Průvodce kybernetickou legislativou 2026: Jak to do sebe vše zapadá?

pruvodceKB%20leg2026

V roce 2026 se evropská kybernetická legislativa stala komplexním ekosystémem. Už dávno nestačí sledovat pouze jeden zákon a odškrtnout si splněno. Aby firma byla skutečně v souladu („compliant“) a hlavně v bezpečí, musí její management rozumět vztahům mezi ochranou samotné organizace, bezpečností nakupovaných produktů a certifikačními standardy.

Tento průvodce vám pomůže zorientovat se v „bruselské mozaice“ kybernetické bezpečnosti a pochopit, že to není jen byrokratické cvičení, ale logicky provázaný celek.

1. Tři pilíře digitální bezpečnosti EU

Současnou regulaci lze rozdělit do tří hlavních směrů podle toho, co přesně chrání:

Pilíř I: Ochrana organizací (Subjekty)

Pilíř II: Bezpečnost výrobků (Produkty)

Pilíř III: Důvěra a standardy (Certifikace)

2. Praktické příklady: Jak se vás to dotkne v praxi?

Legislativa se často překrývá. Zde jsou dva scénáře z reálného světa:

Scénář A: Poskytovatel cloudových služeb (IT svět)
Jako firma spadáte pod ZoKB. Musíte mít zaveden ISMS a hlásit incidenty. Protože jste ale cloud, řídíte se navíc Aktem pro digitály, který vám dává přísnější limity pro hlášení (např. výpadek nad 12 hodin). Pokud pro svůj cloud vyvíjíte vlastní software, musíte pro něj zajistit shodu s CRA. Aby vám zákazníci věřili, necháte si celou službu certifikovat podle evropského schématu EUCS.

Scénář B: Průmyslový výrobní podnik (OT svět)
Vaše továrna spadá pod ZoKB jako důležitý subjekt. Zavádíte bezpečnostní opatření, ale narážíte na specifikum: výrobní linky (OT). Zde neaplikujete jen běžné IT směrnice, ale musíte řešit fyzickou segmentaci sítí a specifický patch management, aby aktualizace nezastavila výrobu. Nově navíc při nákupu PLC automatů a senzorů musíte od dodavatelů vyžadovat certifikaci podle CRA (Pilíř II), jinak si do své kritické infrastruktury zavlečete nevyhovující produkt.

3. Časová osa – co sledovat v roce 2026?

Rok 2026 je rokem „ostrého startu“:

  • První polovina 2026: Většina regulovaných subjektů pod ZoKB již musí mít hotovou detailní GAP analýzu a aktivně implementovat organizační a technická opatření dle příslušných vyhlášek (např. 409/2025 Sb. pro vyšší režim).
  • Září 2026: Začíná platit povinné hlášení zranitelností u produktů podle CRA.
  • Průběžně: Je nutné sledovat vydávání nových harmonizovaných norem (EN). Ty budou často tou nejpřímější cestou, jak prokázat shodu s předpisy bez nutnosti drahých a zdlouhavých individuálních auditů.

Tip z praxe na závěr: Kybernetická bezpečnost už dávno není jen „IT problém“. Stala se z ní tvrdá právní a obchodní podmínka. Produkty a firmy bez prokazatelné shody s těmito předpisy budou po roce 2027 postupně vytlačeny z dodavatelských řetězců EU.