nahlásí incident, se dá v klidu teď. Po termínu už to bude práce pod tlakem.
Zašifrovaná data a výzva k platbě: první hodiny rozhodují o tom, jestli budete mimo provoz dva dny, nebo dva týdny. Konkrétní postup, co dělat, koho volat, proč hned neplatit a jak obnovit provoz ze záloh.
Útočníci málokdy potřebují neznámou díru, stačí jim, co firma zanedbá. K tomu se za poslední rok zpřísnila pravidla. Co konkrétně zavést, aby se přes vás nedostali a abyste byli v souladu.
Napište nám, co u vás řešíte. Společně probereme, jestli vám můžeme pomoci.
