Komplexní právní servis pro výrobce, dovozce a distributory produktů s digitálními prvky. Smlouvy, EULA, CVD policy, EU prohlášení o shodě, incident reporting i obhajoba v sankčních řízeních – vše pod jednou střechou s technickým know-how SynergyBit.
Pokrýváme celé spektrum povinností výrobce, dovozce, distributora i autorizovaného zástupce dle Cyber Resilience Act.
Příprava EU prohlášení o shodě dle Annex V CRA, technické dokumentace dle Annex VII a podpora při CE označení produktu s digitálními prvky.
Revize a tvorba smluv (SLA, DPA, SCCs, Software Supply Chain dodatky) reflektujících povinnosti výrobce, dovozce a distributora dle čl. 13–15 CRA.
Aktualizace licenčních podmínek o povinné informace pro uživatele dle Annex II CRA – support period, vulnerability handling, kontaktní bod.
Právně závazná CVD politika dle čl. 13(8) CRA, security.txt, safe harbor klauzule pro etické hackery a interakce s ENISA single reporting platform.
Právní rámec pro povinné hlášení aktivně zneužívaných zranitelností a incidentů CSIRT/ENISA v lhůtách 24h (early warning) a 72h (notifikace).
Posouzení odpovědnosti dle Product Liability Directive (PLD) 2024/2853, omezení odpovědnosti, pojištění kybernetických rizik a regresní nároky.
Klasifikace produktu (default / important / critical dle Annex III/IV), aplikovatelnost CRA, výjimky (open source stewards, SaaS scope) a interakce s NIS2, RED, MDR.
Zastupování v komunikaci s notifikovanými osobami (Notified Bodies) pro important/critical produkty, výběr modulu posuzování shody (B+C, H).
Právní due diligence cílového podniku z pohledu CRA: SBOM, vulnerability backlog, technická dokumentace, smluvní závazky a sankční expozice.
Poradenství výrobcům mimo EU při ustanovení autorizovaného zástupce dle čl. 16 CRA, příprava mandátu a rozsahu zmocnění.
Sladění povinností CRA (vulnerability handling, log retention) s GDPR – DPIA pro security telemetrii, oznamování úniků dat dle čl. 33 GDPR.
Zastupování v řízeních před dozorovými orgány, obhajoba v případě sankcí až do 15 mil. EUR / 2,5 % obratu, návrhy nápravných opatření.
Strukturovaný proces od právního auditu až po dlouhodobé poradenství.
Analýza stávajících smluv, EULA, dokumentace a procesů z pohledu požadavků CRA. Identifikace právních rizik a prioritizace.
Tvorba a revize smluvní dokumentace, CVD policy, prohlášení o shodě, technické dokumentace dle Annex II/V/VII CRA.
Podpora při implementaci procesů, školení právního a security týmu, příprava interních směrnic a workflow.
Průběžné právní poradenství, monitoring legislativních změn, podpora při incidentech a komunikace s regulátorem.
Spojujeme právní expertízu s hlubokým technickým porozuměním kybernetické bezpečnosti. Nepíšeme prázdné klauzule – víme, jak je implementovat v praxi vývoje, SBOM, PSIRT a vulnerability handlingu.
Domluvit konzultaciKlíčové právní otázky k Cyber Resilience Act.
Cyber Resilience Act (Nařízení EU 2024/2847) vstoupil v platnost 10. 12. 2024. Povinnosti reportingu zranitelností platí od 11. 9. 2026, plná aplikace nastává 11. 12. 2027. Smluvní a dokumentační přípravu je nutné zahájit nyní.
Smlouvy s dodavateli SW komponent (open source attribution, SBOM klauzule), distributorské a OEM smlouvy, EULA pro koncové uživatele, support smlouvy (povinná podpora min. 5 let nebo po dobu očekávaného použití) a smlouvy s autorizovaným zástupcem v EU.
Za porušení esenciálních požadavků (Annex I) až 15 mil. EUR nebo 2,5 % celosvětového obratu. Za porušení ostatních povinností až 10 mil. EUR / 2 % obratu. Za nesprávné informace orgánům až 5 mil. EUR / 1 % obratu.
CRA primárně dopadá na produkty s digitálními prvky (HW/SW). SaaS je zpravidla mimo scope, pokud nejde o tzv. remote data processing solutions integrované do produktu. Hraniční případy řešíme právním memorandem a klasifikací.
Primární odpovědnost má výrobce (manufacturer). Dovozce a distributor mají sekundární povinnosti (verifikace CE, dokumentace, jazyková mutace). Smluvně je nutné alokovat regresní nároky a součinnost při incidentech.
Nová PLD 2024/2853 zahrnuje SW jako produkt a explicitně počítá s kybernetickou bezpečností. Vada zabezpečení (např. neopravená zranitelnost) může zakládat objektivní odpovědnost výrobce za škodu – doporučujeme revizi pojistných smluv.
Plná aplikace nařízení nastává 11. 12. 2027. Smluvní revize a dokumentace zaberou měsíce – začněme dnes.