Kyberbezpečnosť CRA

Čo je modul Kyberbezpečnosť CRA a načo vo firme slúži

Kyberbezpečnosť CRA je modul eIntranetu pre výrobcov hardvéru a softvéru, ktorí musia plniť nariadenie (EÚ) 2024/2847, známe ako Cyber Resilience Act. Vediete v ňom register produktov s digitálnymi prvkami, ich verzie a zoznam komponentov (SBOM), strážite zraniteľnosti a pripravujete hlásenia pre platformu ENISA. Stráži aj lehoty 24 hodín, 72 hodín a záverečnej správy.

Modul vznikol pre situáciu, ktorú výrobca zažije raz za niekoľko rokov, no musí ju zvládnuť v priebehu jediného dňa: zákazník alebo bezpečnostný výskumník oznámi, že sa v produkte zneužíva zraniteľnosť. Od 11. 9. 2026 platí povinnosť hlásiť takéto prípady podľa čl. 14 nariadenia, a to aj pri produktoch, ktoré ste uviedli na trh dávno pred týmto dátumom. Kto nemá vopred určených ľudí, nacvičený postup a prehľad o komponentoch, začne riešiť organizáciu vo chvíli, keď už bežia hodiny.

Modul nenahrádza právnika ani notifikovanú osobu a nič neodosiela úradom. Hlásenie do platformy ENISA SRP podávate ručne na jej portáli. Modul na to pripraví hodnoty v správnych poliach, stráži termíny a vedie záznam o tom, čo ste kedy podali.

Vo firme ho typicky používajú tri roly: osoba zodpovedná za produkt, ktorá vedie register a SBOM, rozhodovateľ o zistení zneužitia so svojím zástupcom a zástupcovia pre SRP, ktorí hlásenie skutočne podávajú. Vedenie a konzultant sem prichádzajú kvôli gap analýze a technickej dokumentácii.

Ako Kyberbezpečnosť CRA v eIntranete funguje krok za krokom

Práca v module má dve dráhy, ktoré sa stretávajú v prípade podľa čl. 14. Prvá je každodenná evidencia, druhá krízový postup.

Evidencia produktov a komponentov

Na záložke Produkty s digitálnymi prvkami založíte produkt s oficiálnym názvom, ktorý pôjde do hlásenia aj do EÚ vyhlásenia o zhode. Odpoviete, či má dátové spojenie, či spadá pod CRA a do akej je kategórie (predvolený, dôležitý produkt triedy I alebo II, kritický). Režim CRA modul určí sám z vašich odpovedí a ručne ho nastaviť nejde: buď je produkt mimo rozsahu, alebo preň platí len hlásenie podľa čl. 14, alebo plná CRA od 11. 12. 2027. Odpoveď „Neviem“ označí produkt žltou otáznikom ako neistý.

K produktu pridáte verziu a do nej nahráte SBOM vo formáte CycloneDX 1.4 až 1.6 alebo SPDX 2.2, 2.3 a 3.0.1. Import má dva kroky: najprv náhľad so súhrnom, kontrolou kvality a rozdielom oproti predchádzajúcej verzii, až potom tlačidlo Potvrdiť import. Komponenty, ktoré nástroj nevidí (RTOS, bootloader, staticky prilinkované knižnice), doplníte ručne a ďalší import ich nechá tak.

Od zraniteľnosti k prípadu

Raz denne modul porovná komponenty s verejným zdrojom OSV a s katalógom aktívne zneužívaných zraniteľností. Z každej zhody vznikne zistenie v stave Posudzuje sa. Podľa závažnosti má termín posúdenia od 60 dní pri nízkej po 7 dní pri kritickej; zraniteľnosť označená ako aktívne zneužívaná (KEV) sa posudzuje do jedného dňa. Posudzujete stavom Zasiahnuté, Nezasiahnuté (s odôvodnením a dôkazmi) alebo Opravené.

Zhoda v SBOM ešte nie je zistenie podľa čl. 14. Prípad založíte až vy, červeným tlačidlom Založiť prípad čl. 14, keď máte rozumnú istotu, že sa zraniteľnosť vo vašom produkte zneužíva. Podozrenie môže nahlásiť aj ktokoľvek s právom čítať modul, tlačidlom Nahlásiť podozrenie v záhlaví.

Lehoty a podanie

V detaile prípadu rozhodovateľ zvolí Zistené, Sledujeme, alebo Nehlásime. Voľba Zistené spustí odpočet: včasné varovanie do 24 hodín, oznámenie do 72 hodín. Pri zraniteľnosti je záverečná správa do 14 dní od prvého dostupného opatrenia, pri závažnom incidente do jedného mesiaca od oznámenia. Pri každej fáze kliknete na Pripraviť hlásenie, formulár sa predvyplní z prípadu a produktov, skopírujete polia do SRP a v module zaznamenáte podanie s číslom hlásenia.

Čo všetko modul CRA vie

• Register produktov s kategóriou podľa prílohy III a IV, postupom posudzovania zhody, dobou podpory a štátmi, kde je produkt na trhu. Modul upozorní, keď je doba podpory kratšia ako očakávané používanie alebo pod piatimi rokmi.
• Inštalovaná báza: k produktu priradíte zákazníkov z modulu CRM a ich krajina sa použije pri návrhu členských štátov.
• Zistenia zraniteľností s filtrom Aktívne zneužívaná (KEV), hromadným posúdením vybraných riadkov a prevzatím posúdenia, keď rovnakú komponentu v rovnakej verzii už máte vybavenú pri inej verzii produktu.
• Prípady podľa čl. 14 so stavmi od Signál – posudzuje sa po Uzavreté – nahlásené, časovou osou a spisom v PDF pre dozor alebo archív.
• Formulár hlásenia SRP podľa glosára SRP 1.3 z 25. 9. 2026: čísla polí, počítadlá znakov, kontrola povinných polí pred podaním a tlačidlo Kopírovať všetko.
• Prijaté hlásenia zraniteľností (čísla VR-…), verejný formulár na adrese /Security a šablóna politiky koordinovaného zverejňovania v češtine, angličtine a nemčine.
• Gap analýza: 50 otázok v siedmich oblastiach A až G, skóre v troch hladinách, akčný plán s tlačidlom Vytvoriť úlohu, roadmapa po štvrťrokoch do 11. 12. 2027 a správa PDF.
• Zhoda a technická dokumentácia: požiadavky prílohy I (I-1, I-2a až I-2m, II-1 až II-8), matica rizík 5×5, príloha VII, EÚ vyhlásenie o zhode a informácie pre používateľa podľa prílohy II.
• Zmrazené výstupy: finálna správa gap analýzy, prílohy podania do SRP a schválené verzie dokumentov sa ukladajú s odtlačkom SHA-256 a nedajú sa prepísať ani zmazať.
• História a kôš: každá zmena sa zapisuje s používateľom, časom a starou aj novou hodnotou, vrátane odmietnutých pokusov bez práva.

Pripravenosť na hlásenie: zástupcovia pre SRP, dovolenky a postup na 24 hodín

Najčastejšie zlyhanie pri hlásení nebýva technické. Do SRP sa prihlási len človek, ktorý sa na portáli zaregistroval cez EU Login s viacfázovým overením a ktorého väzbu na firmu overil koordinujúci CSIRT. Rozpracované hlásenie navyše v SRP vidí len jeho autor. Keď je jediný zástupca na dovolenke, nikto ďalší nemá k čomu pristúpiť.

Modul to stráži kontrolným zoznamom Pripravenosť na hlásenie (čl. 14) na záložke Prehľad CRA. Má deväť bodov: overený primárny a sekundárny zástupca, prihlásenie do SRP vyskúšané v posledných 90 dňoch, rozhodovateľ a jeho zástupca (každý iná osoba), príjemcovia upozornení, jasná klasifikácia produktov, kontaktné miesto s politikou CVD, cvičenie za posledných 12 mesiacov a dostupnosť ľudí v nasledujúcich 60 dňoch. SRP umožňuje jedného primárneho a najviac 20 sekundárnych zástupcov.

Ak je zapnutý modul Dovolenky, Prehľad ukáže žlté pruhy v čase, keď nie je k zastihnutiu nikto zo zástupcov alebo rozhodovateľ aj jeho zástupca. Počítajú sa len schválené dovolenky; čakajúce a zamietnuté nie. Raz denne ráno príde e-mail o úsekoch, ktoré začínajú do 14 dní.

Na noc a víkend slúži jednostranové PDF Postup na 24 hodín: kontakty na rozhodovateľa a zástupcov s telefónmi z kariet používateľov, koordinujúci CSIRT, osem očíslovaných krokov od signálu po súbežné hlásenia a tabuľka polí, ktoré SRP chce vo včasnom varovaní. Vytlačte si ho. A raz ročne nacvičte celý postup ako cvičný prípad so štítkom CVIČENIE; cvičenie nespúšťa žiadne skutočné lehoty a kontrolný zoznam ho vyžaduje.

Ako vybrať nástroj pre CRA: na čo sa pýtať pred nákupom

Rozlišuje nástroj evidenciu od hlásenia?

Mnohé nástroje vedia len zoznam komponentov. Pýtajte sa, či vedia prípad podľa čl. 14 s tromi oddelene bežiacimi lehotami a či počíta, odkedy lehota beží. V module CRA nebeží nič, kým rozhodovateľ nezapíše zistenie s dátumom a odôvodnením. Zhoda CVE ani záznam v katalógu KEV samy hodiny nespúšťajú.

Zodpovedá formulár skutočnej platforme?

Hlásenie sa podáva po anglicky v poliach SRP. Overte, že nástroj používa rovnaké názvy a čísla polí ako glosár platformy a upozorní na chýbajúce povinné pole skôr, než ho budete vypĺňať druhýkrát v portáli. Formulár v module rozlišuje aktívne zneužívanú zraniteľnosť od závažného incidentu a fázu hlásenia.

Zostane po podaní stopa, ktorú obhájite?

Podané hlásenie je zamknuté, prílohy sa pri uzavretí prípadu zamknú a opravu času zistenia smie urobiť len správca s povinným dôvodom; pôvodná hodnota zostane v spise. Aktualizáciu na žiadosť CSIRT podľa čl. 14 ods. 6 evidujete ako samostatný záznam.

Čo s produktmi, ktoré už sú na trhu?

Hlásenie sa týka aj inštalovanej bázy uvedenej na trh pred 11. 12. 2027 a trvá po skončení predaja, podpory aj po vyradení z prevádzky. Opýtajte sa, či nástroj režim určí za vás a či zvládne rozlíšiť hardvér s novými zákazkami po 10. 12. 2027 od starších kusov.

Koľko kontroly dostane človek, ktorý nič nenastavoval?

Do modulu sa dostane každý s právom čítať a môže nahlásiť podozrenie. Úpravy, finalizácia a mazanie sú rozdelené do štyroch úrovní práv. Kto smie meniť zástupcov pre SRP, určuje samostatná úroveň Nastavenie modulu CRA.

Kyberbezpečnosť CRA pre malých výrobcov a pre firmy s viacerými produktmi

Malý výrobca embedded zariadení s tromi ľuďmi vo vývoji nepotrebuje certifikovaný bezpečnostný tím, potrebuje zoznam produktov, SBOM a jasno v tom, kto hlási. Modul mu dá pevnú postupnosť krokov a nenúti ho písať internú smernicu od nuly. Veľkosť podniku sa nastaví v module ako mikro (do 10 zamestnancov), malý (do 50), stredný (do 250) alebo veľký. Hlásiť musí každý bez ohľadu na veľkosť; veľkosť modul len eviduje a predvypĺňa do hlásenia.

Softvérová firma s desiatimi produktmi a niekoľkými desiatkami verzií rieši opačný problém: množstvo. Pomáha hromadné posúdenie zistení, filter podľa produktu, prevzaté posúdenie rovnakej komponenty a číslo pri položke v menu, ktoré počíta podozrenia čakajúce na posúdenie, prípady v stave Zistené a zistenia po termíne. Karta CRA na nástenke sumarizuje otvorené prípady, najbližšiu lehotu a skóre poslednej gap analýzy.

Konzultant, ktorý vedie gap analýzu pre klienta, dostane úroveň Správa CRA. Rozhovory zapisuje na záložke Rozhovory, klientovi pošle správu s vodoznakom NÁVRH a finalizuje ju. Ďalšie kolo vznikne ako kópia s prevzatými odpoveďami.

Odkiaľ modul CRA berie dáta: SBOM, OSV, katalóg KEV a prijaté hlásenia

Vstup

Zoznam komponentov nahrávate ako súbor SBOM. Kvalita sa hodnotí na troch úrovniach: minimum CRA (strojovo čitateľný formát, hlavná komponenta a závislosti najvyššej úrovne), úroveň BSI TR-03183-2 (CycloneDX 1.6 a novší alebo SPDX 3.0.1, identifikátory purl či CPE, odtlačok SHA-512, licencie) a doplnková úroveň. Zistenia vznikajú len pri komponentoch s purl s verziou alebo platným CPE, detail verzie preto vypíše, koľko komponentov sledovanie nevyhodnotí.

Denné stráženie číta verejný zdroj OSV a katalóg aktívne zneužívaných zraniteľností EUVD, ako záloha slúži americký katalóg CISA. Komponenty s CPE sa navyše postupne prechádzajú v zdroji NVD, každá zhruba raz za týždeň. Hlásenia zo sveta prichádzajú aj cez kontaktné miesto: e-mailom, od zákazníka, od CSIRT, alebo z verejného formulára /Security, ktorý chráni captcha a limit 5 hlásení za hodinu a 20 za deň z jednej IP adresy.

Hardvér

Žiadny hardvér nepotrebujete. Modul beží v prehliadači a na generovanie SBOM používate nástroje, ktoré už vo vývoji máte.

Výstup

SBOM vybranej verzie exportujete v CycloneDX 1.6 (súbor .cdx.json). Z gap analýzy vznikne Správa PDF, Akčný plán a roadmapa (XLSX), Zoznam podkladov v XLSX aj PDF. Pri prípade je to Spis (PDF) a z modulu Úlohy môžete zodpovedným osobám zadať opatrenia z akčného plánu. Súbor security.txt podľa RFC 9116 modul zostaví sám z kontaktného e-mailu; uložíte ho na web ako /.well-known/security.txt a obnovujete ročne, platí rok dopredu. Do SRP, úradom ani zákazníkom modul nič neposiela.

Koľko stojí modul Kyberbezpečnosť CRA

Modul je v cene každého tarifu eIntranetu, žiadna samostatná licencia na CRA neexistuje. Platíte za používateľov s prístupom do systému, nie za produkty, verzie, komponenty ani počet prípadov. Nemusíte teda strážiť, koľko produktov si môžete dovoliť zapísať.

Modelový príklad: vývojový tím a dvaja ľudia z podpory, spolu 8 používateľov v tarife Základ, platí 8 × 2,4 € = 19,2 € mesačne bez DPH. Ak sa rozrastiete o konzultanta a vedenie na 15 používateľov, platí sa už sadzba pásma od 11 používateľov: 15 × 2,1 € = 31,5 € mesačne. Tarify Normal a Extra sa líšia veľkosťou priestoru na používateľa (0,5, 2 a 4 GB) a sadzbou; všetky moduly sú v cene každého z nich. Celý cenník je na /sk/pricelist.

Žiadny hardvér nepotrebujete. Ak chcete pomoc s nastavením zástupcov a postupom, ponúkame konzultáciu a školenie za 40 € za hodinu. Úpravy na mieru, napríklad napojenie na váš vývojový systém, sú programovanie na zákazku za 52 € za hodinu. Na stráženie zraniteľností ani na AI pomocníkov sa nič nedoplácha; AI čerpá kredity firmy a je v predvolenom stave vypnutá.

Riešenie CRA zadarmo: čo ide bez platenia a kde je hranica

Kto má jeden produkt a prehľad o jeho komponentoch, zvládne začať bez nás. SBOM vedia vygenerovať bezplatné nástroje, zraniteľnosti stráži verejná databáza OSV a katalóg KEV je verejný. Tabuľka v Exceli s kontaktmi na hlásiace osoby a odkaz na portál SRP stačia na prvý mesiac.

Hranica príde na troch miestach. Po prvé v dokazovaní: Excel nezaznamená, kto a kedy zmenil čas zistenia, ani nezamkne podané hlásenie. Spis prípadu, ktorý si vyžiada dozor, potom skladáte ručne z e-mailov. Po druhé v zastupiteľnosti: tabuľka nehlási, že obaja zástupcovia pre SRP majú v piatok dovolenku. Po tretie v počte produktov a verzií: akonáhle vediete desiatky SBOM, ručne nenájdete, ktorých verzií sa týka nová zraniteľnosť v knižnici.

Zadarmo si môžete vyskúšať všetko: 14 dní skúšobnej doby bez záväzku, vrátane cvičného prípadu.

Ako modul Kyberbezpečnosť CRA zaviesť

Začnite nastavením: Nastavenie → Kyberbezpečnosť CRA → Všeobecné nastavenia. Voľby sa ukladajú hneď po opustení poľa a každá zmena ide do histórie. Pri prvom otvorení modulu sa údaje výrobcu predvyplnia z karty firmy.

1. Údaje výrobcu: obchodná firma, adresa, e-mail pre používateľov a web. Použijú sa v EÚ vyhlásení a v informáciách pre používateľa.
2. Hlásenie podľa čl. 14: štát hlavnej prevádzkarne (predvolené Česko), koordinujúci CSIRT (predvolený NÚKIB), veľkosť podniku, rozhodovateľ a jeho zástupca, cieľ pre prvotné posúdenie signálu (1 až 168 hodín, predvolené 24) a pripomienky pred termínom, napríklad 12;4;1.
3. Zástupcovia pre SRP: pridajte aspoň jedného primárneho a jedného sekundárneho, doplňte dátum overenia od CSIRT a poznačte vyskúšané prihlásenie.
4. Kontaktné miesto: samostatná schránka typu security@vasa-domena, politika CVD zo šablóny a podľa potreby verejný formulár.
5. Práva: úroveň Čítanie a nahlásenie podozrenia dajte celej firme, Riešenie ľuďom z vývoja, Správu CRA konzultantovi a vedúcemu.
6. Produkty a SBOM: založte produkty, pridajte verzie a nahrajte SBOM. Tým sa rozbehne denné stráženie.

Potom otvorte Prehľad CRA: kontrolný zoznam ukáže, čo ešte chýba, a odkaz pri každom bode vedie na miesto opravy. Gap analýzu odporúčame založiť, keď už budú produkty v registri.