Routery a smart hračky čakajú nové bezpečnostné pravidlá

Od 11. septembra už v Európskej únii platí prvá vlna povinností podľa nových pravidiel kybernetickej bezpečnosti výrobkov. Európska komisia uvádza, že plný režim pre väčšinu firiem nastúpi od 11. decembra 2027. Na Slovensku sa to dotkne výrobcov, dovozcov, distribútorov aj e-shopov, ktoré predávajú routery, kamery, hračky či smart spotrebiče.

Akt o kybernetickej odolnosti je nariadenie Európskej únie, ktoré zavádza spoločné pravidlá pre produkty s digitálnymi prvkami. Podľa Európskej komisie ide o hardvér aj softvér uvádzané na trh Únie, pričom cieľom je znížiť počet známych zraniteľností a prinútiť výrobcov niesť zodpovednosť aj po predaji produktu. Nariadenie je v platnosti od decembra 2024, no jednotlivé povinnosti nabiehajú postupne.

Pre slovenský trh to nie je okrajová téma. Týka sa firiem, ktoré elektroniku vyrábajú, dovážajú alebo predávajú, ale aj domácností, ktoré si kupujú zariadenia pripojené na internet. V praxi ide najmä o routery, kamery, smart televízory, pripojené hračky, inteligentné zámky či spotrebiče ovládané cez aplikáciu. Európska komisia vo svojom prehľade pravidiel zdôrazňuje, že pod režim patria produkty s digitálnymi prvkami dostupné na trhu EÚ, nie iba veľké priemyselné systémy.

Čo spadá pod nové pravidlá

Základná logika nariadenia je jednoduchá: ak výrobok obsahuje softvér alebo sa pripája na zariadenie či sieť, kybernetická bezpečnosť už nemá byť dobrovoľným bonusom. Výrobca má riešiť bezpečnosť od návrhu produktu, nie až vo chvíli, keď sa po predaji objaví problém. Európska komisia v otázkach a odpovediach píše, že pravidlá majú platiť počas celého životného cyklu výrobku.

To je dôležité aj pre bežného kupujúceho. Pri lacnej elektronike sa doteraz často stávalo, že zariadenie prišlo na trh s minimálnou podporou, nejasným pôvodom softvéru a bez informácie, dokedy bude výrobca opravovať bezpečnostné chyby. Nové pravidlá majú práve tento model obmedziť.

Čo musí stihnúť výrobca

Najväčší balík povinností nesú výrobcovia. Ešte pred uvedením produktu na trh musia podľa nariadenia posúdiť riziká, navrhnúť výrobok tak, aby mal primeranú úroveň ochrany, pripraviť technickú dokumentáciu a preukázať zhodu s pravidlami. Až potom môže produkt dostať označenie CE a ísť do predaja, vyplýva z textu nariadenia v databáze EUR-Lex.

Pre firmy to v praxi znamená, že nestačí dodať funkčný výrobok. Musia mať aj proces, ako budú riešiť objavené slabiny, bezpečnostné aktualizácie a komunikáciu so zákazníkom. Európska komisia zdôrazňuje, že zodpovednosť sa nekončí dňom predaja. Podstatná je aj doba podpory, teda informácia, dokedy bude výrobca poskytovať bezpečnostné opravy.

Prvá povinnosť, ktorá už začala platiť, sa týka hlásenia vybraných incidentov a zraniteľností. Európska komisia uvádza, že oznamovacie povinnosti sa uplatňujú od 11. septembra 2026. Hlavná časť režimu, teda širší súbor požiadaviek pre väčšinu produktov a hospodárskych subjektov, sa začne uplatňovať od 11. decembra 2027.

To je dôležité najmä pre menších výrobcov softvéru a elektroniky, ktorí doteraz kybernetickú bezpečnosť riešili skôr zmluvne so zákazníkom alebo podľa vlastných interných pravidiel. Odteraz už nejde len o reputáciu. Pôjde o presnú právnu povinnosť, ktorú bude treba vedieť doložiť dokumentáciou aj procesmi.

Viac kontrol pribudne dovozcom, distribútorom aj e-shopom

Nové pravidlá sa nekončia pri výrobe. Podľa zhrnutia Európskej komisie má distribútor overiť, či produkt nesie označenie CE a či výrobca alebo dovozca splnili základné povinnosti vrátane kontaktných údajov, návodu pre používateľa a informácie o dĺžke podpory. Ak predajca vie alebo má dôvod si myslieť, že produkt pravidlá nespĺňa, nemal by ho ďalej sprístupňovať na trhu.

Pre slovenské e-shopy to znamená najmä tvrdšiu kontrolu dodávateľov a produktových kariet. Nestačí mať skladom atraktívny tovar za dobrú cenu. Obchod bude musieť lepšie vedieť, kto je výrobca, kto je dovozca, aká dokumentácia k produktu existuje a aké informácie má dostať zákazník. Téma sa preto netýka iba veľkých medzinárodných platforiem, ale aj menších domácich predajcov elektroniky.

Dovozcovia budú pod väčším tlakom aj preto, že na európsky trh často prichádzajú výrobky od značiek mimo Únie. Ak výrobca sídli mimo EÚ, práve dovozca bude jedným z článkov, cez ktoré sa bude preverovať, či produkt spĺňa požiadavky. Na slovenskom trhu to môže dopadnúť najmä na firmy, ktoré vozia lacnejšiu elektroniku, sieťové prvky alebo smart doplnky od menej známych výrobcov.

Čo si má všímať zákazník

Pre bežného kupujúceho nebude najväčšou novinkou samotný názov nariadenia, ale informácie, ktoré má dostať pri kúpe. Praktické bude sledovať, či je pri produkte jasne uvedené označenie CE, kto je výrobca alebo dovozca, či je k dispozícii návod a dokedy bude zariadenie dostávať bezpečnostné aktualizácie. Práve údaj o podpore môže pri nákupe rozhodnúť, či sa oplatí kúpiť lacnejšiu kameru alebo router od neznámej značky.

Ak výrobca nevie povedať, ako dlho bude opravovať bezpečnostné chyby, je to pre spotrebiteľa varovný signál. Pri produktoch, ktoré sú stále pripojené na domácu sieť, totiž slabá podpora neznamená len technický problém. Môže znamenať aj vyššie riziko zneužitia zariadenia alebo úniku dát z domácnosti.

Na Slovensku informácie k nariadeniu zverejňuje aj Národný bezpečnostný úrad. Pre firmy bude najbližšie obdobie skôr o nastavovaní procesov a preverovaní portfólia, pre spotrebiteľov zasa o tom, aby sa pri kúpe nepozerali iba na cenu a parametre, ale aj na bezpečnostnú podporu zariadenia.

Otvorenou otázkou zostáva, ako sa nové pravidlá budú v praxi vymáhať na slovenskom trhu a ktoré orgány budú mať dohľad nad jednotlivými typmi produktov, keďže plný režim pre väčšinu povinností začne platiť až v decembri 2027.