Poskytovatelé 24hodinového hlášení zranitelností: Přehled trhu a ceny (2026)

• Povinnost 24hodinového hlášení platí od 11. 9. 2026 pro výrobce digitálních produktů (CRA čl. 14)
• REP27, kadano a Euverify nabízejí odpovídající zastoupení
• Ceny: REP27 od 490 EUR/rok, kadano 999 EUR/rok, Euverify 590 GBP/rok
• Služby se liší: mandát, kanál hlášení, bez technické kontroly či tvorby SBOM
• Nepotřebují dovozci, distributoři ani prodejci na tržištích bez vlastního označení

Aktualizováno 26 October 2026 · 4 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 26 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje? (CRA čl. 14, čl. 18)

Evropský zákon Cyber Resilience Act (CRA) ukládá od 11. září 2026 výrobcům produktů s digitálními prvky povinnost hlásit aktivně zneužívané zranitelnosti nebo závažné bezpečnostní incidenty do 24 hodin od zjištění (článek 14). Hlášení se podává přes centrální portál ENISA a směřuje na příslušné CSIRT členského státu. Termíny jsou přísné: 24 hodin pro varování, 72 hodin pro první úplné hlášení a 14 dnů pro závěrečnou zprávu. Čas běží nepřetržitě – i v noci, o víkendech a svátcích.

Výrobci mimo EU musí podle článku 18 CRA jmenovat zmocněného zástupce v EU. Tento zástupce slouží jako kanál pro hlášení a kontaktní osoba pro úřady. Bez něj není hlášení právně platné. Dovozci, distributoři a prodejci na tržištích (např. Amazon, Etsy, eBay), kteří neuvádějí produkty pod vlastním jménem, jsou z povinnosti vyjmuti. Pro open-source projekty s nekomerčním zaměřením platí zjednodušený režim, ale povinnost hlášení zůstává.

• Článek 14 CRA: 24hodinové varování, 72hodinové úplné hlášení, 14 dní závěrečná zpráva
• Článek 18 CRA: Zmocněný zástupce pro výrobce bez sídla v EU

Klíčová je přesná definice hlásitelné zranitelnosti: povinnost platí pouze pro aktivně zneužívané zranitelnosti nebo závažné incidenty ovlivňující bezpečnost produktu. Nezjištěné či nevyužívané zranitelnosti hlásit nemusíte. Odpovědnost za dodržení lhůt je na výrobci – zpoždění nebo chybné hlášení mohou vést k vysokým sankcím.

Srovnání služeb: Co je zahrnuto a co ne?

Poskytovatelé se výrazně liší v transparentnosti a rozsahu nabízených služeb. REP27 je jediný, kdo zveřejňuje všechny ceny a jasně uvádí, co mandát zahrnuje a co nikoli. Mandát zahrnuje právní zastoupení dle článku 18 CRA, 24hodinovou službu v Evropě, příjem a předání hlášení příslušným úřadům a veřejnou verifikaci mandátu. REP27 výslovně neprovádí technické kontroly, nevytváří SBOM, nehodnotí shodu ani netestuje – tyto úkoly jsou na výrobci nebo je nutno je objednat zvlášť.

U kadano a Euverify jsou ceny zveřejněny, ale podrobnosti o službách, možných příplatcích či výjimkách jsou "na vyžádání". Doporučuje se proto před podpisem smlouvy písemně ověřit, co přesně je zahrnuto a zda se účtují příplatky za určité úkony (např. za každé hlášení, jazyk, mimořádné požadavky).

Důležité: Technické zpracování, tvorba SBOM (Software Bill of Materials) a bezpečnostní kontroly nejsou v ceně zastoupení zahrnuty. Kdo tyto služby potřebuje, musí je objednat u specializovaných dodavatelů zvlášť.

Rozhodovací matice: Kdo co potřebuje?

Potřeba CRA zástupce a 24hodinového hlášení závisí na vaší roli v dodavatelském řetězci, sídle a distribuční struktuře. Následující matice pomůže rychle zařadit:

Praktické příklady: Americký poskytovatel SaaS prodávající EU zákazníkům potřebuje zástupce a 24hodinové hlášení. Čínský výrobce IoT prodávající pod vlastní značkou v EU je také povinen. Britský online obchod, který jen prodává cizí produkty bez vlastní značky, zástupce ani hlášení nepotřebuje.

Kontrolní seznam pro kupující: Jak postupovat

1. Zkontrolujte roli: Jste výrobcem produktu s digitálními prvky, který se prodává v EU?
2. Určete sídlo: Má vaše firma sídlo mimo EU?
3. Porovnejte poskytovatele: Vyberte si poskytovatele s veřejnou cenou a jasným mandátem. Ověřte, zda cena pokrývá všechny služby nebo jsou možné příplatky.
4. Potvrďte služby písemně: Nechte si před podpisem smlouvy písemně potvrdit, co mandát zahrnuje a co nikoli.
5. Připravte interní procesy: Určete odpovědné osoby za 24hodinové hlášení. Vytvořte postupy a šablony hlášení.
6. Zaznamenejte údaje zástupce: Uložte kontaktní údaje zástupce do dokumentace compliance a informujte tým.
7. Otestujte hlášení: Před termínem proveďte simulaci 24hodinového hlášení, abyste odhalili slabiny v procesu.
8. Pravidelně kontrolujte: Každoročně ověřujte, zda se nezměnila vaše distribuční struktura nebo produktové portfolio, což by mohlo ovlivnit povinnost hlášení.

Tímto seznamem předejdete běžným chybám a zajistíte soulad s požadavky k termínu.

Co poskytovatelé často nezmiňují (výjimky, lhůty, poplatky)

Mnoho poskytovatelů neuvádí otevřeně, co mandát skutečně zahrnuje a co ne. REP27 jasně uvádí, že technické kontroly, posuzování shody, tvorba SBOM a testování nejsou součástí mandátu. Také doplňkové služby jako tvorba šablon, podpora technické analýzy nebo komunikace se zákazníky jsou vyloučeny.

• Cena u REP27 je paušální bez skrytých poplatků. Cena obnovy je předem stanovena a nemění se bez oznámení.
• U kadano a Euverify nejsou zveřejněny informace o doplňkových nákladech, výpovědních lhůtách či limitu odpovědnosti. Doporučuje se tyto údaje explicitně vyžádat.
• Odpovědnost za dodržení lhůt a kvalitu hlášení zůstává vždy na výrobci. Zástupce pouze přijímá a předává hlášení, neprovádí technické hodnocení.
• U REP27 je lhůta pro udělení mandátu 24 hodin, u ostatních poskytovatelů je doba "na vyžádání".

Častý omyl: mandát nezahrnuje kompletní soulad s CRA. Nákladné a náročné části (např. posuzování shody, technická dokumentace, SBOM) je nutné zajistit zvlášť. Nepřipravenost může vést ke zpožděním a pokutám.

Tři praktické scénáře: Kdo co musí udělat?

• Americký SaaS poskytovatel: Firma se sídlem v USA nabízí cloudový software evropským firmám. Jako výrobce digitálního produktu prodávajícího v EU musí jmenovat CRA zástupce. 24hodinové hlášení probíhá přes tohoto zástupce, který je jasně uveden v mandátu. Poskytovatel musí určit interní odpovědné osoby a připravit šablony hlášení.
• Čínský prodejce na Amazonu: Firma z Číny prodává IoT zařízení pod vlastní značkou přímo koncovým zákazníkům v EU. Povinnost platí: bez sídla v EU je třeba zástupce dle článku 18 CRA. Hlášení probíhá přes něj. Pokud by firma byla jen prodejcem bez vlastní značky, povinnost by neplatila.
• Britský online obchod: Britský obchod prodává jako prodejce produkty třetích stran do Evropy, ale bez vlastní značky. V tomto případě není povinnost 24hodinového hlášení ani jmenování CRA zástupce, protože obchod není výrobcem. Odpovědnost je na skutečném výrobci.

Tyto scénáře ukazují, jak zásadní je přesné zařazení vlastní role. Chyby vedou k zbytečným nákladům nebo mezerám v souladu s předpisy.