# Coordinated vulnerability disclosure (CVD) policy: čo má obsahovať a šablóna Canonical: https://craguard.eu/sk/blog/cvd-policy-co-ma-obsahovat-sablona Language: sk Naposledy aktualizované: 2026-09-02 - [CRAguard](https://craguard.eu/sk)/ - [Blog](https://craguard.eu/sk/blog)/ - Coordinated vulnerability disclosure (CVD) policy: čo má obsahovať a šablóna 22. 8. 2026 · CRAguard Zhrnutie Príloha I časť II nariadenia (EÚ) 2024/2847 žiada politiku koordinovaného zverejňovania zraniteľností (CVD). Je to krátka verejná stránka, ktorá nahlasovateľovi povie, kam písať, čo od vás môže čakať a v akých lehotách. Prechádzame osem bodov, z ktorých sa skladá, vrátane „safe harbour\" vety a času na opravu — ako kostru na prispôsobenie, nie ako právny text. Keď máte [nahlasovací kanál a security.txt](https://craguard.eu/sk/blog/security-txt-a-kanal-na-zranitelnosti), chýba k nim ešte jedna vec: **politika**, ktorá povie, čo sa s hlásením stane. Cyber Resilience Act ju vyžaduje v **Prílohe I, časť II** ako *politiku koordinovaného zverejňovania zraniteľností* (CVD). Znie to veľkolepo, ale je to krátka verejná stránka. Poďme si prejsť, z čoho sa skladá. ## Načo CVD policy je CVD policy je dohoda medzi vami a tým, kto vám chce nahlásiť dieru. Nahlasovateľovi odpovedá na tri otázky: **kam to poslať, čo sa potom stane, a či ho za slušné nahlásenie nebudete žalovať**. Bez nej výskumníci často mlčia (boja sa reakcie) alebo zverejnia zraniteľnosť rovno — a to je pre vás horšie než keby vám ju povedali priamo. ## Osem bodov, z ktorých sa skladá Nasledujúca kostra pokrýva to, čo dobrá CVD policy obsahuje. Berte to ako štruktúru bodov na prispôsobenie, nie ako hotové právne znenie: - **Rozsah.** Ktorých produktov a služieb sa politika týka (a čoho sa netýka). - **Kontakt a spôsob.** Kam a ako nahlasovať (e-mail security@, formulár), aké informácie priložiť (verzia, kroky na reprodukciu, dopad). - **Čo môže nahlasovateľ čakať.** Že prijatie potvrdíte v definovanej lehote (napr. do 3 pracovných dní) a budete ho informovať o priebehu. - **Vaše lehoty.** Orientačný čas na posúdenie a nápravu — a to, že závisí od závažnosti. Netreba prisľubovať nemožné, len byť predvídateľný. - **Koordinované zverejnenie.** Že zraniteľnosť zverejníte až po vydaní opravy (alebo po dohodnutom čase) a že to spravíte spoločne, nie proti sebe. - **„Safe harbour" vyhlásenie.** Uistenie, že proti nahlasovateľovi, ktorý koná v dobrej viere a dodrží pravidlá (neexfiltruje dáta, nepoškodí prevádzku), nepodniknete právne kroky. Toto je pre výskumníkov najdôležitejší bod. - **Čo od nahlasovateľa čakáte.** Nezverejniť pred opravou, netestovať na cudzích dátach, neškodiť dostupnosti — férové pravidlá hry. - **Uznanie (voliteľné).** Či a ako nahlasovateľa spomeniete v advisory alebo poďakovaní. Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Čo do nej nepatrí Rovnako dôležité je vedieť, čo vynechať. CVD policy **nie je** miesto na osobné údaje nahlasovateľov, na interné bezpečnostné detaily vašej infraštruktúry ani na sľuby odmien, ktoré neviete dodržať (bug bounty je samostatná vec). A nie je to zmluva — je to verejné, čitateľné vyhlásenie zámeru. Držte ju krátku; dlhá policy, ktorú nikto neprečíta, odrádza rovnako ako žiadna. ## Príklad: ako môže hlásenie prejsť procesom Aby body neboli len abstraktné, predstavte si cestu jedného hlásenia: - **Deň 0 — príde hlásenie** na `security@` alebo cez formulár. Nahlasovateľ opísal problém a verziu. - **Do 3 pracovných dní — potvrdenie.** Odpíšete, že hlásenie máte a začínate ho posudzovať (presne to, čo sľubuje policy). - **Posúdenie.** Overíte, či sa problém týka, akú má závažnosť a ktoré verzie zasahuje — nález dostane stav „posúdený". - **Oprava.** Vydáte opravenú verziu; s nahlasovateľom sa dohodnete, kedy sa smie zverejniť. - **Advisory.** Po dostupnosti opravy zverejníte [advisory](https://craguard.eu/sk/blog/security-advisory-kedy-a-ako) a, ak ste sa tak dohodli, poďakujete nahlasovateľovi. Policy navonok sľubuje kroky 2 a 5 a safe harbour; interný postup (kto ktorý krok robí) si držíte u seba. Dôležité je, aby sľub a realita sedeli — policy, ktorú v praxi nedodržíte, je horšia než skromnejšia, ktorú áno. ## Ako ju napojiť na proces Politika je len sľub — hodnotu má, keď za ňou stojí reálny postup. Prijaté hlásenie by malo mať jasný životný cyklus: *nový → posúdený → opravený → zverejnený advisory*. Kto ktorý krok robí a v akej lehote, si stanovte interne (stačí jedna strana) a navonok komunikujte len to, čo z toho patrí do policy. Poslednému kroku — zverejneniu opravenej zraniteľnosti — sa venuje [článok o advisories](https://craguard.eu/sk/blog/security-advisory-kedy-a-ako). ## Časté otázky - **Musí byť CVD policy dlhá?** Práve naopak — krátka a čitateľná. Dlhý dokument, ktorý nikto neprečíta, odrádza rovnako ako žiadny. - **Potrebujeme bug bounty?** Nie. CVD policy nie je odmeňovací program; odmeny sú samostatná, dobrovoľná vec. - **Prečo je safe harbour taký dôležitý?** Bez uistenia, že im nehrozia právne kroky, mnohí výskumníci radšej mlčia alebo zverejnia dieru priamo — čo je pre vás horšie. - **Kde policy zverejniť?** Na verejnej stránke, na ktorú odkazuje pole `Policy:` v [security.txt](https://craguard.eu/sk/blog/security-txt-a-kanal-na-zranitelnosti). ## Prečo sa vyplatí ju mať dobre CVD policy je lacná poistka: hodina práce, ktorá premení náhodné, vystrašené alebo nahnevané nahlásenie na usporiadaný proces. Výskumníkovi dáva istotu, vám predvídateľnosť a odberateľovi signál, že beriete bezpečnosť vážne. A keďže je súčasťou vulnerability handling procesu (Príloha I časť II), potrebujete ju aj do technickej dokumentácie — takže ju nepíšete „navyše", ale ako súčasť toho, čo od vás CRA aj tak žiada. ## Kľúčový bod CVD policy je krátka verejná stránka, ktorá nahlasovateľovi povie, **kam písať, čo sa potom stane a či ho za slušné nahlásenie nebudete žalovať**. Vyžaduje ju **Príloha I časť II** ako politiku koordinovaného zverejňovania zraniteľností. Dobrá policy pokrýva osem bodov — rozsah, kontakt a spôsob, čo nahlasovateľ môže čakať, vaše orientačné lehoty, koordinované zverejnenie, **safe harbour** vyhlásenie, čo čakáte od nahlasovateľa a prípadné uznanie. Safe harbour je pritom pre výskumníkov najdôležitejší: bez uistenia, že im nehrozia právne kroky, radšej mlčia alebo zverejnia dieru priamo. Držte policy krátku a čitateľnú a podložte ju reálnym postupom (nový → posúdený → opravený → advisory). Keďže je súčasťou vulnerability handling procesu, potrebujete ju aj do technickej dokumentácie — takže ju nepíšete „navyše", ale ako súčasť toho, čo od vás CRA aj tak žiada. ## Ako pomáha CRAguard CRAguard dodáva CVD policy ako súčasť hostovaného nahlasovacieho kanála: verejná stránka s vašou politikou (vrátane safe harbour textu a lehoty na potvrdenie), naviazaná na formulár a na životný cyklus nálezu, takže z prijatia hlásenia až po advisory je to jeden tok s audit trailom. [Zistite, či sa vás CRA týka](https://craguard.eu/sk/checker), alebo sa [zaraďte do waitlistu](https://craguard.eu/sk#waitlist). *Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (Príloha I časť II) a usmernenia Európskej komisie zo dňa 27. 7. 2026. Uvedená kostra je štruktúra bodov, nie schválené právne znenie — konkrétne formulácie (najmä safe harbour) konzultujte.* Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Zdroje - [EUR-Lex — Regulation (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - [ENISA — Single Reporting Platform](https://www.enisa.europa.eu/) --- Zdroj: CRAguard — https://craguard.eu