Evropská pravidla CRA se blíží, firmy musí začít mapovat rizika

Evropské nařízení o kybernetické odolnosti přinese nové povinnosti pro vývojáře i uživatele digitálních produktů. První pravidla začnou platit již v září a kompletní účinnost nastane kolem roku 2027. Zásadním krokem pro zvládnutí nové legislativy je podrobná inventarizace současného technologického prostředí.

Evropská unie rozšiřuje pravidla pro digitální bezpečnost. Zatímco starší směrnice NIS2 cílí primárně na vnitřní fungování a procesy firem, nová regulace známá jako Cyber Resilience Act (CRA) se zaměřuje na samotné produkty. Nařízení dopadá na širokou škálu řešení od softwaru až po chytrá zařízení a dotýká se nejen samotných výrobců, ale také dovozců a distributorů.

Bezpečnost jako součást návrhu

Podstatou předpisu je požadavek, aby digitální produkty počítaly s bezpečností již od fáze vývoje. Zákonodárci přitom nevyžadují absolutní bezchybnost, ale zavádějí povinnost mít funkční mechanismy pro správu zranitelností, vydávání aktualizací a reakci na bezpečnostní incidenty. Dopady nařízení pocítí i běžní odběratelé technologií, kteří budou muset přísněji posuzovat spolehlivost svých dodavatelů.

Včasná příprava a analýza

Časový harmonogram zavádění počítá s prvními povinnostmi již v září, přičemž plná účinnost nastane podle odhadů v roce 2027. Odborníci proto doporučují neodkládat přípravné kroky. Základem úspěšné adaptace je detailní přehled o používaných systémech a identifikace slabých míst skrze komplexní analýzu kybernetických rizik.

Pro systematické řízení bezpečnosti a zpracování auditů existují na trhu specializované programy. Příkladem je český nástroj CSA od společnosti GORDIC, který firmám pomáhá s evidencí aktiv, hodnocením hrozeb nebo přípravou na související předpisy včetně NIS2.