Aktivně zneužívaná zranitelnost: lhůta 24 hodin v CRA

Když čtete o Cyber Resilience Act, narazíte dřív nebo později na hrozivé slovní spojení „lhůta 24 hodin“. Málokde už se ale dozvíte, co přesně tuto lhůtu spouští – a že to zdaleka není každá nalezená slabina. Tento článek se soustředí jen na jednu otázku: kdy jde o aktivně zneužívanou zranitelnost ve smyslu čl. 3 bodu 42 nařízení (EU) 2024/2847 a proč od tohoto okamžiku běží hodiny, ne dny. Jde o obecný informační přehled, ne o individuální právní radu pro váš konkrétní produkt.

Pokud hledáte spíš celkový obrázek – co všechno začíná platit 11. září 2026, koho se povinnost týká a jak se připravit – přečtěte si CRA od 11. září 2026: hlášení zranitelností i pro starší produkty. Tady jdeme do hloubky jen u jedné věci: co přesně tu 24hodinovou lhůtu spouští.

Co přesně je „aktivně zneužívaná zranitelnost“

Nařízení definuje aktivně zneužívanou zranitelnost jako zranitelnost, u níž existují spolehlivé důkazy, že ji škodlivý aktér v systému zneužil bez svolení vlastníka systému (čl. 3 bod 42). Klíčová jsou tři slova: spolehlivé důkazy, zneužití a bez svolení.

Nejde tedy o to, že zranitelnost lze teoreticky zneužít. Nejde ani o to, že je „kriticky nebezpečná“ podle nějakého skórovacího systému. Rozhoduje jediné: máte (nebo ten, kdo vám informaci předal) v ruce doklad, že k reálnému útoku již došlo.

Proč se to plete se „zneužitelnou“ zranitelností

Základní kyberpožadavky ukládají, aby byly produkty dodávány na trh bez známých zneužitelných zranitelností (příloha I část I bod 2 písm. a) ve spojení s čl. 13 odst. 1). Pozor na dvě upřesnění, která se běžně vypouštějí: příloha ten požadavek váže na výsledek posouzení kybernetického bezpečnostního rizika podle čl. 13 odst. 2 a uplatní se „v příslušných případech“ – není to tedy bezpodmínečný zákaz jakékoli zranitelnosti. Míří to na stav produktu při jeho dodávání na trh – posuzuje se dopředu, jde o prevenci. Definice v čl. 3 bodu 42 mluví o něčem jiném: o zranitelnosti, kterou už někdo skutečně napadl, kdykoliv v životě produktu. První je otázka kvality produktu, když ho dodáváte na trh; druhá je spouštěč hlásicí povinnosti. Zaměnit je znamená buď zbytečně spustit poplach u zranitelnosti, kterou nikdo nezneužil, nebo naopak podcenit incident, který už reálně probíhá.

Tři lhůty, které od zjištění běží

Jakmile výrobce zjistí, že jde o aktivně zneužívanou zranitelnost, spouští se kaskáda tří lhůt podle čl. 14 odst. 1 až 5 a 8:

• do 24 hodin od zjištění – včasné varování,
• do 72 hodin od zjištění – podrobnější oznámení,
• do 14 dnů od okamžiku, kdy je k dispozici nápravné opatření – závěrečná zpráva.

Pro srovnání: závažný incident

Pro závažný incident platí obdobná, ale ne totožná kaskáda: 24 hodin a 72 hodin stejně, ale závěrečná zpráva má lhůtu 1 měsíc od 72hodinového oznámení, ne od nápravy. Je to jiný spouštěč (bezpečnostní incident postihující produkt, ne zneužitá zranitelnost) a jiná logika uzávěrky. Pokud řešíte oba typy událostí současně, nesměšujte jejich lhůty – hlídejte je jako dvě oddělené kaskády.

Kdo hlásí, komu a jak

Výrobce: jednotná platforma, CSIRT a ENISA

Povinnost hlásit podle čl. 14 svědčí výrobci. Hlášení jde současně koordinačnímu CSIRT a agentuře ENISA přes jednotnou oznamovací platformu (čl. 14 ve spojení s čl. 16), a výrobce navíc musí informovat zasažené uživatele produktu.

Dovozce a distributor: jiná povinnost, jiná lhůta

Dovozce a distributor mají odlišnou povinnost. Zjistí-li kterýkoli z nich zranitelnost produktu, musí bez zbytečného odkladu informovat výrobce (dovozce podle čl. 19 odst. 5, distributor podle čl. 20 odst. 4). Jde-li navíc o produkt představující významné kybernetické bezpečnostní riziko, musí neprodleně informovat i orgány dozoru nad trhem ve státech, kde produkt dodali na trh. Nejde tedy o totéž hlášení jako u výrobce – dovozce ani distributor sami CSIRT a ENISA nehlásí, tuto roli má výhradně výrobce.

Příklad: E-shop prodává pod vlastní značkou chytrý zámek vyráběný externí továrnou. Protože ho prodává jako vlastní produkt, je pro účely CRA výrobcem podle čl. 21 a hlásicí povinnost podle čl. 14 dopadá na něj. (Nezaměňovat s čl. 22 – ten dopadá na osobu *jinou* než výrobce, dovozce či distributora, která provede podstatnou změnu produktu.) Pokud by tentýž e-shop prodával cizí značku zámku jen jako distributor a od uživatelů se dozvěděl o probíhajícím útoku, informuje bez zbytečného odkladu výrobce a při významném riziku i český orgán dozoru nad trhem – ne přímo ENISA.

Co platí najisto od 11. září 2026

Čl. 71 odst. 2 nařízení stanovuje pro CRA několik různých dat použitelnosti podle toho, o kterou část jde. Obecná použitelnost nastává 11. prosince 2027, ale hlásicí povinnost podle čl. 14 se použije už od 11. září 2026 – o rok a čtvrt dřív. Samostatně, jen pro pořádek: kapitola IV o oznamování subjektů posuzování shody (čl. 35–51) běží od 11. června 2026 – s tématem zranitelností nemá nic společného, jde jen o jiný časový bod ve stejném článku.

Čl. 69 odst. 3 výslovně stanoví, že hlásicí povinnost pro aktivně zneužívané zranitelnosti a závažné incidenty dopadá i na produkty uvedené na trh před 11. prosincem 2027 – tedy i na produkty, které jsou na trhu už dávno. Toto je zvláštní pravidlo jen pro hlášení podle čl. 14.

Proč se to týká i starších produktů, ale jinak než ostatní požadavky

Neplést se s obecným pravidlem pro starší produkty: podle čl. 69 odst. 2 se na produkt uvedený na trh před 11. prosincem 2027 ostatní požadavky CRA (technická dokumentace, CE, posouzení shody) vztahují jen tehdy, prochází-li po tomto datu podstatnou změnou – tj. změnou ovlivňující soulad se základními požadavky přílohy I části I, nebo změnou zamýšleného účelu, pro nějž bylo provedeno posouzení (čl. 3 bod 30).

Jinými slovy: povinnost hlásit aktivně zneužívanou zranitelnost běží od 11. září 2026 bez ohledu na to, kdy jste produkt uvedli na trh. Povinnost mít kompletní technickou dokumentaci a CE podle celého nařízení u starého produktu nastupuje až s podstatnou změnou po 11. prosinci 2027. Jde o dvě různé osy téhož nařízení – hlásicí lhůta neváže na to, zda produkt prošel podstatnou změnou.

Zranitelnost v cizí komponentě, včetně open source

Zjistí-li výrobce zranitelnost v komponentě, kterou do svého produktu jen začlenil – i pokud jde o komponentu s otevřeným zdrojovým kódem – musí ji oznámit tomu, kdo tuto komponentu vyrábí nebo udržuje, sám ji řešit a případný vyvinutý fix předat zpět jako kód nebo dokumentaci (čl. 13 odst. 6). Toto je povinnost navazující na výše popsanou hlásicí kaskádu, ne její náhrada: pokud je komponentní zranitelnost současně aktivně zneužívaná, běží lhůty čl. 14 stejně jako u zranitelnosti nalezené přímo ve vlastním kódu.

Jednotné kontaktní místo musí umět víc než automat

Součástí správy zranitelností podle přílohy I části II je jednotné kontaktní místo pro hlášení. Toto místo musí uživatelům umožnit zvolit si upřednostňovaný způsob komunikace a nesmí být omezeno jen na automatizované nástroje (čl. 13 odst. 17 třetí pododstavec). Chatbot bez možnosti mluvit s člověkem tuto povinnost nesplňuje – a je to praktický detail, který se snadno podcení při nastavování formuláře „nahlásit bezpečnostní problém“ na webu.

Co riskujete, když lhůtu propásnete

Porušení povinností podle přílohy I a čl. 13 a 14 – tedy i pozdní nebo chybějící hlášení aktivně zneužívané zranitelnosti – spadá podle čl. 64 do nejvyššího sankčního pásma nařízení: pokuta až do výše 15 000 000 EUR, a jde-li o podnik, až do výše 2,5 % celkového ročního obratu celosvětově za předchozí finanční rok – podle toho, která hodnota je vyšší.

Zákonodárce ale zároveň dal malým hráčům úlevu přesně na tento bod: mikropodniky a malé podniky mají výjimku z pokut jen za zmeškání 24hodinových lhůt hlášení – ne z povinnosti hlásit jako takové a ne z ostatních sankčních pásem čl. 64. Pokud jste malá firma, tato výjimka vám dá o něco méně nervózní ruce při psaní hlášení ve 23. hodině, ale nezbavuje vás povinnosti hlášení podat a proces mít nastavený.

Co teprve upřesní prováděcí akty a český zákon (výhled)

Definice aktivně zneužívané zranitelnosti a lhůty čl. 14 jsou dané přímo textem nařízení – nejde o nic, co by čekalo na delegovaný akt. Co naopak ještě není hotové, je český výkon dozoru nad touto povinností.

Podle stavu k 4. srpnu 2026 prošel návrh českého adaptačního zákona (MPO) mezirezortním připomínkovým řízením, které probíhalo od 3. do 30. července 2026, a nyní čeká na další legislativní kroky. Návrh počítá s tím, že dozor nad trhem povede převážně Česká obchodní inspekce s dalšími sektorovými orgány a že Národní úřad pro kybernetickou a informační bezpečnost bude oznamujícím orgánem; návrh dále řeší jazykové požadavky na pokyny, bezpečnostní informace a prohlášení o shodě v češtině. Finální podoba zákona se může v projednávání ještě změnit – u konkrétního dozorového postupu ve vaší situaci doporučujeme ověřit aktuální stav u zdroje, ne se spoléhat na dnešní návrh jako na hotovou věc.

Nejste jisti, zda se povinnost hlášení aktivně zneužívané zranitelnosti týká právě vašeho produktu a jaké kroky k 11. září 2026 potřebujete mít hotové? Prověřte to formou rychlé prověrky – ukáže vám, kde ve vztahu k CRA reálně stojíte.

Akční plán 30/60/90 dní

1. Do 30 dní: Zjistěte, zda jste podle CRA výrobcem, dovozcem, nebo distributorem u každého produktu s digitálními prvky, který prodáváte – zejména pokud prodáváte pod vlastní značkou (pak jste výrobcem bez ohledu na to, kdo produkt fyzicky vyrábí).
2. Do 30 dní: Ověřte, zda máte jednotné kontaktní místo pro hlášení zranitelností a zda umožňuje komunikaci i mimo automatizovaný formulář.
3. Do 60 dní: Připravte interní postup, který jasně rozliší okamžik „zjištění“ zranitelnosti od okamžiku „potvrzení aktivního zneužití“ – právě druhý moment spouští 24hodinovou lhůtu.
4. Do 60 dní: Pokud jste dovozce nebo distributor, ujasněte si komunikační kanál k výrobci pro rychlé předání informace o zjištěné zranitelnosti bez zbytečného odkladu.
5. Do 90 dní: Otestujte postup na cvičném scénáři (tabletop) – od zjištění přes 24hodinové varování a 72hodinové oznámení až po závěrečnou zprávu.
6. Do 90 dní: Sledujte finální znění českého adaptačního zákona a přizpůsobte firemní postup jazykovým a dozorovým požadavkům, jakmile budou schváleny.

Časté omyly

Omyl č. 1: „Musíme hlásit do 24 hodin každou zranitelnost, kterou najdeme.“ Ne – lhůta se váže výhradně na zranitelnost, u které máte spolehlivé důkazy o skutečném zneužití útočníkem. Nalezenou, ale nezneužitou zranitelnost řešíte v rámci běžné správy zranitelností podle přílohy I části II, bez 24hodinového tlaku.

Omyl č. 2: „Staré produkty na trhu se CRA nedotkne, dokud je nezměníme.“ Platí to pro obecné požadavky CRA (dokumentace, CE) podmíněné podstatnou změnou podle čl. 69 odst. 2. Hlásicí povinnost pro aktivně zneužívané zranitelnosti podle čl. 14 ale platí i na starší produkty bez ohledu na podstatnou změnu, a to už od 11. září 2026.

Omyl č. 3: „Jako distributor mám stejnou hlásicí povinnost jako výrobce.“ Distributor a dovozce informují výrobce bez zbytečného odkladu a orgány dozoru jen při významném riziku – nehlásí sami na jednotnou platformu ENISA. Tuto konkrétní kaskádu vůči CSIRT a ENISA nese výrobce.

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění – čl. 3 body 30 a 42, čl. 13 odst. 1–4, 6 a 17, čl. 14, čl. 16, čl. 19 odst. 5, čl. 20 odst. 4, čl. 21, čl. 22, čl. 64, čl. 69 odst. 2 a 3, čl. 71 odst. 2, příloha I. CELEX 02024R2847-20241120. https://publications.europa.eu/resource/celex/02024R2847-20241120
• Nařízení (EU) 2024/2847, původní vyhlášené znění. CELEX 32024R2847. https://publications.europa.eu/resource/celex/32024R2847
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky (MPO, VeKLEP, mezirezortní připomínkové řízení 3.–30. 7. 2026). https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Dvacetičtyřhodinová lhůta z Cyber Resilience Act neplatí pro každou nalezenou zranitelnost, ale jen pro tu, u které máte podle čl. 3 bodu 42 spolehlivé důkazy o skutečném zneužití útočníkem – to je spouštěč, ne teoretická nebezpečnost. Od tohoto okamžiku běží kaskáda: 24 hodin na včasné varování, 72 hodin na oznámení, 14 dnů na závěrečnou zprávu po dostupnosti nápravy. Povinnost hlásit podle čl. 14 platí od 11. září 2026, a to i pro produkty, které jste uvedli na trh dávno předtím – tady je pravidlo pro starší produkty jiné a přísnější než u obecných povinností CRA vázaných na podstatnou změnu. Výrobce hlásí na jednotnou platformu koordinačnímu CSIRT a ENISA a informuje uživatele; dovozce a distributor mají vlastní, mírnější povinnost informovat výrobce a případně orgán dozoru. Mikropodniky a malé podniky mají úlevu jen z pokut za zmeškání 24hodinových lhůt hlášení – u zranitelnosti i u incidentu – nikoli z povinnosti hlásit jako takové. Zbytek – jak firma tuto povinnost technicky a organizačně zvládne – stojí na tom, aby uměla ve svém provozu rozeznat okamžik zjištění aktivního zneužití od běžného nálezu zranitelnosti, a na to má smysl se připravit dřív, než lhůta začne běžet.