Cyber Resilience Act: za špatně zabezpečený produkt nezaplatíte jen pokutu

O CRA se dnes mluví hlavně v souvislosti s tím, na které produkty dopadá, s hlášením zranitelností a s označením CE. Méně se mluví o tom, že nesoulad s CRA může mít i jiný důsledek než pokutu. Zákazník, kterému prodáte produkt nesplňující CRA, nemusí čekat na dozorový úřad. Může po vás sám chtít opravu, slevu nebo vrácení peněz. Pokud mu produkt způsobí škodu, může žádat i její náhradu.

Proč se vás to týká, i když CRA zákazníkům žádná práva nedává

CRA stanoví minimální požadavky na kybernetickou bezpečnost produktů s digitálními prvky. Najdete je v příloze I nařízení. Produkt, který je nesplňuje, nelze v EU prodávat.

Samotné CRA zákazníkům žádné nároky nedává. Česká pravidla o vadách a o náhradě škody ale ano. Pokud produkt nesplňuje požadavky CRA, může mít zákazník nárok ze dvou důvodů:

• produkt má vadu,
• produkt způsobil škodu.

Riziko č. 1: zákazník reklamuje produkt jako vadný

Produkt, který nesplňuje požadavky CRA, je vadný.

• Prodej spotřebitelům: Tady je situace jednoznačná. Zákon výslovně počítá s tím, že produkt musí splňovat požadavky právních předpisů.
• Prodej firmám: Záleží na tom, k čemu má produkt sloužit. Pokud je určen pro trh EU, musí splňovat CRA, protože jinak by ho tu nešlo legálně prodávat.

Zákazník pak může chtít opravu, přiměřenou slevu nebo může od smlouvy odstoupit.

Kdo to odnese: Ten, kdo produkt zákazníkovi prodal. Nejčastěji je to distributor. Vadu sice nezpůsobil, ale zákazník se obrátí právě na něj.

Riziko č. 2: produkt způsobí škodu

Pokud nezabezpečený produkt někomu způsobí škodu, nastupuje odpovědnost za vadný výrobek. Tu nově upravuje evropská směrnice. Česká novela, která ji převádí do našeho práva, má podle vládního návrhu platit od 9. 12. 2026.

Kdo může žádat náhradu: Jen fyzická osoba, tedy ne firma.

Proč je to riziko velké: Poškozený to bude mít výrazně jednodušší než dnes. Stačí mu, aby doložil:

• výši škody,
• že produkt nesplňuje zákonné bezpečnostní požadavky, například CRA.

Pokud je škoda pro takovou vadu typická, soud předpokládá, že ji způsobila právě tato vada.

Kdo může odpovídat:

• výrobce,
• výrobce vadné součástky,
• dovozce,
• ten, kdo produkt podstatně upravil nebo ho prodává pod svou značkou,
• distributor, pokud žádný z výše uvedených nemá sídlo v EU a distributor poškozenému do 1 měsíce nesdělí, od koho produkt koupil.

Pozor na aktualizace softwaru: Výrobce ani dovozce se nemohou bránit tím, že produkt byl v pořádku v okamžiku prodeje. Neplatí to, pokud vada vznikla proto, že nedodali bezpečnostní aktualizaci, kterou měli pod kontrolou. Pokud tedy nebudete produkt aktualizovat podle nových kybernetických hrozeb, odpovídáte i za škody, které vzniknou později.

Kdo nakonec zaplatí: dodavatelský řetězec

Kdo zaplatil zákazníkovi, bude chtít peníze zpět od toho, kdo vadu způsobil.

• Prodali jste produkt spotřebiteli? Máte ze zákona právo požadovat po svém dodavateli náhradu účelně vynaložených nákladů. Toho práva vás nikdo nemůže předem zbavit.
• Prodali jste produkt firmě? Je to složitější. Nárok musíte vůči dodavateli uplatnit včas a lhůty jsou krátké. I když uspějete, celé vymáhání stojí čas a peníze.

Co udělat ve smlouvách

1. Výslovně sjednejte, že produkt musí splňovat přílohu I CRA. Nespoléhejte na to, že to soud ve sporu dovodí z účelu smlouvy.
2. Uveďte, pro jaký trh je produkt určen. Pro produkty na trh EU platí jiné povinnosti než pro jiné trhy.
3. Nevzdávejte se práva vymáhat náklady po dodavateli. Platí to zejména u dodavatelů softwarových komponent a u malých dodavatelů.
4. Pozor na ujednání, která snižují požadovanou kvalitu plnění. Mezi firmami jsou platná. Pokud dodavatel dodá to, co jste si sjednali, splnil svůj závazek, i když produkt nesplňuje CRA. Vaše povinnosti podle CRA ale trvají dál.
5. Zvažte omezení vlastní odpovědnosti vůči firemním zákazníkům. Váš dodavatel to pravděpodobně udělá také.

Mějte na paměti, že smlouva rozděluje riziko jen mezi smluvní strany:

• Povinností vůči úřadům se smlouvou nezbavíte.
• Odpovědnost vůči fyzické osobě, které vadný výrobek způsobil škodu, nová úprava vyloučit nedovolí.

Nečekejte na rok 2027

Úprava vývoje, aktualizací a smluv s dodavateli zabere čas. Čím dříve začnete, tím méně budete muset dohánět.

Připravujete se na CRA a chcete vědět, jaká rizika vám skutečně hrozí? Řešíte smlouvy s dodavateli softwaru nebo hardwaru?

Probereme s vámi detaily vašeho podnikání  a připravíme řešení na míru.

Obraťte se na nás

Webinář 26. listopadu: Akt o kybernetické odolnosti: co platí už teď a na co se připravit

Reportingové povinnosti z CRA otevřeme i na webináři, který pořádáme v rámci expertní skupiny Frank Bold, 26. listopadu od 9:30.

Co se dozvíte?

• Základy CRA – co nařízení upravuje, jak funguje a jaká je časová osa.
• Povinnosti, které platí už teď – hlášení aktivně zneužívaných zranitelností a závažných incidentů: co, komu a kdy.
• Podstatná změna produktu – kdy aktualizace nebo nová verze znamená nový produkt podléhající CRA.
• Novinky z ČR a EU – vývoj implementace, pokyny a podpora pro malé a střední podniky.
• Prostor pro vaše dotazy.

Bezplatná registrace

Podrobnosti o webináři