Čl. 14 krok za krokom: 24 h, 72 h, 14 dní — ako prebieha hlásenie cez platformu ENISA

Reportovacia povinnosť podľa čl. 14 je prvá vec z Cyber Resilience Act, ktorá platí naostro — od 11. 9. 2026, a to aj pre produkty, ktoré ste uviedli na trh dávno. Problém nie je vyplniť formulár, ale stihnúť to: 24 hodín je málo na improvizáciu. Poďme si celý postup rozobrať krok za krokom, aby vás nič neprekvapilo.

Čo sa hlási

Hlásia sa dve udalosti: aktívne zneužívaná zraniteľnosť vo vašom produkte (niekto ju reálne používa, nielen „existuje CVE") a závažný incident ovplyvňujúci bezpečnosť produktu. Rozdiel medzi „existuje zraniteľnosť" a „je aktívne zneužívaná" sme rozobrali v článku o CVE, CVSS, EPSS a KEV — zápis v katalógu KEV je typický signál, že sa spúšťa čl. 14.

Tri lehoty

Prvé dve lehoty bežia od momentu, keď sa o veci dozviete; tretia (finálna správa) až od neskoršej udalosti:

1. Do 24 hodín od zistenia — včasné varovanie. Stručne: kto ste, ktorý produkt, čoho sa to týka. Bez čakania na kompletné detaily.
2. Do 72 hodín od zistenia — notifikácia zraniteľnosti/incidentu. Podstata problému, závažnosť, prijaté alebo plánované nápravné opatrenia, prípadne zasiahnuté členské štáty.
3. Finálna správa. Pri zraniteľnosti do 14 dní od sprístupnenia nápravného alebo zmierňujúceho opatrenia (čl. 14(2)(c)). Pri závažnom incidente do 1 mesiaca od podania 72-hodinovej notifikácie (čl. 14(4)(c)). Táto lehota teda nebeží od zistenia, ale od tejto neskoršej udalosti.

Lehoty nie sú „buď/alebo" — sú to postupné kroky k tej istej udalosti. Prvé varovanie kúpi čas, plná notifikácia doplní obraz, finálna správa uzavrie.

Kam hlásenie ide

Hlásenie sa podáva cez Single Reporting Platform (SRP) agentúry ENISA a smeruje súčasne ku koordinujúcemu CSIRT a k ENISA. Príslušný je CSIRT určený ako koordinátor v členskom štáte vašej hlavnej prevádzkarne (čl. 14(7)); pre Slovensko nebolo určenie k dátumu tohto článku zverejnené — predpokladá sa národný CSIRT SK-CERT. Platforma je jedno miesto, ktoré správu rozvetví tam, kam treba — nemusíte hlásiť na viac úradov zvlášť.

Dôležité: platforma nemá API

Toto je detail, ktorý rozhoduje o príprave. SRP nemá API — hlásenie nevie za vás automaticky odoslať žiadny nástroj. Prihlasujete sa cez EU Login (európsky prihlasovací účet) a po prvom prihlásení váš účet overí národný CSIRT. Overenie chvíľu trvá a líši sa podľa krajiny. Praktický dôsledok: zaregistrujte sa vopred, kým je pokoj — nie vo chvíli, keď vám beží 24-hodinová lehota.

Zraniteľnosť vs. incident — dve dráhy

Hoci obe idú cez tú istú platformu, líšia sa v poslednej lehote. Pri aktívne zneužívanej zraniteľnosti je finálna správa do 14 dní po tom, ako je dostupné nápravné alebo zmierňujúce opatrenie. Pri závažnom incidente (napr. narušenie, ktoré ovplyvnilo bezpečnosť produktu) je finálna správa do jedného mesiaca od podania 72-hodinovej notifikácie. Prvé dva kroky (24 h a 72 h) sú v oboch prípadoch rovnaké. V praxi si teda hneď na začiatku ujasnite, o ktorú z dvoch dráh ide — určuje to poslednú lehotu.

Pozor tiež na to, že reporting podľa čl. 14 je iná povinnosť než zverejnenie advisory alebo GDPR hlásenie porušenia ochrany údajov. Môžu bežať súbežne, ale majú vlastných adresátov aj lehoty — neplette si ich.

Ako sa pripraviť, aby ste to stihli

24 hodín zvládnete len vtedy, keď je väčšina roboty spravená dopredu:

1. Účet na platforme. EU Login vytvorte a účet nechajte overiť teraz, nie pri prvom incidente.
2. Vedieť, koho sa to týka. So SBOM a monitoringom viete rýchlo povedať, či nová zraniteľnosť zasahuje vaše verzie — to je polovica včasného varovania.
3. Určené role. Kto sleduje zraniteľnosti, kto rozhoduje, kto podáva hlásenie — a zastupujúca osoba. Na jednej strane papiera.
4. Predpripravené polia. Čo sa nemení (výrobca, kontakt, produkty) majte prevyplnené, aby ste počas incidentu dopĺňali len fakty.

Časté otázky

1. Kde vzniká „dozvedeli sme sa"? Lehoty bežia od momentu, keď sa o veci dozviete — preto je dôležité mať kanál a monitoring, aby ste sa to dozvedeli včas, nie náhodou.
2. Musíme hlásiť každú zraniteľnosť? Nie — čl. 14 sa týka aktívne zneužívaných zraniteľností a závažných incidentov, nie každého CVE.
3. Kto na Slovensku validuje účet? Koordinujúci CSIRT členského štátu vašej hlavnej prevádzkarne; pre SR nebolo určenie k dátumu tohto článku zverejnené (predpokladá sa SK-CERT ako národný CSIRT). Overenie chvíľu trvá — spravte to vopred.
4. Nemá platforma API na automatizáciu? Nie, SRP nemá API — hlásenie podávate ručne cez EU Login.

Najčastejšia chyba: príprava až pri incidente

Firmy, ktoré na čl. 14 doplatia, majú spoločné jedno: začali riešiť platformu až vo chvíli, keď už bežala lehota. Overenie účtu národným CSIRT nestihnete za pár hodín a bez SBOM neviete rýchlo povedať, či sa vás nová zraniteľnosť týka. Preto sú registrácia, SBOM a predpripravené polia veci, ktoré patria do „pokojného" času — nie do prvého incidentu.

Kľúčový bod

Reporting podľa čl. 14 je prvá vec z CRA, ktorá platí naostro — od 11. 9. 2026, aj pre produkty uvedené na trh dávno. Hlásia sa aktívne zneužívané zraniteľnosti a závažné incidenty (nie každé CVE) cez Single Reporting Platform agentúry ENISA, súčasne koordinujúcemu CSIRT a ENISA. Lehoty: 24 h včasné varovanie a 72 h notifikácia od zistenia, potom finálna správa — pri zraniteľnosti do 14 dní od sprístupnenia opravy (čl. 14(2)(c)), pri incidente do 1 mesiaca od 72-hodinovej notifikácie (čl. 14(4)(c)). Kľúčový detail pre prípravu: platforma nemá API, prihlasujete sa cez EU Login a účet vám overí národný CSIRT (na Slovensku SK-CERT) — a to chvíľu trvá. Preto sa zaregistrujte vopred a majte pripravené predvyplnené polia aj SBOM, aby ste vedeli rýchlo povedať, či sa vás nová zraniteľnosť týka. 24 hodín zvládnete len vtedy, keď je väčšina roboty spravená v pokojnom čase, nie počas incidentu.

Ako pomáha CRAguard

CRAguard nevie hlásiť za vás (platforma to neumožňuje), ale spraví to najťažšie okolo: denne stráži vaše komponenty, pri KEV zápise zdvihne vlajku „možný čl. 14", odpočíta lehoty 24/72 h a 14 dní a pripraví balík polí na skopírovanie do platformy. Vy hlásenie len skontrolujete a odošlete. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 14), z FAQ agentúry ENISA k Single Reporting Platform a usmernenia Európskej komisie zo dňa 27. 7. 2026. Postup platformy sa môže spresniť — riaďte sa aktuálnymi pokynmi ENISA.