# Advisory: kedy a ako zverejniť opravenú zraniteľnosť Canonical: https://craguard.eu/sk/blog/security-advisory-kedy-a-ako Language: sk Naposledy aktualizované: 2026-09-02 - [CRAguard](https://craguard.eu/sk)/ - [Blog](https://craguard.eu/sk/blog)/ - Advisory: kedy a ako zverejniť opravenú zraniteľnosť 23. 8. 2026 · CRAguard Zhrnutie Príloha I časť II nariadenia (EÚ) 2024/2847 žiada, aby výrobca po sprístupnení bezpečnostnej opravy zverejnil informácie o zraniteľnosti. Advisory je krátke oznámenie: čoho sa týka, ktoré verzie sú zasiahnuté, aká je závažnosť a ako sa aktualizovať. Vydáva sa spravidla až po dostupnosti opravy (koordinované zverejnenie). Ukazujeme, čo doň patrí a čo nie. Posledný krok procesu riešenia zraniteľností je ten najviditeľnejší: **advisory** — verejné oznámenie, že ste opravili bezpečnostný problém. Cyber Resilience Act ho vyžaduje v **Prílohe I, časť II**: po sprístupnení opravy má výrobca **zverejniť informácie o zraniteľnosti**. Poďme si ukázať, kedy ho vydať a čo doň napísať. ## Prečo advisory vôbec vydávať Advisory má dve úlohy naraz. Pre **používateľov** je to signál „aktualizujte sa a prečo" — bez neho nevedia, že tichý update opravuje niečo bezpečnostné, a odložia ho. Pre **vás** je to dôkaz, že proces funguje: transparentné, datované oznámenie, ktoré viete ukázať odberateľovi aj orgánu dohľadu. A pre celý ekosystém je to príspevok do databáz (napr. cez pridelené CVE), vďaka ktorému sa o probléme dozvedia aj tí, čo váš komponent používajú ďalej. ## Kedy ho zverejniť Načasovanie je jadro slova „koordinované". Platí jednoduché pravidlo: **advisory vydávate spravidla až vtedy, keď je oprava dostupná** — aby ste zverejnením neposkytli návod útočníkom skôr, než sa používatelia stihnú ochrániť. Ak dohoda s nahlasovateľom alebo iné okolnosti určia iný čas (napr. uplynutie dohodnutej lehoty), riadite sa tým. Cieľ je vždy rovnaký: v momente zverejnenia má mať používateľ **čo urobiť**. Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Čo má advisory obsahovať Dobré advisory je krátke a konkrétne. Malo by odpovedať na to, čo používateľ potrebuje vedieť, aby sa rozhodol a konal: - **Identifikátor a názov.** Vlastné číslo advisory a, ak je pridelené, CVE. - **Popis zraniteľnosti.** Čoho sa týka, akého typu problém to je — bez zbytočných detailov, ktoré by boli návodom na útok. - **Zasiahnuté produkty a verzie.** Ktoré verzie sú zraniteľné a ktorá už nie — toto je pre používateľa najdôležitejší riadok. - **Závažnosť a dopad.** Orientačná závažnosť (napr. CVSS) a čo hrozí, ak sa neaktualizuje. - **Ako sa opraviť.** Na akú verziu prejsť, prípadne dočasné zmiernenie (workaround), kým sa dá aktualizovať. - **Uznanie a dátum.** Kedy bolo vydané a prípadné poďakovanie nahlasovateľovi (podľa vašej [CVD policy](https://craguard.eu/sk/blog/cvd-policy-co-ma-obsahovat-sablona)). ## Čo doň nedávať Advisory nie je exploit. Vynechajte **presný technický návod na zneužitie** (proof-of-concept, ktorý útočníkovi ušetrí robotu), interné detaily infraštruktúry a osobné údaje. Rovnováha je jednoduchá: dosť na to, aby sa používateľ vedel rozhodnúť a ochrániť, nie viac. Rovnako sa vyhnite bagatelizovaniu („nič vážne") aj strašeniu — píšte vecne. ## Ako môže vyzerať krátke advisory Nemusí to byť dlhý dokument. Príklad štruktúry pre malú firmu: - **Názov:** „ADV-2026-003: Zraniteľnosť v spracovaní vstupu v komponente X". - **Zasiahnuté verzie:** 2.3.0 – 2.4.1. **Opravené v:** 2.4.2. - **Závažnosť:** vysoká (CVSS 8,1). **Dopad:** neoprávnený prístup k … pri splnení podmienky … - **Odporúčanie:** aktualizujte na 2.4.2. Dočasné zmiernenie: obmedzte … kým nemôžete aktualizovať. - **Dátum a poďakovanie:** vydané 2026-05-12, ďakujeme nahlasovateľovi (ak súhlasil). Toto je celý „recept" — používateľ okamžite vidí, či sa ho to týka, a čo urobiť. Žiadny proof-of-concept, žiadne interné detaily. ## Kam advisory zverejniť Advisory patrí na miesto, kde ho používatelia nájdu: verejná stránka „Security advisories" na vašom webe, prípadne v release notes k opravenej verzii. Ak máte pridelené CVE, jeho číslo uveďte, aby sa advisory dalo prepojiť s databázami (NVD, OSV). Staré advisories nemažte — tvoria históriu, ktorá je pre odberateľa aj orgán dohľadu dôkazom, že proces reálne beží. ## Ako to zapadá do reťaze Advisory je koniec reťaze, ktorá začína [nahlasovacím kanálom a security.txt](https://craguard.eu/sk/blog/security-txt-a-kanal-na-zranitelnosti), pokračuje [CVD politikou](https://craguard.eu/sk/blog/cvd-policy-co-ma-obsahovat-sablona) a životným cyklom nálezu (nový → posúdený → opravený → advisory). Keď máte tento tok zavedený, každé advisory je len prirodzený posledný krok, nie hasenie požiaru. A ak sa zraniteľnosť medzičasom stala aktívne zneužívanou, paralelne beží aj [hlásenie podľa čl. 14](https://craguard.eu/sk/blog/cl-14-krok-za-krokom-enisa-platforma) — to je iná povinnosť s vlastnými lehotami. ## Časté otázky - **Musíme mať CVE, aby sme vydali advisory?** Nie. CVE pomáha prepojiť advisory s databázami, ale advisory môžete vydať aj s vlastným identifikátorom. - **Máme zverejniť aj zraniteľnosti, ktoré sme opravili „potichu"?** Príloha I časť II žiada zverejniť informácie o zraniteľnosti po sprístupnení opravy — tiché opravy bez oznámenia sú v rozpore s duchom tejto povinnosti a navyše používatelia netušia, prečo aktualizovať. - **Koľko detailov je akurát?** Dosť, aby sa používateľ vedel rozhodnúť a ochrániť; nie tak veľa, aby to bol návod na útok. ## Prečo je advisory aj vo vašom záujme Okrem povinnosti má advisory praktický úžitok: keď používateľ vidí jasné „aktualizujte na 2.4.2, lebo …", oprava sa reálne nasadí a vy znížite počet zraniteľných inštalácií v teréne. Bez advisory zostane veľa používateľov na starej verzii, lebo nevedia, že tá „obyčajná" aktualizácia bola bezpečnostná. História advisories je zároveň dôkazom pre odberateľov, že svoj proces beriete vážne — čo oceníte pri [dodávateľských dotazníkoch](https://craguard.eu/sk/blog/dodavatelske-dotazniky-co-od-vas-chcu). ## Kľúčový bod Advisory je posledný a najviditeľnejší krok procesu riešenia zraniteľností — a **Príloha I časť II** ho vyžaduje: po sprístupnení opravy zverejniť informácie o zraniteľnosti. Časovanie je jadro slova „koordinované": vydávate ho spravidla až vtedy, keď je oprava dostupná, aby ste nedali útočníkom náskok pred používateľmi. Dobré advisory je krátke a konkrétne — identifikátor, popis, **zasiahnuté a opravené verzie**, závažnosť a dopad, ako sa opraviť, dátum. Vynechajte proof-of-concept a interné detaily; cieľ je, aby používateľ vedel, či sa ho to týka a čo urobiť. Advisory má úžitok aj pre vás: viac používateľov sa reálne aktualizuje, čím znížite počet zraniteľných inštalácií, a história advisories je dôkazom, že proces beží — čo oceníte pri dodávateľských dotazníkoch. Ak sa zraniteľnosť medzičasom stala aktívne zneužívanou, súbežne beží aj hlásenie podľa čl. 14 — to je iná povinnosť s vlastnými lehotami. ## Ako pomáha CRAguard CRAguard predvyplní advisory z nálezu (zasiahnuté verzie, závažnosť, opravená verzia), necháva vás text upraviť a publikuje ho na vašej verejnej stránke advisories — všetko s audit trailom, ktorý potom viete ukázať odberateľovi. [Zistite, či sa vás CRA týka](https://craguard.eu/sk/checker), alebo sa [zaraďte do waitlistu](https://craguard.eu/sk#waitlist). *Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (Príloha I časť II) a usmernenia Európskej komisie zo dňa 27. 7. 2026.* Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Zdroje - [EUR-Lex — Regulation (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - [ENISA — Single Reporting Platform](https://www.enisa.europa.eu/) --- Zdroj: CRAguard — https://craguard.eu