Cyber Resilience Act: čo platí pre e-shop už teraz

Cyber Resilience Act sa plne uplatní až 11. decembra 2027, ale jedna povinnosť platí už od 11. septembra 2026: aktívne zneužívané bezpečnostné chyby treba hlásiť. Vzťahuje sa primárne na výrobcov produktov s digitálnymi prvkami, lenže e-shop sa do reťazca dostane ako distribútor, keď takéto produkty predáva. Ak navyše beží na vlastnom alebo upravenom riešení, nemá za sebou dodávateľa platformy, ktorý záplaty dodá sám. Preto odporúčame vyriešiť to do konca roka, nie až v roku 2027.

Čo presne platí od 11. septembra 2026 a čo až v roku 2027?

Rozdeľme to na dve veci. Plné uplatňovanie Cyber Resilience Actu, teda celý balík požiadaviek na produkty s digitálnymi prvkami, nastupuje 11. decembra 2027. Skoršia povinnosť hlásiť aktívne zneužívané bezpečnostné chyby však bežala od 11. septembra 2026 a je účinná už dnes. Rozdiel je praktický: zatiaľ nikto nepožaduje kompletnú dokumentáciu produktu, ale ak sa o zneužívanej chybe dozviete, nesmiete mlčať.

Rok 2026 priniesol viac termínov naraz a je rozumné pozrieť si ich spolu. Od 2. augusta 2026 platia v celej Európskej únii nové pravidlá transparentnosti podľa AI Actu. Od 1. júla 2026 sa pri zásielkach nízkej hodnoty z krajín mimo Únie vyberá paušálne clo 3 € za každú tovarovú položku, takže tričko a ponožky v jednej zásielke znamenajú 6 €. Clo vyrubuje Finančná správa SR, nie Slovenská pošta.

Kedy je e-shop distribútorom podľa Cyber Resilience Actu?

Distribútorom sa stávate vtedy, keď na trh dodávate produkt s digitálnymi prvkami, ktorý ste nevyrobili: smart zásuvku, kameru, hodinky, router. Povinnosti výrobcu, vrátane hlásenia aktívne zneužívaných chýb, nesie ten, kto produkt vyrába. Vaša rola je prakticky iná: overiť, že dodávateľ je dohľadateľný a že na produkt reálne vydáva bezpečnostné aktualizácie.

Druhá vrstva je samotný e-shop. Kto beží na hotovej platforme, má záplaty v cene služby. Podľa BuiltWith stojí na vlastnom alebo nerozpoznanom riešení 4 528 slovenských webov. Práve tam dopadá starostlivosť o bezpečnostné chyby priamo na prevádzkovateľa, lebo za ním nie je dodávateľ, ktorý by zraniteľnosť opravil za neho.

Na akej platforme beží slovenský e-shop a kto za chyby zodpovedá?

Z grafu vyplýva jedno: hotové platformy síce vedú, ale skupina webov bez jasného dodávateľa je veľká. Shoptet má 7 352 webov, WooCommerce 5 008, Shopify 2 577 a PrestaShop 1 736. Rozdiel medzi Shoptetom a vlastnými riešeniami je 2 824 webov. Dáta nehovoria nič o obrate ani o tom, či ide o aktívne e-shopy; BuiltWith len rozpoznáva technológiu na webe.

Praktický záver je podľa nás ostrý. Na Shoptete a Shopify opravuje chyby platformy prevádzkovateľ služby a vy riešite len nastavenia a doplnky. Pri WooCommerce, PrestaShope a vlastnom riešení je aktualizácia vaša práca, vrátane pluginov a šablón. Ak nemáte vo firme nikoho na bezpečnosť, dohodnite si to zmluvne s dodávateľom webu ešte tento rok.

Ako CRA súvisí s NIS2 u dopravcov a čo urobiť do konca roka?

Nariadenie NIS2 zaraďuje poštové a kuriérske služby medzi kritické odvetvia. Vašich dopravcov sa teda dotýkajú vlastné kyberbezpečnostné požiadavky a časť z nich sa prenesie do zmlúv a do nárokov na partnerov. Prakticky to znamená, že otázky na zabezpečenie API, prístupov do podacieho systému a hlásenie incidentov prídu od dopravcu smerom k vám.

Dôsledok pre prevádzku e-shopu je jednoduchý. Keď sa niečo stane na strane dopravcu alebo na vašej, zákazníkovi dorazí zásielka neskôr a reklamáciu rieši váš tím. Preto si už teraz spíšte, kto vám dodáva aktualizácie pre e-shop, kto pre produkty s digitálnymi prvkami a koho kontaktujete pri incidente. Zoznam na jednej strane papiera stačí.