Časová os CRA 2024–2027: čo urobiť v každom kvartáli

Cyber Resilience Act pôsobí ako záplava povinností, ale keď ich rozložíte na časovú os, je to zvládnuteľný plán. Nariadenie (EÚ) 2024/2847 má tri kľúčové dátumy a jasné poradie krokov. Tento článok je mapa: čo urobiť teraz, čo počká do 2027, a kam kliknúť pre detail. Berte ho ako evergreen prehľad, ku ktorému sa vraciate.

Tri kľúčové dátumy

1. 10. 12. 2024 — nadobudnutie účinnosti. Nariadenie platí, ale väčšina povinností má odložený štart.
2. 11. 9. 2026 — reporting podľa čl. 14. Povinnosť hlásiť aktívne zneužívané zraniteľnosti a závažné incidenty (24 h / 72 h / 14 dní), a to aj pre produkty, ktoré už predávate.
3. 11. 12. 2027 — plná konformita a CE. Základné požiadavky Prílohy I, technická dokumentácia, vyhlásenie o zhode a označenie CE pre produkty uvedené na trh (alebo podstatne zmenené) po tomto dni.

Medzi tým je ešte jeden čiastkový míľnik: 11. 6. 2026 nadobúdajú účinnosť ustanovenia o notifikovaných osobách (kapitola IV, čl. 71(3)) — aby bol systém posudzovania zhody pripravený skôr, než v decembri 2027 začne platiť plná konformita.

Najskôr: zistite, kam patríte

Skôr než čokoľvek robíte, overte, či a ako sa vás CRA týka. Nemá zmysel písať dokumentáciu, ak ste čistý SaaS mimo pôsobnosti.

1. Prejdite scope-checker a prečítajte 10 príkladov, komu sa CRA týka.
2. Ak ste hraničný SaaS, pozrite CRA a SaaS.
3. Ak dovážate alebo predávate cudzí produkt, čítajte povinnosti dovozcu a distribútora; ak vyvíjate na zákazku, kto je výrobca.
4. Určite si triedu produktu.

Teraz až do 11. 9. 2026: procesy, ktoré sa nemenia

Toto je najdôležitejšia dávka — veci, ktoré platia najskôr a nezávisia od meškajúcich noriem:

1. Vyrobte SBOM z aktuálneho buildu — návod za 10 minút. Naučte sa čítať CVE, CVSS, EPSS, KEV.
2. Zriaďte nahlasovací kanál — security.txt a kanál za hodinu a k nemu CVD politiku.
3. Zaregistrujte sa na platforme ENISA (EU Login + overenie CSIRT) — čl. 14 krok za krokom.
4. Určte support periódu a role, kto sleduje a hlási — support perióda.

Priebežne: monitoring a reakcia

Od 11. 9. 2026 beží reporting. To znamená mať zabehnutý cyklus:

1. denne sledovať zraniteľnosti v komponentoch (SBOM × databázy),
2. pri náleze rýchlo posúdiť a reagovať, viesť risk assessment,
3. opravené zraniteľnosti zverejniť cez advisories,
4. na dopyty odberateľov mať pripravené podklady a audit trail.

Do 11. 12. 2027: dokumentácia a CE

Táto dávka má čas, ale nie nekonečne:

1. spíšte technickú dokumentáciu podľa Prílohy VII,
2. sledujte stav harmonizovaných noriem a dokumentujte proti Prílohe I,
3. pripravte vyhlásenie o zhode a CE,
4. skontrolujte zodpovednosť za open-source komponenty a vzťah CRA vs. NIS2 vs. GDPR.

Ako si to rozvrhnúť po kvartáloch

Ak máte pred sebou niekoľko mesiacov, pomôže rozdeliť si to na štvrťročné dávky namiesto jednej hory:

1. Tento kvartál: určite scope a triedu, vyrobte prvý SBOM, zriaďte nahlasovací kanál a založte EU Login. Toto sú veci, ktoré platia najskôr a nezávisia od noriem.
2. Nasledujúci kvartál: rozbehnite monitoring zraniteľností a triage, spíšte dvojstranový risk assessment a určite support periódu s odôvodnením.
3. Priebežne až do 2027: dopĺňajte technickú dokumentáciu podľa Prílohy VII, sledujte stav noriem a udržiavajte advisories a audit trail živé.
4. Blízko 11. 12. 2027: dotiahnite vyhlásenie o zhode a CE pre verzie uvádzané po tomto dátume.

Nemusíte spraviť všetko naraz. Dôležité je poradie: procesy (SBOM, kanál, reporting) skôr, dokumentácia a CE neskôr — presne v tom poradí, v akom ich vyžaduje aj nariadenie.

Časté otázky k termínom

1. Musíme mať CE už 11. 9. 2026? Nie. Od 11. 9. 2026 platí reporting podľa čl. 14; CE a plná konformita až od 11. 12. 2027.
2. Týka sa reporting aj produktov, ktoré už predávame? Áno — povinnosť hlásiť aktívne zneužívané zraniteľnosti sa vzťahuje aj na produkty uvedené na trh skôr.
3. Máme čakať na harmonizované normy? Nie. Reporting a procesy (SBOM, kanál, monitoring) na normách nezávisia; dokumentáciu píšte proti Prílohe I a neskôr ju premapujete.
4. Čo ak sme čistý SaaS? Väčšinou ste mimo CRA (recitál 12) — ale over si to a rieš prípadný NIS2.

Prečo začať skôr, aj keď je 2027 ďaleko

Najväčšia pasca časovej osi je odkladať všetko na koniec. Procesy z prvej dávky (SBOM, nahlasovací kanál, účet na platforme) platia najskôr a nedajú sa „dobehnúť" cez noc — overenie účtu národným CSIRT chvíľu trvá a 24-hodinová lehota nepočká. Dokumentáciu a CE síce máte čas dotiahnuť do 2027, ale keď máte procesy zabehnuté od začiatku, posledná dávka je už len spísanie toho, čo reálne robíte.

Kľúčový bod

CRA sa dá zvládnuť, keď ho rozložíte na časovú os s jasným poradím. Tri dátumy: 10. 12. 2024 účinnosť, 11. 9. 2026 reporting podľa čl. 14 (aj pre produkty, ktoré už predávate) a 11. 12. 2027 plná konformita a CE. Poradie krokov kopíruje toto poradie: najprv zistite, či a ako sa vás CRA týka (scope, trieda), potom vybudujte procesy, ktoré platia najskôr a nezávisia od noriem — SBOM, nahlasovací kanál, účet na platforme ENISA, support perióda. Priebežne bežte monitoring a reakciu; dokumentáciu, vyhlásenie o zhode a CE dotiahnite do 2027. Najväčšia pasca je odkladať všetko na koniec: procesy z prvej dávky sa nedajú dobehnúť cez noc a 24-hodinová lehota nepočká. Kto ich má zabehnuté od začiatku, tomu sa posledná dávka zmení na spísanie toho, čo aj tak reálne robí.

Ako pomáha CRAguard

CRAguard pokrýva „teraz" aj „priebežne" časť tejto osi: generuje a verzuje SBOM, denne monitoruje zraniteľnosti s jasným verdiktom, hostuje nahlasovací kanál a advisories a vedie audit trail ako podklad pre self-assessment aj pre odberateľov. Dátumy sú jasné — 11. 9. 2026 a 11. 12. 2027 — a čím skôr máte procesy, tým pokojnejšie ich dobehnete. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (dátumy uplatňovania, čl. 13, čl. 14, Príloha I, VII, V) a usmernenia Európskej komisie zo dňa 27. 7. 2026.