CRA po pokynech Komise: rozsah a hlášení od 11. září 2026
Nezávazné pokyny Komise dávají výrobcům konkrétnější rozhodovací rámec. SaaS není automaticky v rozsahu: rozhoduje produkt s digitálními prvky, role hospodářského subjektu a nezbytné vzdálené zpracování.
Autor: Marco Zoratto, zakladatel Splnit.eu
Nejdřív rozsah, až potom checklist
Pokyny C(2026) 5252 rozlišují samostatný software, produkty s nezbytným vzdáleným zpracováním, open-source komponenty a role výrobce, dovozce a distributora. Výsledek je třeba uložit jako odůvodněné posouzení, ne jako automatické tvrzení, že každý SaaS pod CRA spadá.
- Zdokumentujte produkt a způsob distribuce.
- Určete roli hospodářského subjektu a podstatné změny.
- U open source oddělte nekomerční poskytování od obchodní činnosti.
Tři samostatné hodiny
Od 11. září 2026 se u relevantních událostí sleduje včasné varování do 24 hodin a úplné oznámení do 72 hodin. Závěrečná zpráva u aktivně zneužívané zranitelnosti běží 14 dnů od dostupnosti nápravného opatření; u závažného incidentu do jednoho měsíce.
- Jedna událost může současně založit oddělené workflow CRA, NIS2 a GDPR.
- Podání přes ENISA Single Reporting Platform evidujte s časem, referencí a podkladem.
Co jsme přidali do Splnit.eu
Incidentní modul nyní ukládá verzované posouzení rozsahu proti C(2026) 5252, generuje samostatné CRA povinnosti a uchovává důkaz o podání. Jde o pracovní compliance podporu; konečné právní posouzení zůstává na organizaci a jejím poradci.
Související přehled předpisu
Otevřít přehled: CRA →Související články
Zdroje
- [1]Pokyny Komise k implementaci CRA — European Commission
- [2]Nařízení (EU) 2024/2847 — EUR-Lex
Převést článek na kontrolní seznam
Splnit.eu mapuje povinnosti na kontroly, důkazy a termíny, aby šly průběžně ověřovat.
Zobrazit platformu