Cena hlášení zranitelností do 24 hodin pro neevropské výrobce (CRA 2026)

• Povinnost od 11. září 2026 pro všechny výrobce digitálních produktů prodávaných v EU
• REP27 nabízí službu za 490 €/rok, obnova 440 €, cena zveřejněna
• Kadano: 999 €/rok, Euverify: 590 £/rok (cca 690 €), ceny zveřejněny
• Služba zahrnuje pouze přenos hlášení, nikoli testy či technická hodnocení
• Nedodržení: pokuty až 15 milionů € nebo 2,5 % celosvětového obratu
• Nevztahuje se na dovozce, distributory ani prodejce mimo EU

Aktualizováno 22 October 2026 · 7 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 22 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje: článek 14 CRA

Článek 14 Cyber Resilience Act (Nařízení EU 2024/2847) zavádí velmi přísnou povinnost hlášení pro všechny výrobce digitálních produktů prodávaných v Evropské unii, bez ohledu na jejich sídlo. Od 11. září 2026 musí každý výrobce do 24 hodin od zjištění nahlásit zranitelnost aktivně zneužívanou nebo závažný bezpečnostní incident ovlivňující produkt. Hlášení probíhá prostřednictvím jednotné platformy spravované ENISA, adresované CSIRT koordinátorovi příslušné země EU.

• Hlášení má tři fáze: early warning (do 24 hodin), detailní oznámení (do 72 hodin), závěrečná zpráva (do 14 dnů).
• Povinnost hlášení platí i pro výrobce mimo EU, kteří prodávají přímo nebo přes tržiště zákazníkům v EU.
• Od zástupce se nevyžadují bezpečnostní testy ani technická hodnocení: jeho úkolem je přenos hlášení a být kontaktním místem.
• Povinnost se vztahuje i na incidenty ovlivňující bezpečnost produktu, nejen na již zneužívané zranitelnosti.

Neohlášení nebo zpoždění může vést k sankcím až do výše 15 milionů € nebo 2,5 % celosvětového obratu, podle toho, která částka je vyšší. Pravidla platí pro všechny, kdo uvádějí digitální produkty na trh EU, včetně výrobců softwaru, hardwaru, IoT zařízení, SaaS a dalších.

Zdroj: NIS2.gov.ie, Licentium

Jak vybrat poskytovatele: praktická kritéria a srovnání

Výběr správného poskytovatele pro hlášení zranitelností dle CRA vyžaduje zvážení několika praktických aspektů kromě ceny. Hlavní kritéria jsou:

• Zveřejněná a transparentní cena: Preferujte poskytovatele, kteří jasně uvádějí roční cenu a cenu obnovy, aby nedošlo k překvapením.
• Geografické pokrytí: Poskytovatel musí zajistit zastoupení ve všech zemích EU, kde prodáváte své produkty.
• Certifikace a ověřitelnost: Elektronicky podepsaný a veřejně ověřitelný mandát je zárukou serióznosti.
• Kanál hlášení aktivní 24/7: Služba musí být dostupná nonstop, včetně víkendů a svátků.
• Jasnost ohledně výjimek: Žádný z uvedených poskytovatelů v základní ceně nenabízí bezpečnostní testy, SBOM ani technickou podporu: mandát pokrývá pouze přenos hlášení.

Detailní srovnání:

Praktická rada: vždy si předem ověřte, co je v ceně, zda jsou poplatky za jednotlivá hlášení a jak probíhá obnova. Preferujte poskytovatele, kteří vydávají veřejně ověřitelný certifikát a jasně uvádějí svou právní entitu i geografické pokrytí.

Co cena skutečně zahrnuje: praktické detaily

Zveřejněná cena od poskytovatelů pokrývá výhradně mandát zástupce pro hlášení zranitelností dle čl. 18 CRA. To znamená, že zástupce:

• Přijímá a přeposílá hlášení zranitelností nebo bezpečnostních incidentů příslušným orgánům (CSIRT/ENISA) přes oficiální platformu.
• Slouží jako kontaktní místo pro evropské dozorové orgány v případě dotazů či upřesnění.
• Poskytuje podepsaný a certifikovaný mandát, často s QR kódem pro veřejnou ověřitelnost.
• Zajišťuje nepřetržitý kanál hlášení 24/7 (alespoň REP27, jak uvádí na svých stránkách).

V základní ceně nejsou zahrnuty:

• Bezpečnostní testy nebo hodnocení zranitelností
• Generování Software Bill of Materials (SBOM)
• Technická, právní či provozní podpora při přípravě hlášení
• Řízení krizí nebo komunikace s koncovými uživateli (kromě přeposílání hlášení)

Například REP27 uvádí, že "posouzení shody patří notifikovaným orgánům, testování bezpečnostním firmám, generování SBOM vašemu build pipeline a hlášení vašemu bezpečnostnímu týmu". Mandát pokrývá pouze přenos a příjem požadavků od orgánů. Žádné další poplatky za jednotlivá hlášení nejsou uváděny, žádné skryté upselly.

Doporučení: zajistěte si interně kompetence pro přípravu hlášení a odpovědi na případné doplňující dotazy od orgánů.

Skryté náklady, omezení služby a praktická rizika

Náklady na mandát zástupce jsou pouze částí rozpočtu potřebného pro soulad s Cyber Resilience Act. Skryté náklady a omezení služby jsou často opomíjeny:

• Interní příprava: Shromažďování informací, příprava hlášení a komunikace se zástupcem jsou na straně výrobce.
• Audity a hodnocení: V případě požadavku orgánů může být nutné hradit externí audity nebo technická hodnocení, která mandát nepokrývá.
• Technická a právní podpora: Zástupce neposkytuje technické ani právní poradenství nad rámec přenosu hlášení; případné konzultace jsou zpoplatněny zvlášť.
• Omezená odpovědnost: Žádný z uvedených poskytovatelů nenese odpovědnost za chyby v obsahu dodaném klientem nebo za opomenutí v hlášení.
• Obnova a změna poskytovatele: Vždy si ověřte podmínky obnovy a případné sankce za změnu poskytovatele: REP27 zveřejňuje ceny za přechod a obnovu, ostatní ne.

Praktická rizika:

• Pokud interní proces není připraven, riziko nedodržení lhůt je vysoké.
• Neohlášení či zpoždění může vést k vysokým pokutám a zablokování prodeje v EU.

Doporučení: považujte mandát za "procesní pojistku", nikoli za technické řešení. Skutečný soulad závisí na vaší interní organizaci.

Jak probíhá jmenování: krok za krokem a kontrolní seznam

Jmenování zástupce CRA má jasný postup. Zde jsou praktické kroky a kontrolní seznam:

1. Ověřte, zda prodáváte digitální produkty v EU: Pokud ano, zjistěte, zda jste výrobce (ne jen distributor/dovozce).
2. Vyberte poskytovatele: Porovnejte ceny, zahrnutí služeb, výjimky a transparentnost smluv.
3. Požádejte o službu online: Vyplňte žádost a obdržíte mandát zástupce dle čl. 18.
4. Podepište a archivujte mandát: Mandát musí být podepsán oběma stranami a uložen pro případ kontroly.
5. Zaznamenejte údaje zástupce do firemní dokumentace: Aktualizujte runbooky, interní politiky a dokumentaci souladu.
6. Připravte interní proces hlášení: Definujte, kdo může hlásit zranitelnost, jak sbírat důkazy, jak vyplnit šablony hlášení (early warning, notifikace, závěrečná zpráva).
7. Jmenujte alespoň dva odesílatele: Zajistěte, aby minimálně dvě osoby měly přístup k platformě ENISA, aby se předešlo blokacím při nepřítomnosti.
8. Dokumentujte všechny kroky: Sledujte, kdo, kdy a jak provedl každé hlášení. To je klíčové při auditu.

Kontrolní seznam:

1. Ověřte svou roli (výrobce, dovozce, distributor)
2. Vyberte a jmenujte zástupce
3. Připravte interní proces hlášení
4. Jmenujte odesílatele a aktualizujte dokumentaci
5. Předvyplňte šablony hlášení
6. Zaznamenávejte každé hlášení a komunikaci

Doporučení: jasnost postupů je skutečnou přidanou hodnotou služby zástupce.

Rozhodovací matice: kdo službu potřebuje?

Ne všechny firmy potřebují mandát zástupce pro hlášení zranitelností. Zde je rozhodovací matice založená na reálných případech:

Doporučení: pokud jste jen distributor nebo dovozce a neuvádíte produkt na trh pod svým jménem, mandát nepotřebujete. Pokud jste výrobce mimo EU, jmenování zástupce je nezbytné k vyhnutí se sankcím.

Co poskytovatelé neříkají (ale měli byste vědět)

Mnoho poskytovatelů nezveřejňuje důležité detaily, které mohou ovlivnit vaši shodu a skutečné náklady:

• Výjimky: Žádný z uvedených poskytovatelů nezahrnuje v základní ceně bezpečnostní testy, SBOM ani technická hodnocení. Mandát pokrývá pouze přenos hlášení.
• Odpovědnost: Odpovědnost za správnost a včasnost hlášení vždy nese výrobce. Zástupce neověřuje ani nemění obsah.
• Obnova a změna: Někteří poskytovatelé nezveřejňují cenu obnovy nebo podmínky změny zástupce. REP27 uvádí obojí, ostatní ne.
• Jazyky a dostupnost: Ověřte, zda je poskytovatel skutečně dostupný 24/7 a zda zvládá požadavky ve více jazycích, pokud je to potřeba.
• Omezení služby: Zástupce neřeší komunikaci s koncovými uživateli, krizové řízení ani právní poradenství.

Doporučení: vždy si před podpisem vyžádejte písemný seznam výjimek a omezení odpovědnosti.

Praktické scénáře: tři reálné případy a nejjednodušší cesta

• Americký SaaS prodávající v EU: Musí jmenovat zástupce CRA, připravit proces hlášení a uvést zástupce v oficiálních dokumentech. Při zranitelnosti posílá hlášení zástupci, který jej přeposílá ENISA/CSIRT. Nejjednodušší cesta je vybrat poskytovatele s nonstop kanálem a ověřitelným mandátem.
• Čínský prodejce na Amazonu: Pokud je výrobcem digitálního produktu, má povinnost hlášení a musí jmenovat zástupce; pokud je jen distributorem, ne. Nejjednodušší cesta je vyjasnit smluvní roli a případně využít poskytovatele se zkušenostmi v e-commerce.
• Online obchod z UK: Pokud prodává digitální produkty zákazníkům v EU, musí jmenovat zástupce a dodržovat proces hlášení; pokud prodává jen v UK, povinnost není. Nejjednodušší je zvážit, zda podíl prodejů v EU ospravedlňuje náklady na soulad.

Ve všech případech je klíčová interní příprava a jasnost procesů pro dodržení termínů a snížení rizika sankcí.