Pravidla kybernetické bezpečnosti pro připojené roboty: Cyber Resilience Act a RED srozumitelně

Kybernetickou bezpečnost robotů, které se připojují přes Wi-Fi, Bluetooth nebo mobilní sítě, nyní upravují dva právní předpisy EU. Od srpna 2025 stanovuje bezpečnostní požadavky na bezdrátová zařízení připojená k internetu akt v přenesené pravomoci ke směrnici o rádiových zařízeních (RED). Od 11. září 2026 ukládá Cyber Resilience Act (CRA) výrobcům povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty. Dne 11. prosince 2027 pak CRA plně převezme úpravu.

Tento článek vysvětluje, co od vás který předpis požaduje, jak spolu souvisejí a co se mění pro ty, kdo si roboty pronajímají nebo je provozují na akcích. Jde o obecné informace, nikoli o právní poradenství.

Proč se na roboty tato pravidla vztahují

Moderní humanoidní roboti, robotičtí psi a servisní roboti jsou síťové stroje. Připojují se k tabletu nebo dálkovému ovladači přes Wi-Fi či Bluetooth, stahují aktualizace firmwaru a často komunikují s cloudovými službami pro rozpoznávání řeči, mapování nebo správu flotily. Mnozí z nich jsou navíc vybaveni kamerami a mikrofony.

Stejně jako jiná připojená zařízení se tak stávají cílem útoků. Kdo převezme řídicí spojení robota, může udělat víc než jen odcizit data, protože robot se může pohybovat v místnosti plné lidí. Proto kybernetická bezpečnost stojí vedle pravidel fyzické bezpečnosti, kterým se věnujeme v článku o nařízení o strojních zařízeních a humanoidních robotech.

EU tuto oblast řeší ve dvou vrstvách. RED se vztahuje na produkty využívající rádiový přenos. CRA se vztahuje téměř na jakýkoli produkt se softwarem a datovým připojením.

Akt v přenesené pravomoci k RED: bezpečnost bezdrátových zařízení

Směrnice o rádiových zařízeních (2014/53/EU) vždy obsahovala nepovinné bezpečnostní požadavky, které se uplatní teprve tehdy, když je Komise zapne. Komise tak učinila nařízením v přenesené pravomoci (EU) 2022/30. Komise akt oznámila 29. října 2021 a jako příklady uvedla mobilní telefony, chytré hodinky, fitness náramky, tablety a připojené hračky.

Akt se týká tří oblastí:

• Ochrana sítě: zařízení nesmějí poškozovat komunikační sítě ani být zneužitelná k narušování služeb.
• Osobní údaje a soukromí: zařízení potřebují ochranná opatření proti neoprávněnému přístupu k osobním údajům nebo jejich neoprávněnému přenosu, se zvláštním zřetelem na děti.
• Podvody: pokud zařízení nakládá s penězi, potřebuje ochranná opatření, například silnější ověřování uživatele.

Oznámení z roku 2021 dalo výrobcům 30 měsíců na splnění požadavků. Datum zahájení platnosti bylo později odloženo a stránka Komise o směrnici o rádiových zařízeních potvrzuje, že akt začal platit v srpnu 2025. V praxi to znamená, že bezdrátový robot uvedený od té doby na trh EU a opatřený označením CE by měl tyto požadavky splňovat, pokud spadá do působnosti aktu.

Akt k RED skončí, až CRA převezme úpravu

Oba předpisy se překrývají, proto Komise naplánovala zrušení aktu k RED. Podle téže stránky Komise přijala dne 16. února 2026 nařízení v přenesené pravomoci (EU) 2026/339. Toto nařízení ruší kybernetický akt k RED s účinností od 11. prosince 2027, tedy od data, kdy začnou platit hlavní povinnosti CRA. Do té doby musí bezdrátové produkty požadavky RED nadále splňovat.

Cyber Resilience Act: na co se vztahuje

CRA vstoupil v platnost 10. prosince 2024. Vztahuje se na hardware a software, které označuje jako „produkty s digitálními prvky“. Podle shrnutí legislativního textu od Komise je produkt zahrnut, pokud má přímé či nepřímé logické nebo fyzické datové připojení k zařízení nebo síti. Produkty, na které se již vztahují určité jiné předpisy EU, jsou vyloučeny.

Připojený robot, jeho ovládací aplikace i jeho cloudový software mohou tuto definici splňovat. Shrnutí Komise však roboty výslovně nezmiňuje. To, zda konkrétní model spadá do přísnější kategorie, závisí na seznamech v přílohách nařízení a posoudit to musí výrobce.

Hlavní povinnosti CRA, které platí od 11. prosince 2027, zahrnují:

• Bezpečnost již od návrhu: produkty musí při návrhu, výrobě i používání v souladu s určeným účelem splňovat základní požadavky na kybernetickou bezpečnost.
• Zacházení se zranitelnostmi: výrobci musí zranitelnosti řešit po celou dobu podpory, kterou si sami stanoví.
• Uvedená doba podpory: datum konce této doby, včetně měsíce a roku, musí být jasně uvedeno v okamžiku nákupu.
• Posuzování shody a označení CE: většinu produktů lze posoudit vlastním posouzením. U produktů, které CRA označuje jako „důležité“ (třídy I a II) nebo „kritické“, je možností méně a může být nutné posouzení oznámeným subjektem.

Ustanovení o oznámených subjektech se začala uplatňovat 11. června 2026, což dává posuzovacím subjektům čas na jmenování před hlavním termínem.

Hlásicí povinnosti od 11. září 2026

První praktická část CRA začala platit 11. září 2026. Od tohoto data musí výrobci hlásit dva druhy událostí, jak uvádí stránka Komise o hlásicích povinnostech podle CRA:

• aktivně zneužívané zranitelnosti ve svých produktech,
• závažné incidenty ovlivňující bezpečnost jejich produktů.

Hlášení probíhá ve fázích:

1. Včasné varování do 24 hodin od okamžiku, kdy se výrobce o události dozvěděl.
2. Oznámení s podrobnějšími informacemi do 72 hodin.
3. Závěrečná zpráva: u zranitelnosti nejpozději 14 dní poté, co je k dispozici oprava nebo jiné nápravné opatření; u závažného incidentu do jednoho měsíce od 72hodinového oznámení.

Hlášení se zasílají národnímu týmu pro řešení počítačových incidentů (CSIRT) v zemi hlavní provozovny výrobce a současně agentuře ENISA, kybernetické agentuře EU. Tento CSIRT následně hlášení předá týmům CSIRT v ostatních zemích, kde se produkt prodává.

Povinnost se vztahuje i na roboty, které už jsou na trhu

Hlásicí povinnost se netýká jen nových produktů. Shrnutí Komise uvádí, že se vztahuje na všechny produkty s digitálními prvky dostupné na trhu EU, včetně těch, které byly uvedeny na trh před 11. prosincem 2027. Model robota prodaný v roce 2024 tedy povinnost zahrnuje, pokud jeho výrobce zjistí, že zranitelnost v něm je dnes zneužívána.

Shrnutí zmiňuje také dvě úlevy. Mikropodniky a malé podniky nelze pokutovat za zmeškání 24hodinové lhůty. Správci open-source softwaru mají vlastní datum zahájení hlášení, 11. prosinec 2027, a nehrozí jim sankce podle CRA.

Jednotná hlásicí platforma agentury ENISA

Oznámení se podávají prostřednictvím Jednotné hlásicí platformy, kterou ENISA vytváří a provozuje. Podle stránky platformy na webu ENISA byla platforma spuštěna s počáteční provozní schopností 11. září 2026. Výrobci hlásí jednou a platforma informace předá příslušným orgánům. ENISA vydala verzi 1.2.1 dne 20. října 2026.

Platforma je nová, a postupy i pokyny se proto mohou ještě měnit. Výrobci mimo EU, kteří prodávají roboty do Evropy, by měli ověřit, jak budou 24hodinovou lhůtu v praxi plnit.

Časová osa na jednom místě

• 29. října 2021: Komise oznamuje akt v přenesené pravomoci k RED týkající se kybernetické bezpečnosti.
• 10. prosince 2024: CRA vstupuje v platnost.
• Srpen 2025: kybernetické požadavky RED se začínají uplatňovat.
• 16. února 2026: Komise přijímá nařízení v přenesené pravomoci (EU) 2026/339, které ruší akt k RED od prosince 2027.
• 11. června 2026: začínají platit ustanovení CRA o oznámených subjektech.
• 11. září 2026: spouští se hlásicí povinnosti podle CRA a platforma agentury ENISA.
• 11. prosince 2027: CRA se uplatňuje v plném rozsahu a kybernetický akt k RED se ruší.

Pokud robot využívá umělou inteligenci při komunikaci s návštěvníky, může se vztahovat i nařízení o umělé inteligenci (AI Act). Tato data shrnuje náš časový přehled AI Actu pro roboty.

Co to znamená pro pořadatele akcí

Popsané právní povinnosti dopadají především na výrobce, nikoli na firmy, které si robota pronajímají na jeden den. Pravidla však pořadatelům dávají užitečné otázky, které mohou klást:

• Zeptejte se na aktualizace. Zeptejte se dodavatele, zda robot používá aktuální firmware a zda výrobce model stále podporuje. Jakmile se CRA začne plně uplatňovat, musí být datum konce podpory uvedeno při nákupu, takže by ho dodavatelé měli být stále častěji schopni sdělit. Zařaďte tuto otázku do svého zadání pro dodavatele robota.
• Držte robota mimo síť pro hosty. Domluvte s provozovatelem místa a dodavatelem, jak se bude robot připojovat. Samostatná, chráněná síť pro robota a jeho ovládací zařízení je běžnou praxí; viz náš kontrolní seznam pro místo konání: prostor, napájení a Wi-Fi.
• Berte kamery a mikrofony jako otázku ochrany údajů. Pravidla RED se částečně týkají osobních údajů. Vaše vlastní povinnosti pořadatele podle GDPR platí nadále, jak vysvětluje náš průvodce kamerami, mikrofony a soukromím návštěvníků.
• Domluvte se, co se stane, pokud bude oznámena zranitelnost. Zeptejte se dodavatelů, jak by reagovali, kdyby výrobce krátce před vaší akcí varoval před zneužívanou chybou, například nasazením záplaty nebo přepnutím robota do offline režimu.
• Pamatujte na časovou osu. Bezdrátoví roboti na trhu EU by už měli splňovat požadavky RED. Úplný soubor požadavků CRA platí pro produkty uváděné na trh od 11. prosince 2027.

Časté otázky

Vztahuje se Cyber Resilience Act na roboty?

CRA se vztahuje na produkty s digitálními prvky: hardware a software s přímým či nepřímým datovým připojením k zařízení nebo síti. Připojení roboti, jejich ovládací aplikace i cloudový software mohou pod tuto definici spadat. Shrnutí Komise roboty výslovně nezmiňuje. To, zda model vyžaduje posouzení třetí stranou, závisí na tom, zda je uveden v seznamech důležitých nebo kritických produktů v nařízení, a posoudit to musí výrobce.

Co musí výrobci robotů podle CRA hlásit a v jakých lhůtách?

Od 11. září 2026 musí výrobci hlásit aktivně zneužívané zranitelnosti a závažné incidenty. Včasné varování musí odeslat do 24 hodin, oznámení do 72 hodin a poté závěrečnou zprávu. U zranitelnosti je závěrečná zpráva splatná do 14 dní od zpřístupnění opravy, u závažného incidentu do jednoho měsíce. Hlášení se zasílají národnímu CSIRT a agentuře ENISA prostřednictvím její Jednotné hlásicí platformy.

Vztahují se hlásicí pravidla i na roboty prodané před rokem 2027?

Ano. Shrnutí CRA od Evropské komise uvádí, že hlásicí povinnosti se vztahují na všechny produkty s digitálními prvky dostupné na trhu EU, včetně těch, které byly uvedeny na trh před 11. prosincem 2027. Model robota prodaný před lety je tedy zahrnut, pokud jeho výrobce zjistí, že zranitelnost v něm je aktivně zneužívána.

Co je akt v přenesené pravomoci k RED o kybernetické bezpečnosti a platí ještě?

Nařízení v přenesené pravomoci (EU) 2022/30 zapnulo bezpečnostní požadavky ve směrnici o rádiových zařízeních. Týkají se ochrany sítě, osobních údajů a soukromí a prevence podvodů u některých bezdrátových zařízení a platí od srpna 2025. V únoru 2026 Komise přijala nařízení v přenesené pravomoci (EU) 2026/339, které akt ruší od 11. prosince 2027, kdy převezmou hlavní povinnosti Cyber Resilience Act.

Mají pořadatelé akcí, kteří si pronajímají robota, povinnosti podle těchto předpisů?

Hlásicí povinnosti a povinnosti týkající se návrhu podle CRA směřují především na výrobce, nikoli na firmy, které si robota pronajímají na akci. Pořadatelé mají nadále vlastní povinnosti, například v oblasti ochrany osobních údajů, když robot zaznamenává návštěvníky. Je rozumné ptát se dodavatelů na aktualizace firmwaru a nastavení sítě. Tato odpověď má pouze informativní charakter a nejde o právní poradenství.

Jak článek vznikl: napsala ho redakce humanoid4rent s pomocí AI; každé faktické tvrzení jsme 2026-11-01 ověřili ve zdrojích uvedených níže. Našli jste chybu? Napište na info@humanoid4rent.com.