# CVE, CVSS, EPSS, KEV: čo znamenajú skratky a čo z nich vyplýva pre malú firmu Canonical: https://craguard.eu/sk/blog/cve-cvss-epss-kev-vysvetlene Language: sk Naposledy aktualizované: 2026-09-02 - [CRAguard](https://craguard.eu/sk)/ - [Blog](https://craguard.eu/sk/blog)/ - CVE, CVSS, EPSS, KEV: čo znamenajú skratky a čo z nich vyplýva pre malú firmu 19. 8. 2026 · CRAguard Zhrnutie CVE je identifikátor zraniteľnosti, CVSS jej závažnosť (0–10), EPSS pravdepodobnosť zneužitia a KEV zoznam CISA aktívne zneužívaných zraniteľností. Spolu odpovedajú na dve otázky: aké je to zlé a ako pravdepodobne to niekto využije. Ukazujeme presné prahy, podľa ktorých z nich robíme jeden ľudský verdikt — a prečo je KEV zápis možným spúšťačom 24-hodinového hlásenia podľa čl. 14. Keď vyjde nová zraniteľnosť, malá firma nepotrebuje akademickú prednášku — potrebuje vedieť **čo s tým a dokedy**. Na to slúžia štyri skratky. Každá odpovedá na inú otázku a spolu z nich vznikne jasné rozhodnutie. Poďme si ich prejsť bežnou rečou a ukázať, ako z nich robíme jeden verdikt. ## CVE — o ktorú zraniteľnosť ide **CVE** (Common Vulnerabilities and Exposures) je jednoducho **identifikátor**, napríklad `CVE-2026-1234`. Je to celosvetový katalóg verejne známych zraniteľností, aby o „tej istej diere" hovorili všetci rovnako. CVE samo osebe nehovorí, aké je to vážne ani či to niekto zneužíva — je to len meno. Detaily (CVSS, popis, opravené verzie) sa naň nabaľujú z databáz ako NVD či OSV.dev. ## CVSS — aké je to zlé **CVSS** (Common Vulnerability Scoring System) je **skóre závažnosti od 0 do 10**. Vyjadruje, aký veľký dopad by malo zneužitie: obvykle sa delí na *Low*, *Medium* (≥ 4,0), *High* (≥ 7,0) a *Critical* (≥ 9,0). Odpovedá na otázku „ako zle by dopadlo, keby to niekto využil" — ale nie na to, či to niekto naozaj využíva. Vysoké CVSS na komponente, ktorý zraniteľnú funkciu vôbec nevoláte, môže byť v praxi menší problém než stredné CVSS priamo vo vašej vstupnej ceste. Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## EPSS — ako pravdepodobne to niekto využije **EPSS** (Exploit Prediction Scoring System, od organizácie FIRST) je **pravdepodobnosť od 0 do 1**, že daná zraniteľnosť bude zneužitá v najbližšom období. `0,02` znamená ~2 %, `0,7` znamená ~70 %. Kým CVSS hovorí *aké zlé*, EPSS hovorí *ako pravdepodobné*. Práve kombinácia oboch je užitočnejšia než ktorékoľvek z nich samostatne — vysoká závažnosť s vysokou pravdepodobnosťou je iná liga než vysoká závažnosť s takmer nulovou pravdepodobnosťou. ## KEV — kto to už reálne zneužíva **KEV** (Known Exploited Vulnerabilities) je verejný katalóg americkej agentúry CISA, ktorý obsahuje zraniteľnosti **aktívne zneužívané v reálnom svete**. Ak je CVE v KEV, nie je to teoretické riziko — niekto to naozaj používa na útoky. Pre CRA je to kľúčové: povinnosť hlásiť podľa **čl. 14** sa viaže práve na *aktívne zneužívanú zraniteľnosť*. KEV zápis týkajúci sa komponentu vo vašom produkte je preto **možný spúšťač 24-hodinového hlásenia** — s výhradou, že či je zneužívaná práve vo *vašom* produkte, posudzujete vy. ## Ako z toho robíme jeden verdikt Štyri čísla sú pekné, ale rozhodnutie musí byť jedno. My ich preto zlievame do troch verdiktov — **Rieš teraz**, **Naplánuj**, **Informatívne** — podľa pevného poradia pravidiel (prvá zhoda vyhráva): - Zraniteľnosť je v **KEV** → **Rieš teraz** (aktívne zneužívaná). - **CVSS ≥ 9,0** → **Rieš teraz** (kritická závažnosť). - **CVSS ≥ 7,0 a zároveň EPSS ≥ 0,10** → **Rieš teraz** (vysoká závažnosť a reálna pravdepodobnosť). - **CVSS ≥ 7,0** → **Naplánuj** (vysoká závažnosť, nízka pravdepodobnosť). - **CVSS ≥ 4,0 alebo EPSS ≥ 0,01** → **Naplánuj** (stredné riziko). - **CVSS nie je známe** → **Naplánuj** (radšej posúďte, než prehliadnete). - Inak → **Informatívne**. Toto poradie má logiku: reálne zneužívanie (KEV) poráža všetko, kritická závažnosť sa rieši sama osebe, a kombinácia vysokej závažnosti s pravdepodobnosťou vytiahne nález nahor aj bez KEV. Neznáme CVSS zámerne padá na „Naplánuj" — nechceme, aby vypadla z radaru len preto, že ešte nemá skóre. ## Príklad na jednej zraniteľnosti Predstavte si, že v knižnici, ktorú používate, vyjde `CVE-2026-XXXX` s CVSS 8,1. Ako sa rozhodnúť? - **Je v KEV?** Ak áno → **Rieš teraz**, koniec debaty, bez ohľadu na ostatné čísla. - **Nie je v KEV, CVSS 8,1.** Nie je ≥ 9,0, takže pravidlo 2 nezaberie. Pozrieme EPSS. - **EPSS 0,15** (15 %). CVSS ≥ 7,0 a EPSS ≥ 0,10 → **Rieš teraz** (pravidlo 3). - **Keby bolo EPSS 0,03**, pravidlo 3 nezaberie, ale CVSS ≥ 7,0 → **Naplánuj** (pravidlo 4). Tá istá zraniteľnosť teda skončí ako „Rieš teraz" alebo „Naplánuj" podľa pravdepodobnosti zneužitia — a presne o to ide: nie každé vysoké CVSS je hasenie požiaru. A keby sa tá istá CVE o týždeň dostala do KEV, verdikt sa automaticky preklopí na „Rieš teraz" a spustí sa úvaha o hlásení podľa čl. 14. ## Čo si z toho odniesť Pre malú firmu je praktický záver jednoduchý: **KEV a Rieš teraz znamenajú dnes**, ostatné sa dá zaradiť do plánu. A pretože nové CVE aj nové KEV zápisy pribúdajú denne, nejde o jednorazovú kontrolu, ale o beh na pozadí. Ako sa reálne hlási cez platformu ENISA, keď nález skončí ako „aktívne zneužívaný", rozoberá [článok o čl. 14 krok za krokom](https://craguard.eu/sk/blog/cl-14-krok-za-krokom-enisa-platforma). ## Časté otázky - **Je vysoké CVSS vždy „Rieš teraz"?** Nie — samotné CVSS ≥ 9,0 áno, ale CVSS 7–9 závisí od EPSS a KEV. Preto kombinujeme viac signálov. - **Odkiaľ berieme EPSS a KEV?** EPSS od organizácie FIRST, KEV z katalógu CISA — oba verejné, aktualizované priebežne. - **Znamená „žiadny nález" bezpečnosť?** Nie. Databázy nevidia 0-day ani neznáme diery; absencia nálezu nie je záruka. - **Prečo neznáme CVSS padá na „Naplánuj"?** Aby nález nevypadol z radaru len preto, že ešte nemá skóre — radšej ho posúďte. ## Prečo jeden verdikt namiesto štyroch čísel Malá firma nemá kapacitu čítať pri každom náleze štyri metriky a rozhodovať sa nanovo. Zmysel verdiktu je spraviť rozhodnutie **za vás a konzistentne**: to isté pravidlo, tie isté prahy, každý raz. Vďaka tomu je aj audit trail dôveryhodný — pri kontrole viete ukázať, že ste sa nerozhodovali podľa nálady, ale podľa jasného pravidla, ktoré poráža KEV nad všetko a kombinuje závažnosť s pravdepodobnosťou. ## Ako pomáha CRAguard CRAguard denne porovná váš SBOM proti OSV, KEV a EPSS, každý nález ohodnotí presne týmto pravidlom a pri detaile ukáže *prečo* dostal daný verdikt. „Rieš teraz" vám príde e-mailom hneď, zvyšok v týždennom prehľade — aby ste 24-hodinovú lehotu z čl. 14 nikdy nezachytili neskoro. [Zistite, či sa vás CRA týka](https://craguard.eu/sk/checker), alebo sa [zaraďte do waitlistu](https://craguard.eu/sk#waitlist). *Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 14) a z verejných zdrojov CVE/NVD, CVSS a EPSS (FIRST) a KEV (CISA). Verdikt CRAguard je podklad pre posúdenie, nie potvrdenie, že ste zraniteľní alebo compliant.* Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Zdroje - [EUR-Lex — Regulation (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - [ENISA — Single Reporting Platform](https://www.enisa.europa.eu/) --- Zdroj: CRAguard — https://craguard.eu