Kontaktní místo CRA: co žádá čl. 13 odst. 17 od výrobce

Pokud pod vlastní značkou prodáváte chytré zásuvky, kamery nebo jiná zařízení s digitálními prvky, nařízení o kybernetické odolnosti (CRA) po vás žádá mimo jiné jednu zdánlivou maličkost: musíte mít místo, kam vám kdokoli – zákazník i bezpečnostní výzkumník – nahlásí objevenou zranitelnost. Jak má takové místo vypadat, aby obstálo, a proč obyčejný kontaktní formulář na webu často nestačí, je téma tohoto článku. Jde o obecný výklad, ne o individuální právní radu k vašemu konkrétnímu produktu.

Co je kontaktní místo výrobce a proč ho CRA vyžaduje

Kontaktní místo pro nahlašování zranitelností je kanál, kterým se k výrobci dostanou informace o bezpečnostní díře v jeho produktu dřív, než ji zneužije útočník. Nařízení (EU) 2024/2847 (CRA) tento kanál zařazuje mezi povinnosti správy zranitelností v příloze I části II – vedle strojově čitelného SBOM (soupisu softwarových komponent), politiky koordinovaného zveřejňování zranitelností (CVD), pravidelného testování a bezplatných bezpečnostních aktualizací. Kontaktní místo bez fungujícího procesu za ním je jen formalita; smysl dává jen jako vstupní brána do celého systému, kterým výrobce zranitelnosti přijímá, řeší a informuje o nich uživatele.

Přesnou podobu kontaktního místa upravuje čl. 13 odst. 17 třetí pododstavec nařízení – a právě tam je skryté ustanovení, které řada výrobců přehlédne.

Co platí najisto od kdy

CRA je nařízení, použije se přímo bez nutnosti českého transpozičního zákona. Vstoupilo v platnost 10. prosince 2024. Data použitelnosti se ale liší podle části nařízení:

• Hlavní povinnosti – včetně čl. 13, a tedy i požadavku na kontaktní místo – se použijí od 11. prosince 2027.
• Hlásicí povinnost podle čl. 14 (aktivně zneužívané zranitelnosti a závažné incidenty) platí už od 11. září 2026, a to i pro produkty uvedené na trh dávno předtím – netýká se jen novinek.

Z toho plyne praktický, nikoli formálně právní závěr: samotná povinnost mít kontaktní místo podle čl. 13 odst. 17 se stává formálně vymahatelnou až s hlavními povinnostmi v prosinci 2027. Pokud ale chcete od září 2026 reálně stihnout hlásicí lhůty podle čl. 14, potřebujete funkční kanál, kterým se k vám informace o zranitelnosti vůbec dostane – jinak se o problému dozvíte pozdě a lhůta vám poběží, aniž o tom víte. Zprovoznění kontaktního místa dřív, než musíte, je proto rozumná příprava, ne právní povinnost navíc.

Tři konkrétní požadavky čl. 13 odst. 17

Ustanovení neříká jen „mějte kontakt“. Klade tři podmínky, které je potřeba splnit současně.

Jednotné místo

Výrobce musí mít jedno jasně určené místo, kam se hlášení sbíhají – ne roztroušené e-maily různých oddělení, kde se ztrácí odpovědnost za reakci.

Volba komunikačního prostředku

Uživatel i výzkumník si musí moci zvolit upřednostňovaný komunikační prostředek. V praxi to znamená nabídnout víc než jeden kanál – typicky e-mail a webový formulář, případně telefon nebo zabezpečený kanál pro citlivá hlášení.

Zákaz čistě automatizovaného vyřízení

Kontaktní místo nesmí být omezeno jen na automatizované nástroje. Chatbot nebo formulář, který skončí automatickou odpovědí bez lidského zpracování, tento požadavek nesplňuje. Za formulářem musí stát proces, kde hlášení posoudí člověk.

Jak kontaktní místo zapadá do správy zranitelností

Příloha I část II ukládá výrobci vedle kontaktního místa i další povinnosti, které spolu tvoří jeden celek: strojově čitelný SBOM, politiku koordinovaného zveřejňování zranitelností, pravidelné testování a bezplatné bezpečnostní aktualizace distribuované bez zbytečného odkladu, oddělené od funkčních aktualizací, doplněné bezpečnostními advisories. Kontaktní místo je vstupní branou do celého tohoto procesu – zranitelnost sem přijde, projde CVD politikou a skončí buď aktualizací, nebo (u aktivně zneužívané zranitelnosti) hlášením podle čl. 14.

Zvlášť stojí za zmínku situace, kdy zranitelnost není ve vašem vlastním kódu, ale v přejaté komponentě – včetně open-source knihovny. Výrobce ji v takovém případě musí oznámit tomu, kdo komponentu vyrábí nebo udržuje, podílet se na řešení a případnou opravu mu předat jako kód nebo dokumentaci (čl. 13 odst. 6). Vaše kontaktní místo tak nemusí být jen příjmové okénko směrem k vám – v části případů se stáváte i vy tím, kdo hlásí dál.

Rozhodnete-li se SBOM zpřístupnit uživatelům, musí být v informacích a pokynech k produktu uvedeno, kde k němu získají přístup – jde ale o dobrovolnou volbu výrobce, ne o automatickou povinnost zveřejnění (příloha II bod 9).

Koho se povinnost týká – i private label e-shopy

Povinnost mít kontaktní místo nese výrobce – ale definice výrobce podle CRA je širší, než si mnoho e-shopů myslí, a liší se podle role, ve které dnes jste.

Prodáváte pod vlastní značkou

Uvedete-li produkt s digitálními prvky na trh pod svým jménem nebo svou ochrannou známkou, jste podle čl. 21 považováni za výrobce a vztahují se na vás plné povinnosti čl. 13 a 14 – včetně kontaktního místa. Platí to i tehdy, pokud jste jinak jen dovozce, který zboží nechává vyrábět v zahraničí a prodává je pod svým jménem.

Podstatně měníte produkt, který už je na trhu

Pokud jako dovozce nebo distributor produkt po jeho uvedení na trh podstatně změníte, stáváte se výrobcem také – s plnými povinnostmi čl. 13 a 14 (čl. 21). Podstatnou změnou se rozumí zásah do produktu, který ovlivňuje soulad se základními požadavky přílohy I části I, nebo který mění zamýšlený účel, pro nějž bylo provedeno posouzení (čl. 3 bod 30).

Jinak je tomu u osoby, která není výrobcem, dovozcem ani distributorem – typicky nezávislý servis nebo integrátor – a provede podstatnou změnu produktu: na ni dopadají povinnosti čl. 13 a 14 jen ohledně části produktu dotčené změnou, ledaže změna ovlivní kybernetickou bezpečnost produktu jako celku – pak jde o celý produkt (čl. 22 odst. 1 a 2).

Jen dovozce nebo distributor beze změny

Dovozce, který produkt jen doveze a beze změny distribuuje, ověřuje, že výrobce provedl posouzení shody, má technickou dokumentaci, prohlášení o shodě, označení CE a viditelně uvedený konec podpory. Distributor o krok dál v řetězci ověřuje především označení CE a to, že výrobce i dovozce splnili své povinnosti. Vlastní kontaktní místo pro zranitelnosti podle čl. 13 odst. 17 jim nařízení neukládá – zjistí-li zranitelnost, musí bez zbytečného odkladu informovat výrobce, a představuje-li produkt významné kybernetické bezpečnostní riziko, neprodleně i orgány dozoru nad trhem (čl. 19 odst. 5, čl. 20 odst. 4).

Rozhodovací vodítko: prodáváte-li cizí produkt pod cizí značkou beze změny, kontaktní místo řeší výrobce. Prodáváte-li stejné zboží pod svým logem, nebo jste jej podstatně upravili, jde o vás.

Praktický scénář: e-shop s chytrými kamerami pod vlastní značkou

Představte si e-shop, který dováží bezpečnostní kamery od výrobce z Asie, přebalí je do vlastních krabic s vlastním logem a prodává pod svou značkou v e-shopu i na tržišti. Kamera se sledovací funkcí patří mezi produkty, u nichž bezpečnostní funkce zakládá zařazení do třídy I důležitých produktů podle přílohy III, upřesněné prováděcím nařízením (EU) 2025/2392.

Protože jde o prodej pod vlastní značkou, je e-shop podle čl. 21 výrobcem – bez ohledu na to, kdo kameru fyzicky vyrobil. Musí tedy zajistit nejen posouzení shody a technickou dokumentaci, ale i celý systém správy zranitelností: SBOM, politiku CVD, testování, aktualizace – a kontaktní místo, kam bezpečnostní výzkumník nahlásí, že kamera má otevřený port nebo slabé výchozí heslo. Bez tohoto místa se e-shop o problému pravděpodobně dozví až z médií, ne od výzkumníka, který se to snažil nahlásit korektně.

Jak kontaktní místo prakticky nastavit

Kanály a jejich propojení

Zveřejněte na webu (typicky v sekci bezpečnosti nebo v patičce) jasně označenou stránku s kontaktem pro nahlašování zranitelností, ideálně kombinaci e-mailové adresy a webového formuláře. Uveďte, že hlášení lze zaslat i jiným způsobem, pokud to hlásící preferuje – požadavek na volbu prostředku tím splníte, aniž byste museli provozovat desítky kanálů.

Lidský proces za formulářem

Určete konkrétní osobu nebo tým, který hlášení přebírá, potvrzuje přijetí a posuzuje závažnost. Automatická odpověď „děkujeme, ozveme se“ je v pořádku jako potvrzení příjmu, ale musí navazovat na skutečné lidské posouzení – jinak jde o kanál omezený na automatizované nástroje, což nařízení zakazuje.

Návaznost na hlásicí lhůty

Jakmile se přes kontaktní místo dozvíte o aktivně zneužívané zranitelnosti nebo závažném incidentu, spouští se lhůty podle čl. 14: včasné varování do 24 hodin od zjištění, oznámení do 72 hodin, závěrečná zpráva do 14 dnů od dostupnosti nápravného opatření (u incidentu do jednoho měsíce od 72hodinového oznámení). Hlásí se současně koordinujícímu CSIRT a agentuře ENISA přes jednotnou oznamovací platformu, a navíc je třeba informovat zasažené uživatele. Bez fungujícího kontaktního místa tyto lhůty prakticky nejde dodržet, protože se o zranitelnosti nedozvíte včas.

Co se stane, když výrobce skončí činnost

Nařízení pamatuje i na konec podnikání. Pokud výrobce ukončí činnost a v jejím důsledku nebude dál schopen plnit povinnosti CRA, musí ještě před ukončením informovat příslušné orgány dozoru nad trhem a v co největší míře i uživatele dotčených produktů (čl. 13 odst. 23). Kontaktní místo by tedy mělo zůstat funkční i v období útlumu firmy – ne zmizet spolu s posledním zaměstnancem podpory.

Sankce za nedodržení

Porušení čl. 13 – a kontaktní místo je jeho součástí – spadá do nejvyššího sankčního pásma nařízení: pokuta až do výše 15 000 000 EUR, nebo – je-li to více – odpovídající podíl z celosvětového ročního obratu. Mikropodniky a malé podniky mají výjimku pouze z pokut za zmeškání 24hodinových lhůt hlášení podle čl. 14 – nikoli z povinnosti mít funkční kontaktní místo jako takové.

Co teprve upřesní prováděcí akty (výhled)

Znění čl. 13 odst. 17 samo o sobě žádný prováděcí akt nevyžaduje – požadavky na kontaktní místo jsou v textu nařízení konečné. Co se ale teprve dotváří, je český výkon dozoru kolem CRA. Návrh adaptačního zákona, který byl v mezirezortním připomínkovém řízení v červenci 2026, počítá s tím, že dozor nad trhem povede z větší části Česká obchodní inspekce spolu se sektorovými orgány a NÚKIB jako oznamující orgán, a že pokyny, bezpečnostní informace i prohlášení o shodě budou muset být dostupné v češtině. Finální podoba zákona se do jeho přijetí může změnit – aktuální stav si před přípravou kontaktního místa ověřte na webu MPO. Při přípravě počítejte i s požadavkem na komunikaci v češtině vedle angličtiny.

Akční plán 30/60/90 dní

1. Do 30 dní: Ověřte podle role popsané výše, zda jste podle CRA výrobcem – tedy zda prodáváte pod vlastní značkou nebo produkt podstatně měníte. Pokud ano, zmapujte, jaké produkty s digitálními prvky prodáváte a do jaké třídy podle přílohy III nebo IV pravděpodobně patří.
2. Do 30 dní: Zřiďte na webu jednu jasně dohledatelnou kontaktní stránku pro hlášení zranitelností s alespoň dvěma komunikačními kanály (e-mail a formulář) a určete, kdo hlášení přebírá.
3. Nejpozději do 11. září 2026: Mějte funkční proces zpracování hlášení propojený s hlásicí povinností podle čl. 14 – kdo a jak bude ve lhůtách 24 a 72 hodin hlásit koordinujícímu CSIRT a agentuře ENISA, pokud jde o aktivně zneužívanou zranitelnost. Toto datum je pevné bez ohledu na to, kdy s přípravou začnete.
4. Do 60 dní: Připravte politiku koordinovaného zveřejňování zranitelností (CVD) jako veřejný dokument vedle kontaktní stránky – ukazuje výzkumníkům, že hlášení bude vyřízeno seriózně.
5. Do 90 dní: Pokud si nejste jistí, zda jste podle CRA výrobcem, nebo jen dovozcem či distributorem, ověřte si to formou rychlé prověrky.

Časté omyly

• „Stačí kontaktní formulář na webu.“ Formulář bez možnosti volby jiného komunikačního prostředku a bez lidského zpracování za ním nesplňuje čl. 13 odst. 17 – nařízení výslovně zakazuje omezení jen na automatizované nástroje.
• „Jsme jen dovozce, tohle se nás netýká.“ Pokud prodáváte zboží pod vlastní značkou nebo jste jej podstatně upravili, jste podle čl. 21 nebo 22 výrobcem s povinnostmi čl. 13 – bez ohledu na to, kdo produkt fyzicky vyrobil. Čistý dovozce či distributor beze změny má jen ověřovací a oznamovací roli.
• „Kontaktní místo musíme mít hotové už teď, jinak hrozí pokuta podle čl. 13.“ Formální povinnost podle čl. 13 se váže na hlavní použitelnost nařízení od prosince 2027. Prakticky se ale vyplatí kanál zprovoznit dřív, protože hlásicí lhůty podle čl. 14 běží už od září 2026 a bez kontaktního místa se o zranitelnosti nedozvíte včas.

Zdroje

• Nařízení (EU) 2024/2847 (Cyber Resilience Act), konsolidované znění – CELEX 02024R2847-20241120, čl. 3, čl. 13 odst. 6 a 17, čl. 14, čl. 19–23, čl. 64, čl. 71: https://publications.europa.eu/resource/celex/02024R2847-20241120
• Nařízení (EU) 2024/2847, původní znění – CELEX 32024R2847, příloha I část I a II, příloha II, čl. 13, 28, 30, 31, 64: https://publications.europa.eu/resource/celex/32024R2847
• Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky, MPO, mezirezortní připomínkové řízení 2026: https://mpo.gov.cz/cz/ochrana-spotrebitele/aktualni-informace/navrh-zakona-o-pozadavcich-na-kybernetickou-bezpecnost-vyrobku-s-digitalnimi-prvky--293815/

Shrnutí

Kontaktní místo pro nahlašování zranitelností podle čl. 13 odst. 17 CRA není jen kontaktní formulář – musí jít o jednotné místo, které umožní zvolit si preferovaný komunikační kanál a které nesmí být vyřízeno čistě automatizovaně. Povinnost nese výrobce, a tím jste i vy, pokud produkt prodáváte pod vlastní značkou, nebo jste jej podstatně změnili; čistý dovozce či distributor beze změny má jen povinnost informovat výrobce a v případě významného rizika i orgány dozoru. Formální lhůta pro splnění se váže k hlavním povinnostem nařízení od prosince 2027, ale hlásicí povinnost podle čl. 14 běží už od září 2026 i pro produkty dávno na trhu, takže funkční kontaktní kanál se vyplatí mít připravený s předstihem. Nejste-li si jistí, zda vás CRA řadí mezi výrobce, ověřte si to formou rychlé prověrky.