Často kladené otázky

Klasifikácia sa riadi základnou funkciou produktu, nie každou funkciou, ktorú obsahuje. Ak základná funkcia zodpovedá kategórii uvedenej v prílohe III, produkt je „dôležitý“ (trieda I alebo II); ak zodpovedá prílohe IV, je „kritický“; inak je „predvolený“. Schopnosť ako správa identít alebo VPN, zahrnutá len ako funkcia, nerobí produkt „dôležitým“, pokiaľ to nie je jeho základný účel. Ak by sa mohla uplatniť viac než jedna kategória, uplatní sa prísnejšia trieda. Art. 7

Nekomerčný open-source softvér vyvíjaný mimo komerčnej činnosti je z veľkej časti mimo rozsahu pôsobnosti. Správcovia open-source softvéru majú ľahší, prispôsobený súbor povinností. Open-source komponenty dodávané v rámci komerčnej činnosti môžu patriť do rozsahu pôsobnosti.

Samostatné služby spravidla spadajú mimo CRA. Vzdialené riešenia na spracovanie údajov, ktoré sú nevyhnutné na to, aby produkt plnil svoje funkcie, sa však považujú za súčasť tohto produktu a patria do rozsahu pôsobnosti. Byť mimo CRA neznamená byť neregulovaný: webové a cloudové služby môžu podliehať iným pravidlám EU, najmä NIS2 (Directive (EU) 2022/2555) v prípade stredných a veľkých subjektov v pokrytých sektoroch a GDPR v prípade osobných údajov. Art. 3(2)

Áno. CRA sa vzťahuje na produkty uvádzané na trh EÚ bez ohľadu na to, kde je výrobca usadený. Výrobcovia mimo EÚ musia zabezpečiť, aby za príslušné povinnosti zodpovedal hospodársky subjekt usadený v Únii.

Delia sa do dvoch častí prílohy I: bezpečnostné vlastnosti, ktoré produkt musí mať (predvolene bezpečný, dôvernosť, integrita, dostupnosť, minimalizovaný útočný povrch, bezpečnostné aktualizácie), a procesy riešenia zraniteľností, ktoré musí výrobca prevádzkovať (SBOM, náprava, koordinované zverejňovanie). Príloha I

Áno. Výrobcovia musia identifikovať a zdokumentovať komponenty obsiahnuté v produkte, a to aj vypracovaním softvérového kusovníka v bežne používanom, strojovo čitateľnom formáte. Príloha I · II(1)

Obdobie podpory je čas, počas ktorého musí výrobca poskytovať bezpečnostné aktualizácie. Musí odrážať obdobie, počas ktorého sa odôvodnene očakáva používanie produktu: predvolene päť rokov, kratšie, ak je očakávané používanie kratšie, a dlhšie, ak je dlhšie. Art. 13(8)

Aktívne zneužívané zraniteľnosti a závažné incidenty ovplyvňujúce bezpečnosť produktu sa musia oznámiť ENISA a príslušnej CSIRT. Včasné varovanie sa musí podať do 24 hodín od zistenia, po ňom nasleduje úplnejšie oznámenie a záverečná správa. Art. 14

Akt nadobudol účinnosť 10. decembra 2024. Oznamovacie povinnosti sa uplatňujú od septembra 2026 (o 21 mesiacov neskôr) a väčšina povinností sa uplatňuje od decembra 2027 (o 36 mesiacov neskôr). Art. 71

Porušenie základných požiadaviek alebo povinností výrobcu môže viesť k pokutám až do výšky 15 miliónov € alebo 2,5 % celkového celosvetového ročného obratu, podľa toho, ktorá hodnota je vyššia. Na iné porušenia a na poskytnutie nesprávnych informácií sa vzťahujú nižšie stropy.

Áno, od 11. septembra 2026, teda od dňa, keď sa začala uplatňovať samotná povinnosť podľa Art. 14. Platforma je v prevádzke na adrese portal.cra-srp.enisa.europa.eu; zvolíte rolu splnomocneného zástupcu a prihlásite sa účtom EU Login s aktivovaným viacfaktorovým overením. Agentúra ENISA zverejnila túto adresu vo svojich častých otázkach k SRP 10. septembra 2026 spolu s používateľskou príručkou pre splnomocnených zástupcov a obchodnými podmienkami platformy. S platformou neprišli štyri veci: dobrovoľné hlásenie podľa Art. 15, rozhranie API na hlásenie, pole na uvedenie vedomosti o aktívne zneužívaných zraniteľnostiach a 72-hodinový čítač, ktorý odmeriava čas od okamihu, keď sa o skutočnosti dozviete, a nie od odoslania vášho včasného varovania, čo znamená, že hodiny na obrazovke môžu zobraziť podanie ako oneskorené skôr, než uplynie zákonná lehota. Platforma zatiaľ funguje iba v angličtine. Pozrite si sprievodca hlásením. Art. 14 · 16

Žiadosť Komisie o normalizáciu M/606 prijali CEN, CENELEC a ETSI v roku 2025, pričom pokrýva približne 41 noriem (horizontálne a špecifické pre produkty). Po návrhu zmeny Komisie z júla 2026 týkajúcom sa M/606, ktorý posunul termíny na rok 2026 o dva mesiace, sa dve základné horizontálne normy (bezpečný vývoj a riešenie zraniteľností) teraz očakávajú do 31. októbra 2026, vertikálne normy pre produkty do 31. decembra 2026 a zostávajúce horizontálne normy do 30. októbra 2027, pred úplným uplatňovaním v decembri 2027. Dodržiavanie citovanej harmonizovanej normy zakladá predpoklad zhody. Príloha I

Vykonajte postup posudzovania zhody pre triedu vášho produktu, zostavte technickú dokumentáciu, vypracujte a podpíšte EÚ vyhlásenie o zhode a potom umiestnite označenie CE. Predvolené produkty môžu vykonať vlastné posúdenie; dôležité a kritické produkty vyžadujú prísnejšie postupy. Art. 28 · 32

Začnite rýchlou kontrolou CRA na potvrdenie rozsahu pôsobnosti a triedy, postupujte podľa sprievodcu napísaného pre vašu úlohu a pomocou matice súladu sledujte plnenie základných požiadaviek až do dokončenia.

Povinnosti hlásenia podľa článku 14 nadobúdajú účinnosť. Od tohto dátumu musia výrobcovia oznamovať aktívne zneužívané zraniteľnosti a závažné incidenty organizácii ENISA a príslušnému CSIRT prostredníctvom jednotnej platformy pre hlásenie. Ide o prvú z hlavných povinností CRA, ktorá nadobúda účinnosť, výrazne pred plným uplatňovaním 11. decembra 2027. Pozri sprievodca hlásením. Art. 14 · 71

Nie. Iba aktívne zneužívané zraniteľnosti a závažné incidenty ovplyvňujúce bezpečnosť vášho produktu sa musia hlásiť podľa článku 14. Zraniteľnosti, ktoré objavíte a opravíte pred ich zneužitím, sa riešia prostredníctvom bežného procesu správy zraniteľností, nie prostredníctvom tohto kanála hlásenia. The sprievodca hlásením stanovuje test a lehoty. Art. 14

Prostredníctvom jednotnej platformy pre hlásenie agentúry ENISA, ktorá je v prevádzke od 11. septembra 2026 na adrese portal.cra-srp.enisa.europa.eu a ktorá smeruje vaše oznámenie agentúre ENISA a príslušnému národnému CSIRT. Včasné varovanie odošlete do 24 hodín od okamihu, keď sa o skutočnosti dozviete, podrobnejšie oznámenie do 72 hodín a záverečnú správu do 14 dní od sprístupnenia nápravného opatrenia v prípade zraniteľnosti, alebo do jedného mesiaca od oznámenia podaného do 72 hodín v prípade závažného incidentu. Prihlásenie prebieha cez EU Login s viacfaktorovým overením. Pozrite si podrobný návod krok za krokom sprievodca hlásením. Art. 14 · 16

Spravidla nie samo osebe. Usmernenie Komisie objasňuje, že softvér, ktorý sa spúšťa na zariadení používateľa (stiahnutá aplikácia, rozšírenie prehliadača, lokálne nainštalovaný klient), je produktom s digitálnymi prvkami, kým webová aplikácia používaná výlučne prostredníctvom prehliadača alebo webové sídlo, ktoré iba poskytuje informácie, ním nie je. Vzdialená služba je zahrnutá len vtedy, ak ide o vzdialené spracovanie údajov, ktoré je nevyhnutné na to, aby produkt plnil svoje funkcie. Byť mimo rozsahu CRA však neznamená byť neregulovaný: služba dostupná len cez web môže stále patriť pod NIS2 (v prípade stredných a veľkých poskytovateľov) a GDPR. Art. 3 Pozrite si Prehľad usmernenia Komisie.

Môže to zmeniť odpoveď, pretože CRA reguluje produkty, nie služby. Ten istý kód zabalený ako inštalovateľná aplikácia (vrátane zostavenia pomocou Capacitor, Electron alebo podobných nástrojov) sa spúšťa na zariadení používateľa a je produktom s digitálnymi prvkami, takže sa naň CRA vzťahuje. Ak je poskytovaný iba ako progresívna webová aplikácia v prehliadači, ide o webovú službu a ako produkt spravidla spadá mimo CRA; backend, s ktorým komunikuje, sa zahŕňa len vtedy, ak ide o vzdialené spracovanie údajov, ktoré produkt potrebuje na plnenie svojich funkcií. Dve upozornenia: služba dostupná len cez web nie je neregulovaná (NIS2 sa môže vzťahovať na stredných a veľkých poskytovateľov a GDPR na osobné údaje) a hranica medzi produktom a službou sa môže stierať, preto rozhodnutie „dodať PWA“ považujte za architektonické rozhodnutie, nie za zaručenú výnimku. Art. 3 Pozrite si Prehľad usmernenia Komisie.

Len ak je aktualizácia podstatná zmena: zmena, ktorá mení riziko kybernetickej bezpečnosti výrobku spôsobom, ktorý vaše posúdenie rizika ešte nezohľadňovalo. Bežné bezpečnostné aktualizácie zvyčajne nie sú podstatnými úpravami. Ak je aktualizácia podstatná, upravený výrobok sa považuje za nanovo uvedený na trh a pre dotknuté časti sa vyžaduje nové posúdenie zhody. Art. 3(30) The Usmernenie Komisie stanovuje tento test.