HLÁŠENÍ PODLE CRA · ČL. 14 NAŘÍZENÍ (EU) 2024/2847

Hlášení zranitelností podle CRA: za 10 dnů připraveni na lhůtu 24 hodin

Od 11. září 2026 musí výrobci podle CRA hlásit aktivně zneužívané zranitelnosti do 24 hodin přes platformu ENISA, i u produktů už na trhu. Hlídání CVE z vašeho SBOM máte 30 dnů zdarma; postup hlášení připravíme za 10 dnů od 95 000 Kč bez DPH.

Chci 30 dnů hlídání CVE zdarmaStačí váš SBOM · skončí samo, bez předplatného
Rychle a zdarma:Kontrola produktu podle CRA

Lhůta běží od chvíle, kdy se to dozvíte. Včasné varování musíte poslat do 24 hodin od zjištění zneužití. Bez SBOM se často ani nedozvíte, že zranitelnou knihovnu ve svém produktu máte.

ReferenceT-Systems · Olingo Medical · Lumii · Rowan Legal

Nechte mi číslo, zavolám vám

Kryštof Olík · zakladatel a CEO

V pracovní dny ještě týž den, jinak další pracovní den ráno.

Nebo mi napište přímo na info@ollsoft.ai

Údaje použijeme jen k vyřízení tohoto požadavku. Ochrana osobních údajů
Platí od
11. 9. 2026 (čl. 71 odst. 2)
Včasné varování
do 24 hodin od zjištění (čl. 14 odst. 2 a 4)
Oznámení
do 72 hodin od zjištění
Závěrečná zpráva
do 14 dnů od zpřístupnění nápravného nebo zmírňujícího opatření, u incidentů do 1 měsíce od oznámení
Oficiální zdrojePlné znění CRA (EUR-Lex)Pokyny Evropské komiseHlášení přes ENISA (SRP)

Novinky k CRA e-mailem. Jednou měsíčně, co se změnilo a co to znamená pro váš produkt.

CenyHlídání CVE: zdarmaPříprava hlášení: od 95 000 KčProvoz: od 9 900 Kč měsíčněCelá nabídka

Proč s Ollsoftem?

Hlídání zranitelností běží na našem vlastním nástroji a frameworku na testování CRA, ne jako jednorázový audit.

  • při každém vydání znovu prověří SBOM a zranitelnosti
  • když se objeví nová zneužívaná zranitelnost, dáme vám vědět, co je nutné udělat, nebo se o to postaráme sami
  • každý nález posoudí AI agent a rozhodne inženýr; rozhodnutí zůstane zapsané jako OpenVEX
  • technickou práci, procesy a dokumentaci připravíme my, právníci partnerské kanceláře Rowan Legal je ověří a připraví smlouvy
Dva inženýři Ollsoftu u notebooku, vedle nich monitor s kódem

Co přesně musím hlásit?

Povinnost hlášení podle CRA (čl. 14 nařízení EU 2024/2847) ukládá výrobcům od 11. září 2026 hlásit přes platformu ENISA aktivně zneužívané zranitelnosti ve svém produktu a závažné incidenty s dopadem na jeho bezpečnost (čl. 14 odst. 1 a 3).

  • „aktivně zneužívaná“: existují spolehlivé důkazy, že ji útočník zneužil v systému bez svolení vlastníka (čl. 3 bod 42)
  • incident je závažný, když ohrožuje ochranu citlivých nebo důležitých dat či funkcí, nebo když vede či může vést k vložení nebo spuštění škodlivého kódu v produktu nebo v systémech uživatelů (čl. 14 odst. 5)
  • zranitelnost cizí komponenty hlásíte, až když byla zneužita ve vašem produktu (pokyny Komise, bod 218)
  • když zranitelný kód u vás není dosažitelný, povinnost hlásit nevzniká
  • dobrovolně můžete nahlásit i to, co povinnosti nepodléhá (čl. 15)

Kdy začíná běžet lhůta 24 hodin?

Když po prvním posouzení s přiměřenou jistotou víte, že je zranitelnost ve vašem produktu zneužívána nebo že došlo k závažnému incidentu (pokyny Komise, bod 213).

  • s posouzením musíte začít hned, jak přijde podnět (body 213 a 214)
  • zpětně nehlásíte, co jste jako zneužívané znali už před 11. zářím 2026 (bod 217)
  • když ke zneužití starší zranitelnosti dojde nebo se o něm dozvíte až potom, lhůta platí

Jak probíhá hlášení přes platformu ENISA?

Přes jednotnou platformu ENISA (Single Reporting Platform) současně týmu CSIRT, který je koordinátorem ve státě vaší hlavní provozovny, a agentuře ENISA (čl. 14 odst. 7).

  • hlavní provozovna je tam, kde se převážně rozhoduje o kybernetické bezpečnosti vašich produktů
  • přístup jen přes EU Login s vícefaktorovým ověřením, účet si můžete založit předem
  • za výrobce jeden hlavní a až 20 dalších zástupců
  • ENISA doporučuje registrovat se na platformě až ve chvíli, kdy hlásíte; s hotovým účtem EU Login to trvá pár minut
  • rozhraní jen v angličtině, zatím bez API, hlášení přes webový formulář
  • jakmile se o zneužití nebo incidentu dozvíte, informujete i dotčené uživatele, kde je to vhodné, strojově čitelně (čl. 14 odst. 8)

Proč hlášení potřebuje SBOM a hlídání CVE?

Nahlásit můžete jen to, čeho si všimnete, a softwarový kusovník (SBOM) ukazuje, které komponenty a v jaké verzi jsou v každém dodaném produktu.

  • denní porovnání SBOM s databázemi zranitelností odhalí nový případ, i když se váš kód nezměnil
  • seznamy zneužívaných zranitelností (CISA KEV, ENISA EUVD) ukážou, co už útočníci používají
  • posouzení pak rozhodne, jestli je zranitelný kód v produktu, jestli je dosažitelný a jestli ho může ovlivnit útočník
  • výsledek zapisujeme jako OpenVEX: dokládá vaše rozhodnutí a slouží i jako odpověď zákazníkům

NABÍDKA

Od 30 dnů zdarma po provoz

Hlídání zdarma běží z vašeho SBOM, bez přístupu ke kódu. Hned uvidíte, které komponenty mají zranitelnosti a co z toho je kritické.

Krok 1 · Začněte tady

Hlídání CVE 30 dnů zdarma

30 dnů vidíte každou novou zranitelnost v jednom produktu a víte, zda by mohla podléhat hlášení.

Zdarma

Co dostanete

  • SBOM jednoho produktu ve strojově čitelném formátu nám pošlete vy, bez přístupu ke kódu
  • denní porovnání s databázemi zranitelností, CISA KEV a ENISA EUVD
  • u každého nového nálezu posouzení, zda může podléhat hlášení: AI agent navrhne, inženýr rozhodne
  • upozornění e-mailem na aktivně zneužívané zranitelnosti
  • skončí samo, žádné předplatné
Chci 30 dnů hlídání CVE zdarma

Krok 2

Hlášení podle CRA připravené za 10 dnů

Poznáte případy, které musíte hlásit, a nahlásíte je do 24 hodin.

od 95 000 Kčbez DPH jednorázově

Co dostanete

  • detailní prověrka kódu a infrastruktury: SBOM ze všech repozitářů a dosažitelnost zranitelností v kódu
  • SBOM pro každý dodávaný produkt, automaticky v CI
  • hlídání CVE s posouzením pro všechny produkty
  • postup hlášení: kdo posuzuje, kdo hlásí, kdo zastupuje
  • šablony včasného varování, oznámení do 72 hodin a závěrečné zprávy
  • účty EU Login s MFA připravené, příslušný CSIRT určený
  • šablona informace pro uživatele (čl. 14 odst. 8)
  • cvičení na simulovaném případu
Chci nabídku na tento balíček

Krok 3

Hlídání CVE v provozu

Nové zranitelnosti jsou průběžně posouzené a hlášení připravená.

od 9 900 Kč měsíčněbez DPH

Co dostanete

  • denní porovnání pro všechny produkty
  • posouzení a OpenVEX ke každému nálezu
  • pomoc s vyplněním každého hlášení
  • VEX dokumenty pro vaše zákazníky
Chci nabídku na tento balíček

V CENĚ

K 10dennímu balíčku navíc

  • politika koordinovaného zveřejňování zranitelností a security.txt, připravené ke zveřejnění
  • šablona odpovědi zákazníkům, kteří se ptají na vaši připravenost na CRA

ZÁRUKA

10 dnů, jinak pracujeme zdarma

Pokud do 10 dnů od zpřístupnění repozitářů nebude postup hlášení připravený k použití, pracujeme dál zdarma, dokud nebude. Platí pro balíček „Hlášení podle CRA připravené za 10 dnů“.

Chci 30 dnů hlídání CVE zdarma

Stačí váš SBOM · skončí samo, bez předplatného

Nechte mi číslo, zavolám vám

Kryštof Olík · zakladatel a CEO

V pracovní dny ještě týž den, jinak další pracovní den ráno.

Nebo mi napište přímo na info@ollsoft.ai

Údaje použijeme jen k vyřízení tohoto požadavku. Ochrana osobních údajů

POSTUP

Jak to probíhá

  1. 01

    Krátký hovor

    Produkty, SBOM, kdo dnes řeší bezpečnostní hlášení. Bez přístupu ke kódu.

  2. 02

    Hlídání CVE od prvního dne

    Z vašeho SBOM, denní porovnání, 30 dnů zdarma.

  3. 03

    Připraveni za 10 dnů

    Prověrka kódu, SBOM v CI, postup, šablony, účty, cvičení.

  4. 04

    Provoz

    Posouzení každého nálezu, pomoc s každým hlášením.

SROVNÁNÍ

Hlídání CVE, upozornění skeneru, nebo ruční kontrola?

Hlídání CVE od OllsoftuJen upozornění skeneruRuční kontrola
Označení aktivně zneužívanýchHlídání CVE od Ollsoftu: CISA KEV a ENISA EUVDJen upozornění skeneru: podle nástrojeRuční kontrola: ne
Dosažitelnost v produktuHlídání CVE od Ollsoftu: v placených balíčcích u každého nálezu, přímo v kóduJen upozornění skeneru: většinou neRuční kontrola: pracně
Zdokumentované rozhodnutíHlídání CVE od Ollsoftu: OpenVEX, předatelný zákazníkůmJen upozornění skeneru: zřídkaRuční kontrola: zřídka
Postup hlášení 24 a 72 hodinHlídání CVE od Ollsoftu: připravený a nacvičenýJen upozornění skeneru: není součástíRuční kontrola: improvizace

Srovnání přístupů, ne konkrétních firem.

REFERENCE

Reference a partneři

T-Systems

Pro T-Systems jsme postavili platformu pro soulad s CRA: SBOM každého produktu denně porovnává s novými zranitelnostmi a každých 6 hodin se seznamy zneužívaných. Nové nálezy posoudí AI agent a zapíše jako OpenVEX; u aktivně zneužívané komponenty platforma ukáže kroky podle čl. 14 se lhůtami 24 hodin, 72 hodin a 14 dnů.

Olingo Medical

AI pro zdravotnickou dokumentaci: používá ji více než 10 nemocnic a klinik, ve dvou fakultních nemocnicích běží celá v jejich síti. Připravili jsme ji na CRA.

olingomedical.com

Lumii

Evropská AI hračka, se kterou si děti povídají. Připravili jsme ji na CRA.

lumiitoy.com

Rowan Legal

Naše partnerská advokátní kancelář pro NIS2 a CRA: technickou práci, procesy a dokumentaci připravíme my, její právníci je ověří a připraví smlouvy. Kanceláři jsme dodali i AI, která běží na jejích vlastních serverech bez externích API.

rowan.legal

KONTAKT

Začněte hlídáním CVE zdarma

Po krátkém hovoru nám pošlete SBOM jednoho produktu a hlídání CVE zapneme na 30 dnů zdarma, bez přístupu ke kódu. Pak skončí samo, bez předplatného a bez výpovědi.

Nechte mi číslo, zavolám vám

Kryštof Olík · zakladatel a CEO

V pracovní dny ještě týž den, jinak další pracovní den ráno.

Nebo mi napište přímo na info@ollsoft.ai

Údaje použijeme jen k vyřízení tohoto požadavku. Ochrana osobních údajů

ČASTÉ DOTAZY

Na co se ptáte

Ano. Čl. 69 odst. 3 ji vztahuje na všechny produkty v působnosti CRA, i když byly uvedeny na trh před 11. prosincem 2027. Podle pokynů Komise platí i po skončení doby podpory.

Hlídání zdarma běží ze SBOM, který nám pošlete; přístup ke kódu nepotřebujeme. Když SBOM nemáte, vytvoříme ho z vašich repozitářů v balíčku na 10 dnů a jeho generování napojíme na vaše vydávání verzí.

Vy jako výrobce (čl. 14 odst. 1). My připravíme SBOM, hlídání, postup a šablony a s vyplněním každého hlášení pomůžeme. Právní posouzení zůstává na vašem právníkovi; může ho udělat i naše partnerská advokátní kancelář Rowan Legal.

Týmu CSIRT ve státě zplnomocněného zástupce, dovozce nebo distributora, případně ve státě, kde má produkt nejvíce uživatelů (čl. 14 odst. 7).

Výrobce, který open source zabuduje do svého produktu, hlásí za svůj produkt už teď. Správci softwaru s otevřeným zdrojovým kódem (open-source stewards) hlásí od 11. prosince 2027, a to v rozsahu, v jakém se podílejí na vývoji (čl. 24 odst. 3 a čl. 71 odst. 2).

Za porušení čl. 14 hrozí pokuta až 15 mil. € nebo 2,5 % celosvětového ročního obratu, podle toho, co je vyšší (čl. 64 odst. 2).

Prvních 30 dnů hlídání CVE je zdarma, z vašeho SBOM a bez přístupu ke kódu. Balíček na 10 dnů stojí od 95 000 Kč bez DPH, průběžné hlídání od 9 900 Kč měsíčně. Pevnou cenu dostanete písemně po prvním hovoru.

„Hlášení podle CRA připravené za 10 dnů“ (od 95 000 Kč) řeší jen hlášení, které platí už teď: SBOM v CI, hlídání CVE, postup, šablony, účty EU Login a cvičení. „Připravenost na CRA za 6 týdnů“ (od 195 000 Kč) připraví celý produkt na 11. prosinec 2027 a postup hlášení přes platformu ENISA obsahuje také. Služby „Hlídání CVE v provozu“ (9 900 Kč měsíčně) i „CRA v provozu“ (14 900 Kč měsíčně) denně porovnávají s novými CVE, posuzují nálezy jako OpenVEX a pomáhají s hlášením; „CRA v provozu“ navíc vytváří SBOM při každém vydání a aktualizuje posouzení rizik a dokumentaci. Ceny jsou bez DPH.

Newsletter

Novinky k CRA e-mailem

CRA se pořád doplňuje: pokyny Komise, platforma ENISA, harmonizované normy. Jednou měsíčně, a navíc když se změní něco důležitého, vám pošleme krátký přehled, co se změnilo a co to znamená pro váš produkt.

DALŠÍ SLUŽBY

Co s tím často souvisí

Cyber Resilience Act (CRA)Jak hluboko se CRA týká vašeho produktu? Zdarma do 48 hodin určíme třídu, postup posouzení shody a termíny. Pak připravíme kód, procesy i dokumentaci.VíceKontrola produktu podle CRASpadá váš produkt pod Cyber Resilience Act? Kontrola zdarma: výjimky, třída podle příloh III a IV, postup posouzení shody a lhůty. Výsledek hned.VíceStrojní zařízení a CRAOd 20. 1. 2027: ochrana před poškozením (1.1.9) a bezpečné ovládací systémy (1.2.1), k tomu CRA. Obojí v jednom balíčku, úvodní posouzení zdarma.Více

Zdroje

Aktualizováno: