Tento článek je praktický technický přehled, nikoli právní poradenství. Podrobnosti svých povinností si ověřte u právního poradce.
Od 11. září 2026 musí výrobci produktů s digitálními prvky hlásit aktivně zneužívané zranitelnosti a závažné incidenty podle článku 14 Cyber Resilience Act. Týká se to i produktů, které už jsou na trhu. Lhůta začíná běžet okamžikem, kdy se o události dozvíte – a 24 hodin je málo, pokud nikdo neví, kdo co dělá.
Co je třeba hlásit – a kdy
| Lhůta | Aktivně zneužívaná zranitelnost | Závažný incident |
|---|---|---|
| 24 hodin | Včasné varování | Včasné varování |
| 72 hodin | Oznámení zranitelnosti: produkt, povaha zneužití, přijatá opatření nebo opatření dostupná uživatelům | Oznámení incidentu: povaha incidentu, počáteční posouzení, opatření |
| Závěrečná zpráva | Nejpozději 14 dnů po zpřístupnění nápravného nebo zmírňujícího opatření | Do jednoho měsíce od oznámení incidentu |
Hlášení se podávají prostřednictvím jednotné platformy agentury ENISA pro podávání hlášení; adresátem je tým CSIRT, který je ve vašem členském státě určen jako koordinátor. Zároveň musíte o zranitelnosti nebo incidentu informovat dotčené uživatele a sdělit jim, jaká zmírňující opatření mohou uplatnit.
Postup v osmi krocích
- Určete odpovědnou osobu a jejího zástupce. O tom, zda událost podléhá hlášení, rozhoduje jeden člověk. A to i během dovolených a o víkendech.
- Otevřete vstupní dveře. Bezpečnostní kontakt na webu, soubor
security.txta zveřejněná politika koordinovaného zveřejňování zranitelností (CVD). Výzkumníci i zákazníci musí vědět, kam hlášení poslat. - Mějte přehled o tom, co je ve vašem produktu. Udržovaný SBOM pro každý produkt a každou verzi firmwaru – včetně modulů třetích stran, například rádiových stacků.
- Monitorujte. Sledujte zdroje informací o zranitelnostech komponent ve vašem SBOM a příchozí hlášení evidujte s časovým razítkem.
- Třiďte podle jasných kritérií. Je zranitelnost aktivně zneužívána? Kterých produktů, verzí a trhů se týká? Rozhodnutí zdokumentujte, včetně závěru „nepodléhá hlášení“.
- Používejte šablony. Obsah včasného varování, oznámení do 72 hodin a závěrečné zprávy si připravte předem, aby je nikdo nemusel psát od nuly pod tlakem.
- Opravte a informujte. Předpokladem je bezpečná, autentizovaná cesta k aktualizaci. Bez ní můžete jako zmírňující opatření nabídnout jen náhradní řešení (workaround).
- Nacvičujte. Jednou ročně proveďte simulační cvičení (tabletop): fiktivní hlášení dorazí v pátek odpoledne. Obstojí váš postup?
Úzkým hrdlem je technická stránka
Administrativu lze nastavit během několika týdnů. Co obvykle trvá měsíce, je v produktu: chybějící SBOM pro starší verze firmwaru, nemožnost aktualizovat rádiový modul v terénu nebo nepodepsané aktualizační balíčky. Právě tyto body je třeba naplánovat jako první.
CRA Readiness Check
Gap analýza, nastavení ohlašování podle čl. 14 a CVD, klasifikace produktu a prioritizovaný akční plán.
Série CRA: Část 1 – Co musí výrobci udělat a do kdy · Část 2 – Hlášení podle článku 14 · Část 3 – Checklist EN 18031