Výrobci hardwaru a softwaru spadajícího pod evropský Cyber Resilience Act budou muset od poloviny září hlásit aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty do 24 hodin od zjištění.

Právníci z několika mezinárodních kanceláří na konci srpna 2026 upozornili, že 11. září 2026 nabývají účinnosti první ostré povinnosti podle nařízení Cyber Resilience Act (CRA) – ačkoli plné použití nařízení nastává až v prosinci 2027, hlásicí povinnosti podle článku 14 se aktivují jako jedna z prvních fází zavádění nařízení.

Povinnost dopadá na výrobce produktů s digitálními prvky (hardware i software), kteří spadají do působnosti nařízení. Hlásit budou muset dvě kategorie událostí: aktivně zneužívané zranitelnosti ve vlastních produktech, u kterých existují věrohodné důkazy, že je útočník využil bez souhlasu vlastníka systému, a závažné incidenty, které ohrožují schopnost produktu chránit citlivá nebo důležitá data či funkce, případně vedly ke spuštění nebo zavlečení škodlivého kódu.

Časový rámec je přísný: do 24 hodin od zjištění musí výrobce podat včasné varování, do 72 hodin podrobnější oznámení s předběžným posouzením situace a následně do 14 dnů (u zranitelností, po zpřístupnění nápravných opatření) nebo do jednoho měsíce (u incidentů) závěrečnou zprávu. Oznámení se podávají přes jednotnou hlásicí platformu (Single Reporting Platform), kterou provozuje agentura ENISA a která informace dále směruje na národní bezpečnostní týmy CSIRT.