# Čl. 14 krok za krokom: 24 h, 72 h, 14 dní — ako prebieha hlásenie cez platformu ENISA Canonical: https://craguard.eu/sk/blog/cl-14-krok-za-krokom-enisa-platforma Language: sk Naposledy aktualizované: 2026-09-02 - [CRAguard](https://craguard.eu/sk)/ - [Blog](https://craguard.eu/sk/blog)/ - Čl. 14 krok za krokom: 24 h, 72 h, 14 dní — ako prebieha hlásenie cez platformu ENISA 24. 8. 2026 · CRAguard Zhrnutie Podľa čl. 14 nariadenia (EÚ) 2024/2847 hlásite aktívne zneužívanú zraniteľnosť alebo závažný incident cez Single Reporting Platform agentúry ENISA. Beh lehôt: 24 h včasné varovanie, 72 h notifikácia, 14 dní finálna správa (pri zraniteľnosti). Hlásenie ide súčasne koordinujúcemu CSIRT a ENISA. Platforma nemá API — prihlasujete sa cez EU Login a účet vám overí národný CSIRT. Preto sa treba zaregistrovať skôr, než niečo nastane. Reportovacia povinnosť podľa **čl. 14** je prvá vec z Cyber Resilience Act, ktorá platí naostro — od **11. 9. 2026**, a to aj pre produkty, ktoré ste uviedli na trh dávno. Problém nie je vyplniť formulár, ale stihnúť to: 24 hodín je málo na improvizáciu. Poďme si celý postup rozobrať krok za krokom, aby vás nič neprekvapilo. ## Čo sa hlási Hlásia sa dve udalosti: **aktívne zneužívaná zraniteľnosť** vo vašom produkte (niekto ju reálne používa, nielen „existuje CVE") a **závažný incident** ovplyvňujúci bezpečnosť produktu. Rozdiel medzi „existuje zraniteľnosť" a „je aktívne zneužívaná" sme rozobrali v [článku o CVE, CVSS, EPSS a KEV](https://craguard.eu/sk/blog/cve-cvss-epss-kev-vysvetlene) — zápis v katalógu KEV je typický signál, že sa spúšťa čl. 14. ## Tri lehoty Prvé dve lehoty bežia od momentu, keď sa o veci **dozviete**; tretia (finálna správa) až od neskoršej udalosti: - **Do 24 hodín od zistenia — včasné varovanie.** Stručne: kto ste, ktorý produkt, čoho sa to týka. Bez čakania na kompletné detaily. - **Do 72 hodín od zistenia — notifikácia zraniteľnosti/incidentu.** Podstata problému, závažnosť, prijaté alebo plánované nápravné opatrenia, prípadne zasiahnuté členské štáty. - **Finálna správa.** Pri zraniteľnosti do **14 dní od sprístupnenia nápravného alebo zmierňujúceho opatrenia** (čl. 14(2)(c)). Pri závažnom incidente do **1 mesiaca od podania 72-hodinovej notifikácie** (čl. 14(4)(c)). Táto lehota teda nebeží od zistenia, ale od tejto neskoršej udalosti. Lehoty nie sú „buď/alebo" — sú to postupné kroky k tej istej udalosti. Prvé varovanie kúpi čas, plná notifikácia doplní obraz, finálna správa uzavrie. Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Kam hlásenie ide Hlásenie sa podáva cez **Single Reporting Platform (SRP)** agentúry ENISA a smeruje **súčasne** ku koordinujúcemu CSIRT a k ENISA. Príslušný je CSIRT určený ako koordinátor v členskom štáte vašej hlavnej prevádzkarne (čl. 14(7)); pre Slovensko nebolo určenie k dátumu tohto článku zverejnené — predpokladá sa národný CSIRT SK-CERT. Platforma je jedno miesto, ktoré správu rozvetví tam, kam treba — nemusíte hlásiť na viac úradov zvlášť. ## Dôležité: platforma nemá API Toto je detail, ktorý rozhoduje o príprave. SRP **nemá API** — hlásenie nevie za vás automaticky odoslať žiadny nástroj. Prihlasujete sa cez **EU Login** (európsky prihlasovací účet) a po prvom prihlásení váš účet **overí národný CSIRT**. Overenie chvíľu trvá a líši sa podľa krajiny. Praktický dôsledok: **zaregistrujte sa vopred**, kým je pokoj — nie vo chvíli, keď vám beží 24-hodinová lehota. ## Zraniteľnosť vs. incident — dve dráhy Hoci obe idú cez tú istú platformu, líšia sa v poslednej lehote. Pri **aktívne zneužívanej zraniteľnosti** je finálna správa do 14 dní po tom, ako je dostupné nápravné alebo zmierňujúce opatrenie. Pri **závažnom incidente** (napr. narušenie, ktoré ovplyvnilo bezpečnosť produktu) je finálna správa do jedného mesiaca od podania 72-hodinovej notifikácie. Prvé dva kroky (24 h a 72 h) sú v oboch prípadoch rovnaké. V praxi si teda hneď na začiatku ujasnite, o ktorú z dvoch dráh ide — určuje to poslednú lehotu. Pozor tiež na to, že reporting podľa čl. 14 je **iná povinnosť** než zverejnenie [advisory](https://craguard.eu/sk/blog/security-advisory-kedy-a-ako) alebo GDPR hlásenie porušenia ochrany údajov. Môžu bežať súbežne, ale majú vlastných adresátov aj lehoty — neplette si ich. ## Ako sa pripraviť, aby ste to stihli 24 hodín zvládnete len vtedy, keď je väčšina roboty spravená dopredu: - **Účet na platforme.** EU Login vytvorte a účet nechajte overiť teraz, nie pri prvom incidente. - **Vedieť, koho sa to týka.** So [SBOM](https://craguard.eu/sk/blog/ako-vygenerovat-sbom-za-10-minut) a monitoringom viete rýchlo povedať, či nová zraniteľnosť zasahuje vaše verzie — to je polovica včasného varovania. - **Určené role.** Kto sleduje zraniteľnosti, kto rozhoduje, kto podáva hlásenie — a zastupujúca osoba. Na jednej strane papiera. - **Predpripravené polia.** Čo sa nemení (výrobca, kontakt, produkty) majte prevyplnené, aby ste počas incidentu dopĺňali len fakty. ## Časté otázky - **Kde vzniká „dozvedeli sme sa"?** Lehoty bežia od momentu, keď sa o veci dozviete — preto je dôležité mať kanál a monitoring, aby ste sa to dozvedeli včas, nie náhodou. - **Musíme hlásiť každú zraniteľnosť?** Nie — čl. 14 sa týka **aktívne zneužívaných** zraniteľností a závažných incidentov, nie každého CVE. - **Kto na Slovensku validuje účet?** Koordinujúci CSIRT členského štátu vašej hlavnej prevádzkarne; pre SR nebolo určenie k dátumu tohto článku zverejnené (predpokladá sa SK-CERT ako národný CSIRT). Overenie chvíľu trvá — spravte to vopred. - **Nemá platforma API na automatizáciu?** Nie, SRP nemá API — hlásenie podávate ručne cez EU Login. ## Najčastejšia chyba: príprava až pri incidente Firmy, ktoré na čl. 14 doplatia, majú spoločné jedno: začali riešiť platformu až vo chvíli, keď už bežala lehota. Overenie účtu národným CSIRT nestihnete za pár hodín a bez SBOM neviete rýchlo povedať, či sa vás nová zraniteľnosť týka. Preto sú registrácia, [SBOM](https://craguard.eu/sk/blog/ako-vygenerovat-sbom-za-10-minut) a predpripravené polia veci, ktoré patria do „pokojného" času — nie do prvého incidentu. ## Kľúčový bod Reporting podľa čl. 14 je prvá vec z CRA, ktorá platí naostro — od **11. 9. 2026**, aj pre produkty uvedené na trh dávno. Hlásia sa **aktívne zneužívané zraniteľnosti a závažné incidenty** (nie každé CVE) cez **Single Reporting Platform** agentúry ENISA, súčasne koordinujúcemu CSIRT a ENISA. Lehoty: 24 h včasné varovanie a 72 h notifikácia od zistenia, potom finálna správa — pri zraniteľnosti do 14 dní od sprístupnenia opravy (čl. 14(2)(c)), pri incidente do 1 mesiaca od 72-hodinovej notifikácie (čl. 14(4)(c)). Kľúčový detail pre prípravu: platforma **nemá API**, prihlasujete sa cez EU Login a účet vám **overí národný CSIRT** (na Slovensku SK-CERT) — a to chvíľu trvá. Preto sa zaregistrujte vopred a majte pripravené predvyplnené polia aj SBOM, aby ste vedeli rýchlo povedať, či sa vás nová zraniteľnosť týka. 24 hodín zvládnete len vtedy, keď je väčšina roboty spravená v pokojnom čase, nie počas incidentu. ## Ako pomáha CRAguard CRAguard nevie hlásiť za vás (platforma to neumožňuje), ale spraví to najťažšie okolo: denne stráži vaše komponenty, pri KEV zápise zdvihne vlajku „možný čl. 14", odpočíta lehoty 24/72 h a 14 dní a pripraví balík polí na skopírovanie do platformy. Vy hlásenie len skontrolujete a odošlete. [Zistite, či sa vás CRA týka](https://craguard.eu/sk/checker), alebo sa [zaraďte do waitlistu](https://craguard.eu/sk#waitlist). *Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 14), z FAQ agentúry ENISA k Single Reporting Platform a usmernenia Európskej komisie zo dňa 27. 7. 2026. Postup platformy sa môže spresniť — riaďte sa aktuálnymi pokynmi ENISA.* Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Zdroje - [EUR-Lex — Regulation (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - [ENISA — Single Reporting Platform](https://www.enisa.europa.eu/) --- Zdroj: CRAguard — https://craguard.eu