Porovnání poskytovatelů hlášení zranitelností pro Cyber Resilience Act (CRA)

• Hlášení zranitelností dle CRA je povinné od 11. září 2026
• Pouze někteří poskytovatelé zveřejňují ceny a zahrnuté služby
• Zastoupení pokrývá přenos hlášení, nikoli technické hodnocení
• Porovnejte výjimky, obnovy a ověřovací procesy
• Pokuty za nehlášení mohou dosáhnout až 15 milionů € nebo 2,5 % obratu
• Mandát zástupce nezahrnuje posouzení, SBOM ani technickou podporu

Aktualizováno 21 October 2026 · 12 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 21 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje: povinnosti, články a termíny

Cyber Resilience Act (CRA), Nařízení (EU) 2024/2847, zavádí přísné povinnosti pro ty, kdo uvádějí na trh EU produkty s digitálními prvky, ať už hardware nebo software, bez ohledu na místo sídla. Hlavní povinnosti jsou:

• Jmenování autorizovaného zástupce (čl. 18): Pokud výrobce není usazen v EU, musí písemně jmenovat zástupce v Unii. Tento zástupce je odpovědný za přenos hlášení o zranitelnostech a závažných incidentech příslušným orgánům (CSIRT, ENISA).
• Hlášení zranitelností (čl. 14): Od 11. září 2026 musí každý výrobce nahlásit do 24 hodin od zjištění aktivně zneužívané zranitelnosti nebo závažného incidentu ovlivňujícího bezpečnost produktu. Hlášení se provádí přes platformu ENISA a směřuje na koordinující CSIRT.
• Kompletní oznámení a závěrečná zpráva: Do 72 hodin od prvotního hlášení musí být poskytnuto detailní oznámení s prvními nápravnými opatřeními. Do 14–30 dnů je třeba dodat závěrečnou zprávu s detaily o zranitelnosti a přijatém řešení.
• Platí pro všechny digitální produkty: Povinnost se vztahuje na nové i již uváděné produkty, pokrývá celý životní cyklus včetně aktualizací a podpory.
• Sankce: Nedodržení může vést k pokutám až do výše 15 milionů € nebo 2,5 % celosvětového obratu, podle toho, co je vyšší.

Je zásadní rozlišovat mezi hlášením CRA (zranitelnosti produktu) a dalšími povinnostmi jako GDPR (porušení osobních údajů) nebo NIS2 (incidenty služeb). Každý režim má jiné adresáty, termíny a platformy.

Jak vybrat poskytovatele: praktická kritéria a rizika

Výběr poskytovatele hlášení zranitelností CRA by měl být založen na praktických a transparentních kritériích. Klíčové body k posouzení jsou:

• Zveřejněná a transparentní cena: Upřednostňujte poskytovatele, kteří jasně uvádějí cenu a cenu obnovy. Vyhněte se nabídkám s "úvodními" cenami nebo skrytými obnovami.
• Co je zahrnuto: Ověřte, zda služba pokrývá pouze mandát zástupce a přeposílání hlášení, nebo zda nabízí i technickou podporu, dokumentaci, SBOM či pokročilé workflow. Většina poskytovatelů se omezuje na právní zastoupení.
• Ověřitelný certifikát: Certifikát s QR kódem a veřejnou ověřovací stránkou snižuje riziko sporů při auditech nebo incidentech.
• 24/7 podpora: Hlášení musí být možné kdykoliv, včetně nocí, víkendů a svátků. Výslovně se zeptejte, zda je podpora dostupná po celý rok.
• Jazyk a doba odezvy: Ujistěte se, že poskytovatel zvládne požadavky v angličtině a případně dalších jazycích EU. Doba přeposlání delší než 24 hodin může ohrozit shodu.
• Výjimky a omezení: Žádný zástupce nepokrývá technické posouzení, bezpečnostní testy, generování SBOM nebo inženýrskou podporu: tyto služby zůstávají na výrobci nebo specializovaných dodavatelích.

Vždy posuzujte jasnost výjimek: poskytovatel, který je neuvádí, může mít nejasně definovaný rozsah služby.

Co cena skutečně zahrnuje: srovnávací tabulka a analýza

Většina poskytovatelů nabízí mandát zástupce a přeposílání hlášení, ale jen málo pokrývá další technické služby. Níže tabulka pro srovnání:

Zásadní rozdíl mezi "klasickými" poskytovateli (REP27, kadano, Euverify) a těmi nabízejícími širší služby (Attestra AI, Seentrix, Illicium) je, že první se omezují na zákonné minimum, zatímco druzí nabízejí i bezpečnostní workflow, automatizované SBOM či pentesting. Pro splnění požadavků čl. 18 a 14 CRA však stačí mandát zástupce a záruka včasného přeposlání hlášení.

Upozornění: zveřejněná cena pokrývá pouze explicitně uvedené služby. Technické služby jsou často naceněny zvlášť a mohou být výrazně dražší.

Skryté náklady, výjimky a co poskytovatelé neříkají

Mnoho poskytovatelů nezveřejňuje cenu obnovy nebo účtuje příplatky za žádosti mimo pracovní dobu, vydání dodatečných certifikátů či podporu v jiných než anglických jazycích. Co si pohlídat:

• Obnovy: Vždy si před podpisem vyžádejte písemnou cenu obnovy. REP27 ji zveřejňuje jasně (440 €), jiní ji sdělují jen na vyžádání.
• Výjimky: Žádný poskytovatel nekryje posouzení shody, bezpečnostní testy, generování SBOM ani inženýrskou podporu. Tyto služby jsou samostatné a často výrazně dražší než mandát zástupce.
• Omezení odpovědnosti: Poskytovatelé nenesou odpovědnost za technické chyby, nehlášení ze strany klienta nebo správu zranitelností samotných.
• Výpovědní lhůta: Někteří poskytovatelé mohou požadovat výpovědní lhůtu pro ukončení služby nebo změnu zástupce. Vždy si ověřte smluvní podmínky.
• Poplatky za jednotlivé požadavky: Pokud nejsou veřejně uvedeny, ptejte se na poplatky za dodatečné požadavky, vydání nových certifikátů nebo podporu v nouzových situacích.

Rozhodovací tabulka:

Stručně řečeno, jasnost ohledně výjimek a skrytých nákladů je klíčová pro předcházení překvapením a zajištění plné shody.

Jak probíhá jmenování: krok za krokem a praktický checklist

Jmenování zástupce CRA zahrnuje několik klíčových kroků. Zde je podrobný návod:

1. Ověřte povinnost: Jste výrobce digitálních produktů (hardware/software) prodávaných v EU a nemáte sídlo v Unii? Pokud ano, podléháte povinnosti.
2. Vyberte poskytovatele: Porovnejte ceny, zahrnutí služeb, výjimky a ověřovací procesy. Preferujte poskytovatele s 24/7 podporou a veřejně ověřitelným certifikátem.
3. Podepište mandát: Mandát musí být písemný, podepsaný statutárním zástupcem poskytovatele (např. Europe Services, SE pro REP27) a omezený na povinnosti dle čl. 18. Vyhněte se mandátům pokrývajícím i čl. 13.
4. Získejte certifikát: Poskytovatel vydá certifikát jmenování, ideálně s QR kódem a online ověřovací stránkou.
5. Připravte interní runbook: Zaznamenejte údaje o zástupci, eskalační postupy a kontakty pro hlášení do interní dokumentace.
6. Nastavte kanál hlášení: Připravte interní kanál pro sběr hlášení zranitelností a incidentů, s alespoň dvěma osobami jmenovanými jako submitteři na platformě ENISA.
7. Školte tým: Zajistěte, aby personál věděl, co a kdy hlásit, a aby byly postupy otestovány simulací.

Praktický checklist:

1. Identifikovali jste třídy produktů a jejich určení v EU?
2. Zmapovali jste všechny prodejní a distribuční kanály?
3. Vybrali jste poskytovatele s 24/7 podporou a transparentní cenou obnovy?
4. Napsali jste eskalační a hlášení postupy?
5. Jmenovali jste alespoň dva submittery na platformě ENISA?
6. Otestovali jste hlášení simulací?

Dodržováním těchto kroků minimalizujete riziko neshody a sankcí.

Rizika, pokuty a reálné scénáře: co se může stát v praxi

Neohlášení zranitelnosti do 24 hodin může vést k pokutám až do 15 milionů € nebo 2,5 % globálního obratu, kromě reputačních škod a blokace prodeje v EU. Zde jsou tři realistické scénáře pro lepší pochopení povinností:

• SaaS USA: Americká SaaS firma poskytující služby klientům v EU musí jmenovat zástupce CRA, aktivovat 24/7 kanál hlášení a hlásit každou zneužitou zranitelnost. Poskytovatel zástupce přeposílá hlášení přes ENISA a odpovídá na požadavky úřadů.
• Prodejce Amazon Čína: Pokud je prodejce zároveň výrobcem digitálního produktu, musí jmenovat zástupce CRA a dodržovat lhůty hlášení. Pokud je pouze prodejcem, povinnost je na výrobci. Kanál hlášení musí být připraven od 11. září 2026.
• Online obchod UK: Britský e-shop prodávající zařízení s firmwarem zákazníkům v EU musí jmenovat zástupce CRA. Pokud nabízí jen nedigitální služby, povinnost neplatí. V případě incidentu je hlášení do 24 hodin povinné i přes sídlo mimo EU.

Ve všech případech může absence přípravy (chybějící runbook, netestovaný kanál hlášení, neověřitelný zástupce) zpomalit reakci a zhoršit právní i finanční důsledky.