Čína zakázala firmám používat americký a izraelský software. Na černé listině je přes 15 známých firem

Peking v lednu 2026 rozeslal neveřejnou směrnici, která nařizuje čínským organizacím odstavit kyberbezpečnostní produkty šestnácti západních firem a nahradit je domácími.

Zdroje fotografie: Picryl

Nejde o klasický zákon zveřejněný ve sbírce předpisů, ale o interní instrukci, jejíž existenci nezávisle na sobě potvrdily agentury Reuters a Bloomberg. Dokument podle jejich zdrojů jmenovitě cílí na americké a izraelské výrobce bezpečnostního softwaru, od firewallů přes cloudovou ochranu až po správu privilegovaných přístupů. Organizace, které tyto produkty používají, je mají identifikovat a do první poloviny roku 2026 vyměnit za čínské alternativy. Směrnice přitom nepřišla z ničeho: zapadá do let budované čínské strategie technologické soběstačnosti a přichází v období napjatých americko-čínských obchodních vztahů, jen pár měsíců před plánovanou návštěvou Donalda Trumpa v Pekingu.

Šestnáct jmen na seznamu

Mediální zkratka „černá listina“ ve skutečnosti označuje neveřejný seznam ve vládní instrukci, který podle Reuters obsahuje šestnáct konkrétních firem:

• VMware (Broadcom) – virtualizace
• Palo Alto Networks – síťová bezpečnost
• Fortinet – firewally, síťová bezpečnost
• Check Point Software Technologies – síťová bezpečnost (Izrael)
• CrowdStrike – ochrana koncových zařízení
• SentinelOne – ochrana koncových zařízení
• Mandiant – analýza hrozeb (Google)
• Recorded Future – analýza hrozeb
• McAfee – antivirová ochrana
• Wiz – cloudová bezpečnost
• Orca Security – cloudová bezpečnost (Izrael)
• CyberArk – správa privilegovaných přístupů (Izrael)
• Claroty – bezpečnost průmyslových systémů (Izrael)
• Rapid7 – detekce a reakce na incidenty
• Cato Networks – SASE/síťová bezpečnost (Izrael)
• Imperva – ochrana aplikací a dat

Seznam tedy nezasahuje jednu úzkou kategorii. Pokrývá prakticky celé spektrum kybernetické obrany, od virtualizační platformy, na které běží servery, přes nástroje hlídající koncová zařízení až po systémy chránící cloudové prostředí a průmyslové řídicí systémy. Právě tato šíře dělá z případného přechodu na domácí alternativy mimořádně složitý inženýrský i organizační úkol.

Co přesně Peking nařídil, a co ne

Bloomberg v lednu 2026 uvedl, že dokument viděl. Reuters se odvolává na zdroje obeznámené s oznámením. Ani jedna agentura nezveřejnila plný text. Praktický obsah směrnice je podle obou zdrojů shodný: zjistit, zda organizace používá některý z uvedených produktů, a nahradit jej domácí technologií do první poloviny roku 2026.

Důvod? Oficiální argumentace mluví o riziku, že zahraniční bezpečnostní software může sbírat a přenášet citlivá data mimo Čínu. Bloomberg navíc cituje starší oznámení z 19. prosince 2025, které obviňovalo produkty Palo Alto z „bezpečnostních problémů“ a vazeb na západní zpravodajské služby, ovšem bez předložení konkrétních důkazů či technických nálezů.

Kolik čínských organizací instrukci obdrželo, Reuters nedokázal ověřit. Veřejné čínské předpisy, zejména pravidla kyberbezpečnostního přezkumu z roku 2022 a nařízení o ochraně kritické informační infrastruktury z roku 2021, nejtvrději dopadají na provozovatele klíčové infrastruktury. Plošný zákaz pro všechny čínské firmy doložený není, ale ani vyloučený.

Symbolika, nebo reálný zásah?

Část firem na seznamu sama přiznala, že v Číně prakticky nepodniká. CrowdStrike, SentinelOne, Claroty i Recorded Future uvedly, že tam nemají přímé tržby. Jiné firmy, Fortinet, Check Point, Broadcom s VMware a Palo Alto, naopak v Číně provozují kanceláře a mají měřitelnou zákaznickou základnu.

Trh reagoval selektivně. Akcie Broadcomu po zveřejnění zprávy klesly o více než čtyři procenta, Fortinet ztratil přes dvě procenta, Rapid7 přes jedno procento. Palo Alto zůstalo téměř beze změny a Check Point lehce posílil. Investoři zjevně rozlišovali podle skutečné expozice vůči čínskému trhu.

Přítomnost firem s nulovou čínskou stopou na seznamu naznačuje, že instrukce má i preventivní a signální rozměr: uzavřít budoucí nasazení, zablokovat nepřímé kanály a vyslat zprávu, že určitý okruh západních bezpečnostních dodavatelů je z principu nedůvěryhodný.

Zrcadlový obraz: jak to dělá Západ

Čínský krok není bez západní paralely. Spojené státy v roce 2024 veřejně zakázaly ruský Kaspersky; rozhodnutí vydal americký úřad BIS, s přesně popsanými riziky, přechodnými lhůtami a návodem na odstranění softwaru. Zákaz nových smluv platil od 20. července 2024, úplný konec provozu od 29. září téhož roku. Rozdíl je v procesu: americké rozhodnutí bylo veřejné, zdůvodněné a napadnutelné. Čínská instrukce je neveřejná, bez zveřejněného důkazního spisu a s nejasným sektoriálním dosahem.

Podle zprávy amerického obchodního zmocněnce (USTR) je čínská politika „secure and controllable“ dlouhodobou strategií vytlačování zahraničních ICT produktů z citlivých sektorů. Peking už dříve usiloval o náhradu západního kancelářského softwaru i počítačového hardwaru. Kyberbezpečnostní software je dalším dílem téže skládanky, s tím rozdílem, že bezpečnostní nástroje mají ze své podstaty hluboký přístup do sítí, dat a zařízení. Právě proto je státy čím dál častěji posuzují ne jako neutrální produkt, ale jako geopoliticky rizikovou infrastrukturu.

Co to znamená pro Česko a Evropu

Čínský seznam automaticky nemění nic na českém bezpečnostním hodnocení. V tuzemsku se kyberrizika posuzují podle režimu NÚKIB, sektorových pravidel a ve finančním sektoru i podle nařízení DORA. Evropská unie navíc v roce 2026 představila vlastní ICT Supply Chain Security Toolbox, jehož základy položilo české předsednictví Rady EU. Evropský přístup staví na řízení rizik dodavatelů, ne na kopírování cizích blacklistů.

Nepřímo ale čínský krok posiluje trend, který se českých firem i institucí týká: digitální trh se štěpí podle geopolitických bloků a otázka „kdo vyrobil váš bezpečnostní software“ přestává být technická. Stává se strategickou.