Cyber Resilience Act 24hodinové hlášení zranitelností: Poskytovatelé a ceny (2026)

• Článek 14 CRA vyžaduje 24hodinové hlášení aktivně zneužívaných zranitelností ENISA.
• Výrobci mimo EU musí jmenovat autorizovaného zástupce se sídlem v EU pro hlášení.
• REP27 — Europe Services, SE účtuje 490 €/rok za mandát podle článku 18.
• Ceny konkurence: kadano (999 €/rok), Euverify (590 £/rok), další na vyžádání.
• REP27 nezahrnuje právní poradenství, generování SBOM ani posuzování shody.
• Není povinné pro dovozce, distributory ani produkty uvedené na trh před 11. 9. 2026.

Aktualizováno 17 October 2026 · 8 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 17 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje: Články 14 a 18 CRA

Zákon Cyber Resilience Act (CRA) zavádí přísný režim pro výrobce uvádějící produkty s digitálními prvky na trh EU. Článek 1 vymezuje rozsah: zahrnuje hardware a software s digitálními prvky, včetně připojených zařízení, firmwaru a aplikací. Článek 10 stanoví základní požadavky na kybernetickou bezpečnost v celém životním cyklu produktu, zatímco článek 11 podrobně popisuje povinnosti výrobců, jako je hodnocení rizik, řešení zranitelností a posuzování shody.

Článek 14 je klíčový: vyžaduje, aby výrobci hlásili jakoukoli aktivně zneužívanou zranitelnost nebo vážný incident ovlivňující bezpečnost produktu ENISA prostřednictvím jednotné platformy do 24 hodin od zjištění. Povinnost nastává na základě důvěryhodných důkazů o zneužití nebo významné bezpečnostní události, nikoli pouhým objevením zranitelnosti. 24hodinová lhůta běží v kalendářních hodinách, včetně nocí, víkendů a svátků.

Pro výrobce mimo EU článek 18 vyžaduje jmenování autorizovaného zástupce se sídlem v EU. Tento zástupce je odpovědný za 24hodinový proces hlášení a slouží jako oficiální kontaktní místo pro úřady EU. Dovozci a distributoři mají vlastní povinnosti podle článku 12, ale hlavní povinnost hlášení nese výrobce nebo jeho autorizovaný zástupce.

Produkty uvedené na trh EU před 11. zářím 2026 jsou osvobozeny od 24hodinové povinnosti hlášení, ale musí dodržovat ostatní ustanovení CRA. Nedodržení může vést k pokutám až do výše 15 milionů eur nebo 2,5 % celosvětového ročního obratu, podle toho, co je vyšší. Zákon je jasný: pokud jste výrobce mimo EU prodávající digitální produkty v EU po tomto datu, musíte mít autorizovaného zástupce připraveného jednat do 24 hodin od jakéhokoli kvalifikovaného incidentu.

Jak vybrat autorizovaného zástupce CRA

Výběr správného autorizovaného zástupce je klíčový pro dodržení předpisů a efektivní provoz. Začněte ověřením právní entity poskytovatele, jeho sídla v EU a dosavadních zkušeností. Například REP27 — Europe Services, SE má sídlo v Praze, Česká republika, a působí od roku 2018, s mandáty podepsanými pro firmy ve 24 zemích.

Hlavní kritéria výběru jsou:

• Transparentní ceny: Hledejte jasné, zveřejněné ceny a podmínky obnovy. REP27 zveřejňuje cenu pro první rok i obnovu. Někteří poskytovatelé, jako kadano a Euverify, také zveřejňují ceny, jiní vyžadují nabídku.
• Rozsah mandátu: Ujistěte se, že mandát je omezen na povinnosti podle článku 18. Příliš široké mandáty mohou tvrdit, že pokrývají i povinnosti podle článku 13, což článek 18(2) zakazuje. REP27 výslovně omezuje svůj mandát na hlášení podle článku 18.
• Dostupnost: Hlášecí služba by měla být k dispozici 24/7, včetně víkendů a svátků. REP27 garantuje nepřetržitou dostupnost, u ostatních poskytovatelů je třeba ověřit.
• Ověřitelný certifikát: Ověřitelný certifikát (např. QR kód REP27 a veřejná verifikace) poskytuje důkaz o jmenování a může jej kontrolovat úřad nebo zákazník.
• Výjimky: Ujasněte si, co není součástí služby, například právní poradenství, generování SBOM nebo technické testování. REP27 všechny výjimky jasně uvádí; mnoho konkurentů nikoli.

Balíčkové služby (např. technické skenování, generování SBOM) mohou být užitečné, pokud nemáte interní zdroje, ale vždy si ověřte skryté náklady, nejasné ceny obnovy nebo vágní popisy služeb. Požádejte o písemný popis procesu, včetně způsobu vyřizování požadavků, používaných jazyků a provozní doby.

Nakonec zajistěte, aby mandát poskytovatele byl ověřitelný a aby proces předávání požadavků úřadům byl rychlý a dokumentovaný. Nejde jen o splnění formální povinnosti – zpoždění nebo špatná komunikace mohou mít právní a obchodní důsledky.

Co cena opravdu zahrnuje: srovnání poskytovatelů

Je důležité pochopit, co je zahrnuto v uveřejněné ceně, abyste se vyhnuli nepříjemným překvapením. Níže je podrobné srovnání nabídek jednotlivých poskytovatelů podle dostupných údajů:

Cena REP27 (490 €/rok, 440 € při obnově) je pouze za mandát podle článku 18 s jasně uvedenými výjimkami. Kadano a Euverify zveřejňují ceny, ale veřejně nespecifikují, co je zahrnuto či vyloučeno. Poskytovatelé jako ResilienceWP a Seentrix nabízejí další technické služby (SBOM, skenování, dokumentace), ale ceny a rozsah jsou dostupné pouze na vyžádání.

Vždy požadujte podrobný popis služeb a potvrzení cen obnovy před podpisem smlouvy. Největší chybou je předpokládat, že technická shoda nebo právní poradenství jsou zahrnuty, když tomu tak není.

Skryté náklady a co poskytovatelé obvykle nezmiňují

I když je základní cena důležitá, skryté náklady a výjimky mohou výrazně ovlivnit váš rozpočet na shodu a provozní rizika. Zde jsou často nezveřejňované skutečnosti:

• Výjimky: REP27 explicitně uvádí, že nezahrnuje právní poradenství, služby DPO, technické posouzení shody, generování SBOM ani testování. Mnoho konkurentů tyto výjimky nezveřejňuje, proto se vždy ptejte. Technická shoda (SBOM, posuzování shody, inženýrství) nikdy není součástí mandátu pouze zástupce a musí být rozpočtována zvlášť.
• Ceny obnovy: Někteří poskytovatelé nabízejí nízkou cenu pro první rok, ale nezveřejňují ceny obnovy. REP27 zveřejňuje obě. Vždy si nechte podmínky obnovy písemně potvrdit, abyste předešli neočekávaným nárůstům.
• Poplatky za jednotlivé požadavky: Někteří zástupci mohou účtovat příplatky za každý požadavek úřadů nebo subjektů údajů či za urgentní podání. REP27 tyto poplatky neuvádí, ale jinde to může být jinak. Ujasněte si to před podpisem.
• Výpovědní lhůty a ukončení: Proces ukončení mandátu nebo změny poskytovatele je zřídka detailně popsán. Ptejte se na výpovědní lhůty a případné poplatky.
• Omezení odpovědnosti: Většina zástupců omezuje svou odpovědnost za zmeškané termíny nebo nesprávná podání. Tato omezení nejsou vždy zveřejněna.
• Balíčkové služby: Poskytovatelé nabízející technické služby (např. SBOM, skenování) mohou účtovat významné příplatky nebo vyžadovat dlouhodobé smlouvy. Potvrďte rozsah a ceny písemně.

Celkově skutečné náklady na shodu zahrnují nejen poplatek zástupce, ale i vaše interní inženýrské, technické náklady a provoz 24/7 incidentního řízení. Vždy požadujte úplný rozpis a písemné potvrzení všech podmínek před závazkem.

Jak probíhá jmenování: krok za krokem

Jmenování autorizovaného zástupce CRA je proces vyžadující pečlivé plánování a dokumentaci. Zde je praktický návod podle současných nejlepších postupů a zákonných požadavků:

1. Posouzení použitelnosti: Ověřte, že váš produkt je digitální prvek (hardware/software) uvedený na trh EU po 11. září 2026. Pokud ano, platí povinnost 24hodinového hlášení CRA.
2. Výběr poskytovatele: Porovnejte poskytovatele podle zveřejněné ceny, rozsahu, výjimek a reputace. Požádejte o všechny podmínky a ceny obnovy písemně.
3. Smlouva a mandát: Podepište písemný mandát s vybraným autorizovaným zástupcem. REP27 vydává podepsaný mandát podle článku 18 a ověřitelný certifikát do 24 hodin. Ujistěte se, že právní subjekt je založen v EU a uveden v obchodním rejstříku.
4. Aktualizace dokumentace: Zaznamenejte údaje o zástupci do vašeho compliance runbooku. Připravte jasný proces hlášení, včetně toho, kdo může incident oznámit a jak se dokumentují důkazy.
5. Interní příprava: Určete alespoň dva zaměstnance jako podavatelé na platformě ENISA, ideálně v různých časových pásmech. Připravte šablony pro včasná varování a určete odpovědnost za 72hodinové oznámení a komunikaci s uživateli.
6. Řízení incidentů: Při zjištění kvalifikované zranitelnosti nebo incidentu ihned informujte zástupce. Ten do 24 hodin podá včasné varování ENISA/CSIRT, následně 72hodinové oznámení a závěrečnou zprávu.
7. Vedení záznamů: Uchovávejte detailní záznamy o zjištění, časech podání a komunikaci. To je klíčové, pokud by vaše shoda byla zpochybněna úřady.
8. Průběžná kontrola: Pravidelně revidujte procesy, aktualizujte kontaktní údaje, šablony a odpovědnosti podle potřeby.

Tento postup zajistí splnění přísných lhůt CRA a vyhnete se pokutám. Klíčem je příprava: definujte spouštěče, přiřaďte role a nacvičte workflow před účinností zákona.

Rizika, pokuty a termíny shody

Cyber Resilience Act zavádí významná právní a finanční rizika za nedodržení. Článek 15 popisuje sankce a postupy vymáhání. Největším rizikem je zmeškání 24hodinové lhůty pro hlášení aktivně zneužívaných zranitelností nebo vážných incidentů. Lhůta začíná běžet okamžikem, kdy se o incidentu dozvíte, nikoli dokončením vyšetřování. Zpoždění může vést k pokutám až 15 milionů eur nebo 2,5 % celosvětového obratu, podle toho, co je vyšší.

Další rizika zahrnují:

• Prodlení při vstupu na trh: Nepřidělení zástupce nebo neposkytnutí ověřitelného certifikátu může zpozdit uvedení produktu na trh nebo zablokovat nákupní procesy, zejména u podnikových zákazníků.
• Vymáhací opatření: Úřady mohou zahájit šetření, požadovat dokumentaci nebo uložit nápravná opatření, pokud není povinnost hlášení splněna.
• Poškození reputace: Selhání v hlášení může poškodit značku a důvěru zákazníků.
• Vícenásobné režimy hlášení: Jeden incident může vyvolat hlášení podle CRA, NIS2, GDPR a GPSR, každý s odlišnými lhůtami a úřady. Například útok ransomwarem zneužívající váš produkt může vyžadovat tři samostatná hlášení.

Termíny shody jsou přísné: 24hodinová povinnost platí od 11. září 2026 pro nové produkty. Produkty uvedené před tímto datem jsou od 24hodinové povinnosti osvobozeny, ale musí splnit ostatní požadavky CRA. Podpora bezpečnostních aktualizací – minimálně pět let – je další skrytý náklad, který je třeba plánovat a rozpočtovat jako produktovou řadu, nikoli jednorázově.

Shrnuto, rizika nedodržení jsou značná a cena za nepřipravenost je mnohem vyšší než náklady na kvalifikovaného zástupce.

Rozhodovací matice: Potřebujete autorizovaného zástupce CRA?

Pro určení potřeby autorizovaného zástupce CRA použijte následující matici:

Tato matice pokrývá většinu případů. V případě pochybností konzultujte právníka nebo kontaktujte poskytovatele pro upřesnění. Povinnost nese výrobce nebo jeho jmenovaný zástupce, nikoli dovozce či distributor, pokud produkt neuvádějí pod vlastním jménem.

Kontrolní seznam: Kroky k dodržení 24hodinového hlášení CRA

1. Zmapujte své produkty: Seznamte všechny digitální produkty prodávané v EU a jejich datum uvedení na trh.
2. Zhodnoťte interní procesy: Prozkoumejte, jak jsou zranitelnosti detekovány, eskalovány a dokumentovány ve vaší organizaci.
3. Vyberte zástupce: Porovnejte poskytovatele, požádejte o písemné potvrzení všech poplatků, cen obnovy a rozsahu služeb.
4. Podepište mandát: Získejte podepsaný mandát podle článku 18 a ověřitelný certifikát od vybraného zástupce.
5. Aktualizujte dokumentaci: Přidejte údaje o zástupci do runbooku a compliance dokumentace. Připravte šablony pro včasná varování a oznámení.
6. Přiřaďte role pro hlášení: Určete alespoň dva podavatelé na platformě ENISA, ideálně v různých časových pásmech.
7. Otestujte workflow: Proveďte simulaci zneužité zranitelnosti, aby všichni znali své povinnosti a termíny.
8. Školte tým: Vzdělávejte zaměstnance o spouštěčích 24hodinové lhůty a postupu eskalace incidentů.
9. Sledujte legislativní novinky: Buďte informováni o změnách požadavků CRA nebo hlásicích platformách před zářím 2026.
10. Pravidelně revidujte a aktualizujte: Každoročně nebo po významných incidentech přehodnocujte procesy a dokumentaci.

Dodržování tohoto seznamu pomůže zajistit připravenost na přísné povinnosti hlášení CRA a vyhnout se nákladným sankcím.

Reálné scénáře: Která cesta platí?

• Americká SaaS firma prodávající do EU: Firma je výrobcem mimo EU uvádějícím digitální produkty na trh EU. Musí jmenovat autorizovaného zástupce pro hlášení podle článku 18 (např. REP27, kadano, Euverify). Interní bezpečnostní tým detekuje zranitelnosti a informuje zástupce, který do 24 hodin podá hlášení ENISA/CSIRT. Dovozce ani distributor nejsou zapojeni, povinnost je přímá.
• Čínský prodejce na Amazonu dodávající IoT zařízení EU spotřebitelům: Pokud je prodejce výrobcem mimo EU, musí jmenovat autorizovaného zástupce. Pokud Amazon vystupuje jako dovozce, povinnost hlášení může přejít na Amazon. Prodejce by měl situaci vyjasnit s platformou a případně jmenovat zástupce a aktualizovat dokumentaci produktu.
• Britský online obchod prodávající vlastní značku routerů v EU: Jako výrobce mimo EU musí britská firma jmenovat autorizovaného zástupce pro 24hodinové hlášení. Údaje zástupce musí být v dokumentaci shody a interní procesy připraveny na rychlou eskalaci incidentů. Pokud obchod zároveň vystupuje jako dovozce nebo distributor pod vlastním jménem, mohou platit další povinnosti.

Tyto scénáře ukazují důležitost mapování dodavatelského řetězce a vyjasnění rolí. Nejjednodušší cestou k souladu je jmenování zástupce, zdokumentování procesu a školení týmu pro rychlou reakci.