Jak nahlásit zranitelnosti do 24 hodin podle Cyber Resilience Act

• Článek 14 CRA: hlášení zneužívaných zranitelností/závažných incidentů do 24 hodin.
• Hlášení probíhá přes platformu ENISA koordinujícímu CSIRT.
• Výrobci mimo EU musí jmenovat autorizovaného zástupce.
• REP27 — Europe Services, SE: mandát za 490 €/rok (cena ověřena).
• Skryté náklady: interní inženýrská práce, doba podpory, posouzení shody.
• Poskytovatelé se liší v zveřejněných cenách, rozsahu a transparentnosti.

Aktualizováno 19 October 2026 · 12 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 19 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje Cyber Resilience Act (s odkazy na články)

Cyber Resilience Act (CRA) je rozsáhlá regulace vztahující se na všechny produkty s digitálními prvky uváděné na trh EU, ať už hardware nebo software (Článek 1, zdroj). Jejím hlavním cílem je zajistit, aby produkty byly navrženy, vyvíjeny a udržovány s kybernetickou bezpečností jako nedílnou součástí jejich životního cyklu. Zákon vstoupil v platnost 10. prosince 2024 (Článek 71(1)), ale většina povinností, včetně hlášení, je závazná od 11. září 2026 pro Článek 14 a plně od 11. prosince 2027 (Článek 71(2)).

Článek 14 je klíčový pro reakci na incidenty: výrobci musí nahlásit jakoukoli aktivně zneužívanou zranitelnost nebo závažný incident ovlivňující bezpečnost produktu do 24 hodin od zjištění. Hlášení probíhá přes platformu ENISA koordinujícímu CSIRT. Čas běží od okamžiku zjištění, nikoli po vyšetřování nebo potvrzení. Kompletní oznámení musí být podáno do 72 hodin a závěrečná zpráva do 14 dnů. Lhůta zahrnuje víkendy a svátky – není možné ji prodloužit ani přerušit.

Článek 18 vyžaduje, aby výrobci mimo EU jmenovali autorizovaného zástupce se sídlem v EU. Tento zástupce slouží jako oficiální kanál hlášení a kontakt pro úřady. Bez něj přechází odpovědnost na dovozce nebo distributora, což může znamenat obchodní a compliance rizika.

Produkty uvedené na trh před 11. prosincem 2027 podléhají CRA pouze v případě podstatné změny po tomto datu (Článek 69(2)). Nedodržení může vést k pokutám až do výše 15 milionů eur nebo 2,5 % celosvětového ročního obratu (zdroj).

• Článek 14: hlášení zneužívaných zranitelností/závažných incidentů do 24 hodin
• Článek 18: autorizovaný zástupce pro výrobce mimo EU
• Článek 69(2): pravidla pro starší produkty

Jak vybrat autorizovaného zástupce CRA

Výběr správného autorizovaného zástupce CRA je zásadní pro výrobce mimo EU. Zástupce je vaším oficiálním kanálem pro hlášení zranitelností a kontaktem pro regulátory v EU. Hlavní faktory k zvážení jsou:

• Transparentnost cen: Pouze několik poskytovatelů zveřejňuje ověřené ceny. REP27 — Europe Services, SE nabízí jasný mandát za 490 €/rok (obnova 440 €), kadano uvádí 999 €/rok a Euverify 590 £/rok. Ostatní poskytují ceny na vyžádání.
• Rozsah služeb: Ověřte, co je v ceně zahrnuto. Mandát podle článku 18 je minimum, ale někteří poskytovatelé nabízejí další služby jako monitoring, uchovávání důkazů nebo dokumentaci k sebehodnocení (viz CRAguard, ProvenVEX, SECURiMENT).
• Vyloučení: Žádný z uvedených poskytovatelů nezahrnuje do mandátu posouzení shody, bezpečnostní testování nebo generování SBOM. Tyto náklady jsou zvláštní a hradí je notifikované orgány nebo interní týmy.
• Certifikát a ověření: Hledejte poskytovatele, který nabízí ověřitelný certifikát (REP27 poskytuje QR kód a veřejnou ověřovací stránku).
• Podmínky obnovy: Ujistěte se, že cena obnovy je písemně uvedena před zaplacením první faktury. Tiché nebo nejasné obnovy jsou častým problémem na trhu.
• Proces reakce: Zjistěte, jak se řeší požadavky od úřadů, v jakých jazycích a v jakých hodinách. Nepřetržitá služba je nezbytná pro splnění 24hodinové lhůty hlášení.

Níže je srovnání zahrnutých a nezahrnutých služeb podle zveřejněných informací:

Vždy požadujte písemnou smlouvu s vyjmenováním všech zahrnutí, vyloučení a podmínek obnovy.

Co cena skutečně zahrnuje

Porozumění tomu, co je a není zahrnuto v zveřejněné ceně, je klíčové pro plánování rozpočtu a dodržování předpisů. Poplatek za mandát podle článku 18 obvykle pokrývá pouze právní jmenování a provoz hlásicí služby v EU. V praxi to znamená:

• Mandát a hlásicí služba: Zástupce je oprávněn jednat jako váš oficiální kontakt pro hlášení zranitelností. U REP27 to zahrnuje nepřetržitou službu, správu kanálu CSIRT/ENISA a ověřitelný certifikát s QR kódem. Kadano a Euverify nabízejí podobné mandáty, ale na veřejných stránkách neuvádějí další funkce.
• Balíčkové služby: Někteří poskytovatelé (CRAguard, ProvenVEX, SECURiMENT) nabízejí další služby jako monitoring závislostí, uchovávání důkazů nebo workflow reakce na incidenty. Tyto služby nejsou veřejně naceněné a mohou znamenat významné dodatečné náklady.
• Co není zahrnuto: Žádný poskytovatel v tomto srovnání nezahrnuje do mandátu posouzení shody, bezpečnostní testování nebo generování SBOM. Tyto náklady jsou zvláštní a často vysoké, řeší je notifikované orgány nebo interní týmy.
• Cena obnovy: Pouze REP27 zveřejňuje cenu obnovy (440 €/rok), která je nižší než první rok. Kadano a Euverify veřejně neuvádějí podmínky obnovy.

Při porovnávání poskytovatelů vždy požadujte podrobný rozpis toho, co cena zahrnuje a co bude účtováno navíc. Někteří poskytovatelé mohou také nabízet balíčky zastoupení podle GDPR článku 27 nebo NIS2 za kombinovanou cenu (REP27: 690 €/rok za CRA+GDPR, 990 €/rok za CRA+GDPR+NIS2).

Souhrnná tabulka:

Skryté náklady a vyloučení

I když je poplatek za mandát zástupce často nejmenší položkou v souladu s CRA, skryté náklady a vyloučení mohou být významné:

• Interní inženýrská práce: Sebehodnocení, dokumentace a příprava SBOM jsou povinné, ale nejsou zahrnuty v poplatku za zástupce. Tyto úkoly vyžadují specializované technické zdroje.
• Období podpory: CRA vyžaduje minimálně pět let bezpečnostních aktualizací pro většinu produktů. Plánujte rozpočet na průběžnou údržbu jako produktovou řadu, ne jednorázový projekt.
• Posouzení shody: Pro důležité produkty třídy II nebo kritické produkty je vyžadováno posouzení notifikovaným orgánem. To může stát tisíce eur a trvat měsíce. Žádný zástupce tento náklad nepřebírá.
• Detekce incidentů: Zástupce nesleduje vaše systémy na zranitelnosti. Za detekci a počáteční třídění odpovídá váš bezpečnostní tým.
• Poplatky za incident nebo požadavek: REP27 uvádí, že neúčtuje další poplatky za požadavky, ale jiní poskytovatelé mohou účtovat za další služby nebo správu incidentů. Vždy to potvrďte písemně.
• Omezení odpovědnosti: Poskytovatelé obvykle omezují svou odpovědnost na rozsah mandátu. Nejsou odpovědní za zmeškaná hlášení kvůli vašim interním chybám.
• Výpovědní lhůty a podmínky obnovy: Tiché nebo nejasné obnovy mohou vést k neočekávaným nákladům nebo výpadkům krytí. REP27 zveřejňuje ceny a podmínky obnovy, jiní nemusí.

Co poskytovatelé obvykle neříkají:

• Mandát nezahrnuje detekci zranitelností, záplatování ani informování uživatelů – to je vaše odpovědnost.
• Žádosti o dokumentaci od úřadů mohou být zpožděny, pokud není váš runbook kompletní nebo váš tým není připraven.
• Změna poskytovatele může být složitá, pokud mandát není jasně omezen na povinnosti podle článku 18(3).

Vždy požadujte seznam vyloučení a potvrďte všechny podmínky písemně před podpisem.

Jak probíhá jmenování: krok za krokem

Jmenování autorizovaného zástupce CRA je strukturovaný proces. Zde je praktický postup s konkrétními kroky a tipy:

1. Určete svůj status: Jste výrobcem produktu s digitálními prvky uváděného na trh EU? Pokud ano, pokračujte. Pokud jste pouze dovozce nebo distributor, ověřte, zda produkt uvádíte pod svým jménem.
2. Zkontrolujte své sídlo: Nemáte-li právnickou osobu v EU, musíte jmenovat autorizovaného zástupce. Máte-li v EU dceřinou společnost jako výrobce, hlásíte přímo.
3. Vyberte poskytovatele: Porovnejte poskytovatele podle zveřejněných cen, rozsahu služeb a transparentnosti. REP27, kadano a Euverify zveřejňují ceny; ostatní na vyžádání.
4. Podepište písemný mandát: Poskytovatel (např. REP27) vydá podepsané jmenovací potvrzení, obvykle s elektronickým podpisem eIDAS a ověřitelným certifikátem. Potvrďte, že mandát je omezen na povinnosti podle článku 18(3).
5. Aktualizujte dokumentaci souladu: Přidejte údaje o zástupci do technické dokumentace, runbooku a jakékoli dokumentace požadované CRA.
6. Nastavte proces hlášení: Určete minimálně dva uživatele s přístupem k platformě ENISA. Připravte předem šablony pro včasná varování a oznámení.
7. Definujte spouštěče a interní proces: Dokumentujte, co znamená „zjistit“ aktivně zneužívanou zranitelnost nebo závažný incident. Rozhodněte, kdo může incident vyhlásit a jaké důkazy jsou potřeba (např. pozorované zneužití, důvěryhodné hlášení zákazníka).
8. Vedení záznamů: Uchovávejte časová razítka zjištění, podání a aktualizací. To je důkaz pro případ zpochybnění lhůty.
9. Průběžná připravenost: Školte tým, testujte proces hlášení a pravidelně revidujte runbook.

Tento postup zajistí, že budete připraveni splnit 24hodinovou lhůtu hlášení a vyhnete se mezerám v souladu.

Rizika a pokuty

Rizika nedodržení CRA jsou značná, finančně i provozně:

• Pokuty: Nedodržení může vést k správním pokutám až do 15 milionů eur nebo 2,5 % celosvětového ročního obratu, podle toho, co je vyšší. Sankce platí za zmeškané lhůty hlášení, nezajištění zástupce nebo nedostatečnou reakci na incident (zdroj).
• Provozní rizika: Zpoždění v hlášení může vést k vyšetřování úřady, stažení produktu z trhu nebo zákazu přístupu na trh. Nákup a distribuce mohou být zablokovány, pokud nemáte platného zástupce v EU.
• Poškození reputace: Nedostatečné a opožděné informování uživatelů či úřadů může způsobit negativní publicitu a ztrátu důvěry zákazníků.
• Interní narušení: Bez jasného procesu hlášení mohou být během incidentu ztraceny cenné hodiny, což zvyšuje riziko i náklady.

Příklady možných problémů:

• Trávení prvních hodin incidentu hledáním správného CSIRT nebo cesty hlášení, zbytečná ztráta času.
• Žádosti o dokumentaci doručené do kanceláře v jiné časové zóně, což způsobí zpoždění odpovědi.
• Distributor považovaný za výchozí cestu hlášení, což vede ke ztrátě kontroly nad řešením incidentu.
• Tiché vypršení mandátu kvůli nejasným podmínkám obnovy.

Rizika zmírníte jmenováním transparentního, pohotového zástupce a udržením robustního interního procesu.

Rozhodovací matice: Potřebujete zástupce CRA?

Pomocí níže uvedené matice zjistíte, zda potřebujete autorizovaného zástupce CRA podle vašeho obchodního modelu a umístění:

Vždy ověřte svůj status a povinnosti před jmenováním zástupce.

Kontrolní seznam: Kroky k souladu s 24hodinovým hlášením CRA

1. Určete, zda se na váš produkt vztahuje CRA (digitální prvek, trh EU).
2. Potvrďte, zda jste výrobce (ne pouze dovozce/distributor).
3. Pokud jste mimo EU, jmenujte autorizovaného zástupce CRA a získejte podepsaný mandát.
4. Zdokumentujte údaje o zástupci ve své technické dokumentaci a záznamech o souladu.
5. Nastavte nepřetržitý příjem hlášení zranitelností (interně nebo přes zástupce).
6. Určete minimálně dva uživatele s přístupem k platformě ENISA.
7. Připravte předem šablony pro včasná varování a oznámení.
8. Školte personál, co spouští hlášení a jak reagovat do 24 hodin.
9. Definujte a zdokumentujte důkazy potřebné k „zjištění“ zranitelnosti nebo incidentu.
10. Vedení časových razítek pro důkaz souladu a audit.
11. Pravidelně revidujte runbook a proces hlášení.

Dodržení tohoto seznamu pomůže vyhnout se nejčastějším chybám v souladu.

Reálné scénáře: Která povinnost platí?

• Americká SaaS firma prodávající do EU: Jako výrobce mimo EU musíte jmenovat autorizovaného zástupce CRA (např. REP27) jako svůj kanál hlášení. Zajistěte nepřetržitý příjem a minimálně dva pracovníky s přístupem k platformě ENISA. Připravte šablony včasných varování a zdokumentujte proces, kdy je zranitelnost aktivně zneužívána.
• Čínský prodejce na Amazonu (vlastní značka): Pokud vyrábíte a prodáváte vlastní značkové digitální produkty zákazníkům v EU, potřebujete zástupce CRA. Pokud pouze přeprodáváte značky třetích stran, nepotřebujete. Jmenujte zástupce, aktualizujte dokumentaci a připravte se na hlášení do 24 hodin.
• Britský online obchod s vlastním IoT zařízením: Pokud prodáváte přímo spotřebitelům v EU, jste výrobcem a musíte jmenovat zástupce CRA. Pokud prodáváte jen v UK, CRA se nevztahuje. Pokud používáte distributora v EU, který uvádí produkt na trh pod svým jménem, odpovědnost přechází na něj.

Ve všech případech je nejjednodušší a nejbezpečnější cestou jmenovat transparentního zástupce s fixní cenou, zdokumentovat proces hlášení a před datem účinnosti zákona vyškolit tým.