Zatiaľ čo zákon o kybernetickej bezpečnosti sa vzťahuje na prevádzkovateľov základnej služby, čiže na organizácie, akt o kybernetickej odolnosti sa vzťahuje na produkty. Samozrejme, že v konečnom dôsledku nariadenie CRA definuje nové povinnosti pre firmy a inštitúcie. Takže výrobcovia, dodávatelia a distributéri si budú musieť „urobiť poriadok“.
Únia takto plní cieľ dosiahnuť bezpečnejšie produkty s digitálnymi prvkami a chce naučiť koncových používateľov, aby toto kritérium zvažovali pri nákupoch.
Hoci tento cieľ je absolútne správny, jeho presadzovanie cez dodatočnú reguláciu môže naraziť na ekonomickú realitu. Najmä ak ide výrobcov nejakej digitálnej „drobnosti“, motivácia plniť tieto požiadavky môže byť nízka, až mizivá.
EU však zároveň odhaduje, že až 90 percent produktov bude podliehať samohodnoteniu a vydaniu príslušného vyhlásenia.
Ako teda postupovať pri zavádzaní CRA v praxi?
Krok č. 1: čo je doma, to sa počíta
Ako prvé je nutné spraviť si inventár produktov dodávaných na trh EU, ktoré obsahujú digitálne hardvérové, alebo softvérové prvky. Tieto produkty musíme následne správne zaradiť do troch kategórií podľa miery rizika.
Kritické produkty predstavujú najvyššiu bezpečnostnú kategóriu. Príkladom sú čipové karty, či hardvérové zariadenia s bezpečnostným úložiskom.
Kategória dôležité produkty má dve podkategórie, triedu I a triedu II. Príkladom sú smerovače, firewally a správcovia hesiel.
Štandardné produkty sú všetko, čo nepatrí do vyššie uvedených kategórií. Presné definície jednotlivých kategórií a tried je možné nájsť v prílohách príslušného nariadenia.
Ako sa to stáva pri nariadeniach a reguláciách, aj tu platia výnimky. V princípe sa výnimky týkajú najmä produktov, ktoré sú už regulované inými normami napríklad v zdravotníctve či automobilovom priemysle a spĺňajú, či dokonca prevyšujú dané požiadavky.
Osobitnou výnimkou sú aj produkty určené výlučne na účely národnej bezpečnosti či produkty, ktoré spracovávajú utajované skutočnosti.
Krok č. 2: vyhrňme si rukávy
Bez ohľadu na kategóriu sú vecné požiadavky na bezpečnosť rovnaké a nájdeme ich v prílohe nariadenia. Kľúčové princípy bezpečnosti by sa dali zhrnúť podľa prílohy do dvoch častí.
Prvá časť prílohy sa týka samotného produktu. Zahŕňa bezpečnosť už v návrhu a v predvolenom nastavení, analýzu rizík ako východiskový bod, minimalizáciu útočnej plochy, dodanie bez známych zneužiteľných zraniteľností, bezpečnú predvolenú konfiguráciu, ochranu dôvernosti a integrity dát čiže šifrovanie a zber len nevyhnutných údajov.
Druhá časť prílohy rieši manažment zraniteľností počas celej doby podpory. Sem patrí udržiavanie súpisu komponentov, politika koordinovaného zverejňovania zraniteľností, bezplatné a včasné bezpečnostné aktualizácie a jasne stanovená dobu podpory.
V praxi to predstavuje bezpečný vývojový cyklus a „produktizovaný“ manažment zraniteľností. Pre zrelého dodávateľa ide skôr o formalizáciu toho, čo už robí. Pre ostatné subjekty je to však zmena myslenia. Bezpečnosť prestáva byť jednorazovým míľnikom pred vydaním a stáva sa procesom na roky dopredu.
Krok č. 3: preukázanie zhody
Základná myšlienka je, že bezpečnostné požiadavky sú rovnaké pre všetky tri kategórie – od bluetooth reproduktora až po firewall. Kategória mení iba to, ako musíte preukázať zhodu.
Štandardné produkty si vystačia s interným samohodnotením: dodávateľ zostaví technickú dokumentáciu, vydá EÚ vyhlásenie o zhode a produkt označí značkou CE. Dôležité produkty triedy I môžu ísť cestou samohodnotenia len vtedy, ak v plnom rozsahu uplatnia harmonizované normy, inak potrebujú notifikovanú osobu.
Dôležité produkty triedy II a kritické produkty sa notifikovanej osobe nevyhnú. Zhodu môže preukázať aj pomocou EÚ skúšky typu „zhoda s typom“, alebo pomocou komplexného zabezpečenia kvality.
Pri kritických produktoch navyše pribudne európska certifikácia ako je napríklad EUCC, keď budú príslušné schémy k dispozícii
Krok č. 4: nie je čas strácať čas
Prvý ostrý CRA termín je 11. september 2026, keď začínajú platiť oznamovacie povinnosti. Platí to pre produkty, ktoré sú na trhu už dnes a treba hlásiť aktívne zneužívané zraniteľnosti a závažné incidenty.
Plná účinnosť nariadenia CRA, čiže základné požiadavky a posúdenie zhody nastávajú 11. decembra 2027.
V súčasnosti je niečo ako legislatívne vákuum, keďže harmonizované normy zatiaľ nie sú citované a notifikované osoby prakticky ešte nie sú vymenované. To zvádza čakať. Lenže technická podstata kroku č. 2 je rovnaká bez ohľadu na to, ako sa „papierovačky“ nakoniec doladia.
Navyše dôležité a kritické produkty nebudú môcť dokončiť posúdenie treťou stranou, kým reálne nevzniknú notifikované osoby. Kto začne neskoro, narazí na úzke hrdlo. S vecnou prípravou preto treba začať už teraz.
Krok č. 5: opakujme si to najdôležitejšie
Treba začať konať. Odporúčam sledovať stránku NBÚ aj ďalšie oficiálne vestníky, keďže normy a vykonávacie akty pribúdajú priebežne.
Iniciatívu EÚ treba oceniť. Po prvýkrát dostávame naprieč trhom minimálnu latku bezpečnosti produktov s digitálnymi prvkami. Či je regulácia správna cesta, alebo sme mali nechať výber na trh a zákazníkov, nechajme na iné, netechnické kruhy.
Z pohľadu praxe je totiž podstatné niečo iné – revíziou produktov a komponentov spravíte tak či tak. A čím skôr, tým lepšie.
Michal Srnec vedúci oddelenia informačnej bezpečnosti
Akt o kybernetickej odolnosti. Ako ho uchopiť v 5 krokoch 2026
IUSTITIA.BG – Investigations 2009-2026 2026-08-27 23:19:00
Bratislava, Košice, Prešov, Žilina, Nitra, Banská Bystrica, Trnava, Trenčín, Poprad, Martin, Prievidza, Zvolen, Michalovce, Komárno, Spišská Nová Ves, Levice, Humenné, Bardejov, Liptovský Mikuláš, Lučenec, Piešťany, Ružomberok, Topoľčany, Trebišov, Čadca, Rimavská Sobota, Dubnica nad Váhom, Pezinok, Dunajská Streda, Partizánske, Vranov nad Topľou, Šaľa, Hlohovec, Brezno, Senica, Snina, Nové Mesto nad Váhom, Senec, Rožňava, Žiar nad Hronom, Dolný Kubín, Bánovce nad Bebravou, Púchov, Malacky, Handlová, Kežmarok, Stará Ľubovňa, Sereď, Skalica, Galanta, Kysucké Nové Mesto, Levoča, Detva, Šamorín, Sabinov, Stupava, Revúca, Veľký Krtíš, Myjava, Zlaté Moravce, Bytča, Moldava nad Bodvou, Holíč, Nová Dubnica, Svidník, Kolárovo, Fiľakovo, Stropkov, Štúrovo, Banská Štiavnica, Šurany Najnovšie správy Svetové správy Správy z krajín Najdôležitejšie správy najnovšie správy najdôležitejšie najnovšie správy dňa Sudca Petar Nizamov Perie Petar Nizamov- Perie Spravodlivosť bg iustitia.bg iustitia iusticia vyšetrovanie Burgas Bulharsko správy správy z poslednej hodiny správy dňa správy dňa správy z dnešného dňa Bulharsko správy Správy z Bulharska blitz správy najdôležitejšie správy najkomentovanejšie najnovšie správy Bojko Borisov správy počasie správy o koronavíruse správy o počasí facebook youtube facebook instagram správy dnes správy z posledných minút správy dnes dnešné správy správy bg správy hlavné správy horúce správy bg spravodajský web pre správy všetky správy správy bg správy z poslednej hodiny najnovšie najnovšie správy bg správy z dnešného dňa správy dnešné správy správy z poslednej hodiny najnovšie správy dnešné správy bg správy správy 24 hodín správy vesti bg novini správy zo sveta vták bg bivol bg bivol trud bg novini najnovšie správy dnes novinite bg správy ahoj bulharsko politická strana erb deljan peevski škandálny bulharská národná televízia Slobodná Európa televízny škandál exkluzívne živá televízia naživo práve teraz tv tv online televízny program bg live now tv news online tv online naživo súd Burgas súd Okresný súd Burgas Súd v Burgase Okresný súd v Burgase Okresný súd v Burgase Odvolací súd v Burgase Prokurátor v Burgase Prokuratúra v Burgase Okresná prokuratúra v Burgase Okresná prokuratúra v Burgase Okresná prokuratúra v Burgase Okresná prokuratúra v Burgase Okresná prokuratúra v Burgase Generálny prokurátor Ivan Geshev Prokurátor Geshev Tsatsarov Ministerstvo vnútra Burgas Úrad pre ľudské práva Burgas Úrad pre verejné záležitosti Burgas Polícia v Burgase Okresná polícia v Burgase Prokurátor v Burgase Tsatsarov Prípady SGS Súd vo Varne Predseda SGS Súdne rozhodnutia v občianskoprávnych veciach Rozhodnutia vo veciach Súd vo Plovdive Rozhodnutie súdu Rozhodnutia súdu Prípady Súd vo Varne Trestné veci Rozhodnutia okresného súdu Práca na súde SGS Predseda SGS Sudcovia Súdny post v Sofii Sudcovia Súd v Plovdive Sudcovia v Plovdive Inšpektorát Najvyššieho súdu Najvyšší súdny súd Najvyššia súdna rada Právnik Právnik v trestných veciach Právnik v trestných veciach Právnik v občianskoprávnych veciach Právnik v manželských veciach Právnik v správnych trestných veciach Trestný proces Občianske právo Občianskoprávny proces Správne právo Ústavné právo
