Kyberbezpečnost CRA

Co je modul Kyberbezpečnost CRA a k čemu ve firmě slouží

Kyberbezpečnost CRA je modul eIntranetu pro výrobce hardwaru a softwaru, kteří musí plnit nařízení (EU) 2024/2847, známé jako Cyber Resilience Act. Vedete v něm registr produktů s digitálními prvky, jejich verze a seznam komponent (SBOM), hlídáte zranitelnosti a připravujete hlášení pro platformu ENISA. Hlídá také lhůty 24 hodin, 72 hodin a závěrečné zprávy.

Modul vznikl pro situaci, kterou výrobce zažije jednou za několik let, ale musí ji zvládnout během jediného dne: zákazník nebo bezpečnostní výzkumník oznámí, že se v produktu zneužívá zranitelnost. Od 11. 9. 2026 platí povinnost hlásit takové případy podle čl. 14 nařízení, a to i u produktů, které jste uvedli na trh dávno před tímto datem. Kdo nemá předem určené lidi, nacvičený postup a přehled o komponentách, začne řešit organizaci ve chvíli, kdy už běží hodiny.

Modul nenahrazuje právníka ani notifikovanou osobu a nic neodesílá do úřadů. Hlášení do platformy ENISA SRP podáváte ručně na jejím portálu. Modul k tomu připraví hodnoty ve správných polích, hlídá termíny a vede záznam o tom, co jste kdy podali.

Ve firmě ho typicky používají tři role: odpovědná osoba za produkt, která vede registr a SBOM, rozhodovatel o zjištění zneužití se svým zástupcem a zástupci pro SRP, kteří hlášení skutečně podávají. Vedení a konzultant sem přicházejí kvůli gap analýze a technické dokumentaci.

Jak Kyberbezpečnost CRA v eIntranetu funguje krok za krokem

Práce v modulu má dvě dráhy, které se potkávají v případu podle čl. 14. První je každodenní evidence, druhá krizový postup.

Evidence produktů a komponent

Na záložce Produkty s digitálními prvky založíte produkt s oficiálním názvem, který půjde do hlášení i do EU prohlášení o shodě. Odpovíte, zda má datové spojení, zda spadá pod CRA a do jaké je kategorie (výchozí, důležitý produkt třídy I nebo II, kritický). Režim CRA modul určí sám z vašich odpovědí a ručně ho nastavit nejde: buď je produkt mimo rozsah, nebo pro něj platí jen hlášení podle čl. 14, nebo plná CRA od 11. 12. 2027. Odpověď „Nevím“ označí produkt žlutým otazníkem jako nejistý.

K produktu přidáte verzi a do ní nahrajete SBOM ve formátu CycloneDX 1.4 až 1.6 nebo SPDX 2.2, 2.3 a 3.0.1. Import má dva kroky: nejdřív náhled se souhrnem, kontrolou kvality a rozdílem proti předchozí verzi, teprve pak tlačítko Potvrdit import. Komponenty, které nástroj nevidí (RTOS, bootloader, staticky přilinkované knihovny), doplníte ručně a další import je nechá být.

Od zranitelnosti k případu

Jednou denně modul porovná komponenty s veřejným zdrojem OSV a s katalogem aktivně zneužívaných zranitelností. Z každé shody vznikne zjištění ve stavu Posuzuje se. Podle závažnosti má termín posouzení od 60 dní u nízké po 7 dní u kritické; zranitelnost označená jako aktivně zneužívaná (KEV) se posuzuje do jednoho dne. Posuzujete stavem Zasaženo, Nezasaženo (s odůvodněním a důkazy) nebo Opraveno.

Shoda v SBOM ještě není zjištění podle čl. 14. Případ založíte až vy, červeným tlačítkem Založit případ čl. 14, když máte rozumnou jistotu, že se zranitelnost ve vašem produktu zneužívá. Podezření může nahlásit i kdokoli s právem číst modul, tlačítkem Nahlásit podezření v záhlaví.

Lhůty a podání

V detailu případu rozhodovatel zvolí Zjištěno, Sledujeme, nebo Nehlásíme. Volba Zjištěno spustí odpočet: včasné varování do 24 hodin, oznámení do 72 hodin. U zranitelnosti je závěrečná zpráva do 14 dní od prvního dostupného opatření, u závažného incidentu do jednoho měsíce od oznámení. U každé fáze kliknete na Připravit hlášení, formulář se předvyplní z případu a produktů, zkopírujete pole do SRP a v modulu zaznamenáte podání s číslem hlášení.

Co všechno modul CRA umí

• Registr produktů s kategorií podle přílohy III a IV, postupem posuzování shody, dobou podpory a státy, kde je produkt na trhu. Modul upozorní, když je doba podpory kratší než očekávané užívání nebo pod pěti lety.
• Instalovaná báze: k produktu přiřadíte zákazníky z modulu CRM a jejich země se použije při návrhu členských států.
• Zjištění zranitelností s filtrem Aktivně zneužívaná (KEV), hromadným posouzením vybraných řádků a převzetím posouzení, když stejnou komponentu ve stejné verzi už máte vyřízenou u jiné verze produktu.
• Případy podle čl. 14 se stavy od Signál – posuzuje se po Uzavřeno – nahlášeno, časovou osou a spisem v PDF pro dozor nebo archiv.
• Formulář hlášení SRP podle glosáře SRP 1.3 z 25. 9. 2026: čísla polí, počítadla znaků, kontrola povinných polí před podáním a tlačítko Kopírovat vše.
• Přijatá hlášení zranitelností (čísla VR-…), veřejný formulář na adrese /Security a šablona politiky koordinovaného zveřejňování v češtině, angličtině a němčině.
• Gap analýza: 50 otázek v sedmi oblastech A až G, skóre ve třech hladinách, akční plán s tlačítkem Vytvořit úkol, roadmapa po čtvrtletích do 11. 12. 2027 a zpráva PDF.
• Shoda a technická dokumentace: požadavky přílohy I (I-1, I-2a až I-2m, II-1 až II-8), matice rizik 5×5, příloha VII, EU prohlášení o shodě a informace pro uživatele podle přílohy II.
• Zmrazené výstupy: finální zpráva gap analýzy, přílohy podání do SRP a schválené verze dokumentů se ukládají s otiskem SHA-256 a nejdou přepsat ani smazat.
• Historie a koš: každá změna se zapisuje s uživatelem, časem a starou i novou hodnotou, včetně odmítnutých pokusů bez práva.

Připravenost na hlášení: zástupci pro SRP, dovolené a postup na 24 hodin

Nejčastější selhání při hlášení nebývá technické. Do SRP se přihlásí jen člověk, který se na portálu zaregistroval přes EU Login s vícefázovým ověřením a jehož vazbu na firmu ověřil koordinující CSIRT. Rozpracované hlášení navíc v SRP vidí jen jeho autor. Když je jediný zástupce na dovolené, nikdo další nemá k čemu přistoupit.

Modul to hlídá kontrolním seznamem Připravenost na hlášení (čl. 14) na záložce Přehled CRA. Má devět bodů: ověřený primární a sekundární zástupce, přihlášení do SRP vyzkoušené v posledních 90 dnech, rozhodovatel a jeho zástupce (každý jiná osoba), příjemci upozornění, jasná klasifikace produktů, kontaktní místo s politikou CVD, cvičení za posledních 12 měsíců a dostupnost lidí v příštích 60 dnech. SRP dovoluje jednoho primárního a nejvýš 20 sekundárních zástupců.

Je-li zapnutý modul Dovolené, Přehled ukáže žluté pruhy v době, kdy není k zastižení nikdo ze zástupců nebo rozhodovatel i jeho zástupce. Počítají se jen schválené dovolené; čekající a zamítnuté ne. Jednou denně ráno přijde e-mail o úsecích, které začínají do 14 dnů.

Pro noc a víkend slouží jednostránkové PDF Postup na 24 hodin: kontakty na rozhodovatele a zástupce s telefony z karet uživatelů, koordinující CSIRT, osm očíslovaných kroků od signálu po souběžná hlášení a tabulka polí, která SRP chce ve včasném varování. Vytiskněte si ho. A jednou ročně nacvičte celý postup jako cvičný případ se štítkem CVIČENÍ; cvičení nespouští žádné skutečné lhůty a kontrolní seznam ho vyžaduje.

Jak vybrat nástroj pro CRA: na co se ptát před nákupem

Rozlišuje nástroj evidenci od hlášení?

Mnoho nástrojů umí jen seznam komponent. Ptejte se, zda umí případ podle čl. 14 se třemi odděleně běžícími lhůtami a zda počítá, od kdy lhůta běží. V modulu CRA neběží nic do chvíle, kdy rozhodovatel zapíše zjištění s datem a odůvodněním. Shoda CVE ani záznam v katalogu KEV samy hodiny nespouštějí.

Odpovídá formulář skutečné platformě?

Hlášení se podává anglicky v polích SRP. Ověřte, že nástroj používá stejné názvy a čísla polí jako glosář platformy a upozorní na chybějící povinné pole dřív, než ho budete vyplňovat podruhé v portálu. Formulář v modulu rozlišuje aktivně zneužívanou zranitelnost od závažného incidentu a fázi hlášení.

Zůstane po podání stopa, kterou obhájíte?

Podané hlášení je zamčené, přílohy se při uzavření případu zamknou a opravu času zjištění smí udělat jen správce s povinným důvodem; původní hodnota zůstane ve spisu. Aktualizaci na žádost CSIRT podle čl. 14 odst. 6 evidujete jako samostatný záznam.

Co s produkty, které už na trhu jsou?

Hlášení se týká i instalované báze uvedené na trh před 11. 12. 2027 a trvá po skončení prodeje, podpory i po vyřazení z provozu. Zeptejte se, zda nástroj režim určí za vás a zda zvládne rozlišit hardware s novými zakázkami po 10. 12. 2027 od starších kusů.

Kolik kontroly dostane člověk, který nic nenastavoval?

Do modulu se každý s právem číst dostane a může nahlásit podezření. Úpravy, finalizace a mazání jsou rozdělené do čtyř úrovní práv. Kdo smí měnit zástupce pro SRP, určuje samostatná úroveň Nastavení modulu CRA.

Kyberbezpečnost CRA pro malé výrobce a pro firmy s více produkty

Malý výrobce embedded zařízení se třemi lidmi ve vývoji nepotřebuje certifikovaný bezpečnostní tým, potřebuje seznam produktů, SBOM a jasno v tom, kdo hlásí. Modul mu dá pevnou posloupnost kroků a nenutí ho psát interní směrnici od nuly. Velikost podniku se nastaví v modulu jako mikro (do 10 zaměstnanců), malý (do 50), střední (do 250) nebo velký. Hlásit musí každý bez ohledu na velikost; velikost modul jen eviduje a předvyplňuje do hlášení.

Softwarová firma s deseti produkty a několika desítkami verzí řeší opačný problém: množství. Pomáhá hromadné posouzení zjištění, filtr podle produktu, převzaté posouzení stejné komponenty a číslo u položky v menu, které počítá podezření čekající na posouzení, případy ve stavu Zjištěno a zjištění po termínu. Karta CRA na nástěnce shrnuje otevřené případy, nejbližší lhůtu a skóre poslední gap analýzy.

Konzultant, který vede gap analýzu pro klienta, dostane úroveň Správa CRA. Rozhovory zapisuje na záložce Rozhovory, klientovi pošle zprávu s vodoznakem NÁVRH a finalizuje ji. Další kolo vznikne jako kopie s převzatými odpověďmi.

Odkud modul CRA bere data: SBOM, OSV, katalog KEV a přijatá hlášení

Vstup

Seznam komponent nahráváte jako soubor SBOM. Kvalita se hodnotí na třech úrovních: minimum CRA (strojově čitelný formát, hlavní komponenta a závislosti nejvyšší úrovně), úroveň BSI TR-03183-2 (CycloneDX 1.6 a novější nebo SPDX 3.0.1, identifikátory purl či CPE, otisk SHA-512, licence) a doplňková úroveň. Zjištění vznikají jen u komponent s purl s verzí nebo platným CPE, detail verze proto vypíše, kolik komponent sledování nevyhodnotí.

Denní hlídání čte veřejný zdroj OSV a katalog aktivně zneužívaných zranitelností EUVD, jako záloha slouží americký katalog CISA. Komponenty s CPE se navíc postupně procházejí ve zdroji NVD, každá zhruba jednou týdně. Hlášení ze světa přicházejí také přes kontaktní místo: e-mailem, od zákazníka, od CSIRT, nebo z veřejného formuláře /Security, který chrání captcha a limit 5 hlášení za hodinu a 20 za den z jedné IP adresy.

Hardware

Žádný hardware nepotřebujete. Modul běží v prohlížeči a ke generování SBOM používáte nástroje, které už ve vývoji máte.

Výstup

SBOM vybrané verze exportujete v CycloneDX 1.6 (soubor .cdx.json). Z gap analýzy vznikne Zpráva PDF, Akční plán a roadmapa (XLSX), Seznam podkladů v XLSX i PDF. U případu je to Spis (PDF) a z modulu Úkoly můžete odpovědným osobám zadat opatření z akčního plánu. Soubor security.txt podle RFC 9116 modul sestaví sám z kontaktního e-mailu; uložíte ho na web jako /.well-known/security.txt a obnovujete ročně, platí rok dopředu. Do SRP, úřadů ani zákazníkům modul nic neposílá.

Kyberbezpečnost CRA a legislativa EU

Modul vychází z nařízení (EU) 2024/2847 (Cyber Resilience Act). Čl. 14 ukládá výrobci hlásit aktivně zneužívané zranitelnosti a závažné incidenty: včasné varování do 24 hodin, oznámení do 72 hodin a závěrečnou zprávu. Platí od 11. 9. 2026, i pro produkty uvedené na trh dříve. Modul eviduje lhůty v členění, které článek popisuje, a ukládá čas zjištění v místním čase i v UTC. Zda je zjištění opravdu zjištěním ve smyslu nařízení, posoudí vaše firma, případně právník.

Čl. 13 řeší povinnosti výrobce obecněji: dobu podpory nejméně 5 let podle očekávané doby užívání, kontaktní místo a politiku koordinovaného zveřejňování zranitelností a uchovávání dokumentace 10 let. Příloha I obsahuje základní požadavky, příloha II informace pro uživatele a přílohy III a IV vymezují důležité a kritické produkty; jejich technický popis doplňuje prováděcí nařízení (EU) 2025/2392 a modul ho zobrazuje u zvolené kategorie. Čl. 32 popisuje postupy posuzování shody, čl. 28 a příloha V EU prohlášení o shodě a příloha VII technickou dokumentaci. Plně se nařízení uplatňuje od 11. 12. 2027 (čl. 71).

V modulu tyto články odpovídají konkrétním místům: gap analýza používá ustanovení u každé otázky, stránka Shoda členění přílohy I a VII a EU prohlášení lze připravit v češtině, angličtině a němčině. Znění prohlášení je uloženo v modulu jako šablona a k právní kontrole ho předložte svému poradci. Modul nevydává posudek o shodě a nenahrazuje notifikovanou osobu.

Text popisuje stav právní úpravy k 19. 10. 2026 a slouží k orientaci, nenahrazuje právní ani daňové poradenství.

Kolik stojí modul Kyberbezpečnost CRA

Modul je v ceně každého tarifu eIntranetu, žádná samostatná licence na CRA neexistuje. Platíte za uživatele s přístupem do systému, ne za produkty, verze, komponenty ani počet případů. Nehlídáte tedy, kolik produktů si můžete dovolit zapsat.

Modelový příklad: vývojový tým a dva lidé z podpory, celkem 8 uživatelů v tarifu Základ, platí 8 × 59 Kč = 472 Kč měsíčně bez DPH. Rozrostete-li se o konzultanta a vedení na 15 uživatelů, platí se už sazba pásma od 11 uživatelů: 15 × 52 Kč = 780 Kč měsíčně. Tarify Normal a Extra se liší velikostí prostoru na uživatele (0,5, 2 a 4 GB) a sazbou; všechny moduly jsou v ceně každého z nich. Celý ceník je na /cs/pricelist.

Žádný hardware nepotřebujete. Pokud chcete pomoc s nastavením zástupců a postupem, nabízíme konzultaci a školení za 1 000 Kč za hodinu. Úpravy na míru, třeba napojení na váš vývojový systém, jsou programování na zakázku za 1 300 Kč za hodinu. Na hlídání zranitelností ani na AI pomocníky se nic nedoplácí; AI čerpá kredity firmy a je ve výchozím stavu vypnutá.

Řešení CRA zdarma: co jde bez placení a kde je hranice

Kdo má jeden produkt a přehled o jeho komponentách, zvládne začít bez nás. SBOM umí vygenerovat bezplatné nástroje, zranitelnosti hlídá veřejná databáze OSV a katalog KEV je veřejný. Tabulka v Excelu s kontakty na hlásící osoby a odkaz na portál SRP stačí na první měsíc.

Hranice přijde ve třech místech. Za prvé v dokazování: Excel nezaznamená, kdo a kdy změnil čas zjištění, ani nezamkne podané hlášení. Spis případu, který vyžádá dozor, pak skládáte ručně z e-mailů. Za druhé v zastupitelnosti: tabulka nehlídá, že oba zástupci pro SRP mají v pátek dovolenou. Za třetí v počtu produktů a verzí: jakmile vedete desítky SBOM, ručně nenajdete, kterých verzí se týká nová zranitelnost v knihovně.

Zdarma si můžete vyzkoušet vše: 14 dní zkušební doby bez závazku, včetně cvičného případu.

Jak modul Kyberbezpečnost CRA zavést

Začněte nastavením: Nastavení → Kyberbezpečnost CRA → Obecná nastavení. Volby se ukládají hned po opuštění pole a každá změna jde do historie. Při prvním otevření modulu se údaje výrobce předvyplní z karty firmy.

1. Údaje výrobce: obchodní firma, adresa, e-mail pro uživatele a web. Použijí se v EU prohlášení a v informacích pro uživatele.
2. Hlášení podle čl. 14: stát hlavní provozovny (výchozí Česko), koordinující CSIRT (výchozí NÚKIB), velikost podniku, rozhodovatel a jeho zástupce, cíl pro prvotní posouzení signálu (1 až 168 hodin, výchozí 24) a připomínky před termínem, například 12;4;1.
3. Zástupci pro SRP: přidejte aspoň jednoho primárního a jednoho sekundárního, doplňte datum ověření od CSIRT a poznamenejte vyzkoušené přihlášení.
4. Kontaktní místo: samostatná schránka typu security@vase-domena, politika CVD ze šablony a podle potřeby veřejný formulář.
5. Práva: úroveň Čtení a nahlášení podezření dejte celé firmě, Řešení lidem z vývoje, Správu CRA konzultantovi a vedoucímu.
6. Produkty a SBOM: založte produkty, přidejte verze a nahrajte SBOM. Tím se rozběhne denní hlídání.

Pak otevřete Přehled CRA: kontrolní seznam ukáže, co ještě chybí, a odkaz u každého bodu vede na místo opravy. Gap analýzu doporučujeme založit, až budou produkty v registru.