Nařízení (EU) 2024/2847, čl. 14
Zneužitou chybu hlásíte do 24 hodin.Od 11. září
Platí pro výrobce zařízení a programů, které se připojují k síti. I pro ty, které prodáváte roky.
pátek 16:40Přijde e-mail, že chybu ve vašem výrobku už někdo zneužívá. Od téhle chvíle běží lhůta.
Do začátku povinnosti zbývá
- 24 hvčasné varovánílhůta běží od chvíle, kdy se o věci dozvíte
- 72 hhlášení s podrobnostmipovaha věci, dotčené verze, dopad, opatření
- 14 dnízávěrečná zprávau zranitelnosti, od dostupnosti opravy nebo náhradního opatření
Rozdíl je v tom, co se stane v sobotu ráno
Povinnost platí pro obě firmy stejně. Liší se jen tím, jestli mají postup napsaný předem.
Bez připraveného postupu
Nejčastější nálezy z nácviků. Žádný z nich není o nedbalosti, všechny jsou o tom, že se to řeší poprvé.
- E-mail leží tři dny v obecné schránce, než ho někdo přepošle dál.
- Nikdo neurčí hodinu nula, takže se neví, kdy lhůta vlastně začala.
- Hledá se, kdo smí rozhodnout o odeslání hlášení a kdo mluví se zákazníky.
- Přesná čísla dotčených verzí se dohledávají ve chvíli, kdy běží lhůta.
- Hlášení se píše od nuly, ve stresu a bez kontroly, co do něj nepatří.
S připraveným postupem
Totéž s balíčkem Reporting Ready. Rozhodnutí padla dřív, než se něco stalo.
- Adresa pro hlášení je zveřejněná, zpráva přijde rovnou správnému člověku.
- Hodina nula se zapíše hned a je od začátku doložitelná.
- Kdo rozhoduje a kdo volá komu, visí vytištěné na zdi.
- Seznam produktů a verzí je hotový z klasifikace, jen se opíše.
- Hlášení se vyplňuje do šablony s kontrolním seznamem, cíl je pět minut.
3 až 4 h
vaší práce, rozložené do dvou týdnů
90 minut
nácvik nanečisto, tři kola po třiceti minutách
15 mil. EUR
sankce podle nařízení, nebo 2,5 % obratu podle toho, co je vyšší
0
výjimek z ohlašovací povinnosti podle velikosti firmy
Nařízení (EU) 2024/2847, čl. 14, čl. 64 a čl. 69 odst. 3. Povinnost dopadá i na produkty, které už jsou na trhu. Mikropodniky a malé podniky hlásí stejně jako ostatní, pokutu za zmeškání 24hodinové lhůty jim ale uložit nelze. Poslední revize faktů 27. 8. 2026.
Týká se to vás
Nařízení míří na produkty s digitálními prvky, které se připojují k síti nebo k jinému zařízení a vy je uvádíte na trh v EU. Kde přesně vede hranice:
Spadá pod nařízení
Připojené výrobky
Zařízení, které si zákazník nainstaluje a připojí k síti nebo k jinému zařízení. Rozhoduje, že ho uvádíte na trh v EU pod svým jménem.
Spadá pod nařízení
Programové vybavení jako produkt
Řídicí a obslužné programy, které prodáváte samostatně a zákazník si je instaluje a provozuje u sebe.
Spadá pod nařízení
I to, co jste prodali dřív
Ohlašovací povinnost dopadá i na produkty, které jste uvedli na trh před účinností nařízení. Nejde tedy jen o nové modely.
Nespadá
Samostatná služba v prohlížeči
Služba, kterou provozujete vy a která nepatří k žádnému výrobku, pod nařízení nespadá. Pozor na dálkové zpracování dat: když bez něj výrobek nefunguje, počítá se jako jeho součást.
Nespadá
Co se nepřipojuje
Rozhoduje datové spojení k síti nebo k jinému zařízení. Výrobek, který se nepřipojuje ani nepřímo, není produktem s digitálními prvky.
Nespadá
Sektorové předpisy
Zdravotnické prostředky, certifikovaná letecká technika nebo vozidla se řídí vlastními předpisy. Rozhoduje, jestli produkt pod takový předpis skutečně spadá.
- Zakázkový vývoj sám o sobě z působnosti nevyvazuje. I jediný zákazník je trh, rozhoduje, kdo produkt uvádí pod svým jménem.
- Hranici určuje nařízení, ne dojem. Když je zařazení sporné, řekneme to rovnou a doporučíme právníka.
Co přesně platí
Dvě lhůty běží od chvíle, kdy se o věci dozvíte. Třetí se liší podle toho, jestli šlo o zranitelnost, nebo o incident.
Prvních 24 hodin. Lhůta začíná ve chvíli, kdy se o věci dozvíte, ne až ji potvrdíte.
11. 9. 2026
platí
Ohlašovací povinnost začíná
Výrobci hlásí aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty. Podává se jedno hlášení přes společnou platformu ENISA. Návrh českého zákona počítá s NÚKIB jako příjemcem a s ČOI v dozoru nad trhem, schválený ale zatím není.
Sankcepodle nařízení až 15 000 000 EUR nebo 2,5 % obratu, podle toho, co je vyšší
do 24 h
lhůta
Včasné varování
Rozhoduje okamžik, kdy jste se dozvěděli o aktivním zneužití zranitelnosti nebo o závažném incidentu. Ne kdy chyba vznikla. Stačí několik vět, ale musí odejít včas.
do 72 h
lhůta
Hlášení s podrobnostmi
Počítá se od stejného okamžiku jako první lhůta, ne od odeslání varování. Doplňujete povahu věci, dotčené verze, dopad a opatření, která jste udělali nebo chystáte.
14 dní
závěr
Závěrečná zpráva
Tady se cesta dělí. Lhůta se počítá jinak podle toho, jestli šlo o zranitelnost, nebo o incident.
zranitelnost → 14 dní
Od chvíle, kdy máte k dispozici opravu nebo zmírňující opatření.
incident → 1 měsíc
Od hlášení, které jste podali ve lhůtě 72 hodin.
11. 12. 2027
poctivě
Druhá vlna povinností
Od tohoto data platí zbytek nařízení: požadavky na samotný produkt, technická dokumentace, posouzení shody, označení CE a povinný postup pro řešení zranitelností. Sankce musí do českého práva zavést adaptační zákon, který je zatím v připomínkovém řízení. Proto tu nestrašíme pokutami. Důvod začít je jiný: lhůtu 24 hodin nejde stihnout improvizací.
Reporting Ready: připravený proces
Sedm věcí, po kterých incident přestane být krizí a stane se postupem. Vaše práce jsou tři až čtyři hodiny během dvou týdnů a devadesát minut nácviku.
01
Klasifikace produktu
Projdeme portfolio a zapíšeme, co pod nařízení spadá a do které třídy. Zařazení zůstává na vás, tohle je podklad, který ho drží doložitelný.
- Tři otázky, jestli produkt vůbec spadá do působnosti
- Zařazení do čtyř tříd podle prováděcího nařízení (EU) 2025/2392
- Sloupec, jestli je produkt na trhu už dnes, kvůli čl. 69 odst. 3
02
Přístupy pro dvě osoby
Účet do EU Login si zřídíte předem, u hlásicí platformy se registrujete až s prvním hlášením. Dvě osoby proto, že jedna může být v letadle nebo bez telefonu. Součástí je náhradní cesta, když platforma nepojede.
03
Eskalační plán
Jedna stránka na zeď. Volací pořadí a pravidlo, že kdo nezvedne do 15 minut, jde se na dalšího. Kdo rozhoduje o odeslání a kdo mluví ven. Zvlášť je ošetřený souběh s hlášením podle GDPR.
04
Runbook s časovou osou
Kdo co dělá v prvních 24 hodinách, krok za krokem. Psaný k vytištění, aby fungoval i ve chvíli, kdy jste na dovolené.
- Hodina nula je chvíle, kdy jste se o věci dozvěděli, ne kdy jste ji potvrdili
- Šest očíslovaných kroků prvních 24 hodin, včetně zajištění důkazů
- Tři role se zástupci: kdo hlásí, kdo zjišťuje rozsah, kdo rozhoduje
- Veřejný důkaz konceptu ani zápis v CVE sám o sobě lhůtu nespouští
05
Šablony hlášení
Čtyři kusy: včasné varování, hlášení do 72 hodin, závěrečná zpráva a zpráva uživatelům. U každé je kontrolní seznam, ať v ní nejsou dohady ani návod ke zneužití.
06
security.txt a stránka pro nálezce
Soubor podle RFC 9116 a dvojjazyčná stránka s pravidly, kam a jak hlásit nález. Slibuje potvrzení do tří pracovních dnů. Povinnost to není, ale je to cesta, kudy se o problému dozvíte dřív než z médií.
07
Nácvik nanečisto
Tři kola po třiceti minutách s lidmi, kteří u toho v hodině H budou. Nic se neodesílá, hlášení se vyplní a uloží. Výstupem je zápis, tedy doklad, že proces existuje a byl vyzkoušený.
- Není to pentest ani audit bezpečnosti. Balíček neříká, jestli je produkt bezpečný. Říká, co uděláte v hodině, kdy se ukáže, že není.
- Není to posouzení shody ani certifikace. Ty patří k druhé vlně od 11. 12. 2027 a řeší se samostatně.
- Není to právní služba. Zařazení produktu i posouzení závažnosti zůstává na výrobci, u sporných případů doporučíme právníka.
- security.txt není zákonná povinnost. Povinný postup pro hlášení zranitelností platí až od 11. 12. 2027.
Zjistěte, jestli se vás to týká
Napište adresu webu a e-mail. Ozveme se s tím, jestli váš produkt pod nařízení spadá a co by příprava obnášela.