HLÁŠENÍ PODLE ČLÁNKU 14

Dvě povinnosti, dvě kaskády, jeden článek

Článek 14 nařízení (EU) 2024/2847 je použitelný od 11. září 2026 (čl. 71 odst. 2) a ukládá výrobci dvě samostatné ohlašovací povinnosti. První se týká každé aktivně zneužívané zranitelnosti obsažené v produktu s digitálními prvky, o níž se výrobce dozví (čl. 14 odst. 1). Druhá se týká každého závažného incidentu s dopadem na bezpečnost produktu, o němž se výrobce dozví (čl. 14 odst. 3). Obě oznámení se podávají současně týmu CSIRT určenému jako koordinátor a agentuře ENISA, a to prostřednictvím jednotné platformy pro podávání zpráv zřízené podle čl. 16.

Rozdíl mezi nimi není formální. Každá z obou povinností má vlastní spouštěč, vlastní obsah zpráv a hlavně vlastní počátky běhu lhůt. Nejčastější chyba, kterou v přípravě vidíme, je proces napsaný jako jeden řetěz čtyř termínů — 24 hodin, 72 hodin, 14 dnů, měsíc. Tak to nařízení nestaví. Jsou to dvě paralelní kaskády, každá o třech zprávách, a poslední zpráva v každé z nich se počítá od něčeho jiného.

Vedle povinného hlášení stojí ještě dobrovolné podávání zpráv podle čl. 15, které má úplně jiný režim a jiné důsledky, a informování uživatelů podle čl. 14 odst. 8, které se plní vedle hlášení orgánům, ne místo něj. Tahle stránka jde postupně: nejdřív rozhodnutí, jestli povinnost vůbec vznikla, pak lhůty, pak obsah zpráv a komu se podávají, a nakonec co se s oznámením děje dál.

Jedna věc, kterou je poctivé říct hned. Nařízení v čl. 14 až 17 neupravuje vztah k dalším ohlašovacím povinnostem, které na tutéž událost mohou v konkrétním případě dopadat z jiných předpisů. Neplatí tedy automaticky, že jedno hlášení vyřídí všechno — souběh je nutné vyhodnotit zvlášť podle toho, čím je vaše organizace vázána.

• Kaskáda u zranitelnosti (čl. 14 odst. 2) — včasné varování do 24 hodin, oznámení o zranitelnosti do 72 hodin, závěrečná zpráva nejpozději do 14 dnů od okamžiku, kdy začalo být k dispozici nápravné nebo zmírňující opatření.
• Kaskáda u závažného incidentu (čl. 14 odst. 4) — včasné varování do 24 hodin, oznámení o incidentu do 72 hodin, závěrečná zpráva nejpozději do jednoho měsíce od podání 72hodinového oznámení.
• Průběžná zpráva není čtvrtý krok. Podle čl. 14 odst. 6 o ni v případě potřeby žádá tým CSIRT určený jako koordinátor, který obdržel oznámení jako první, a týká se relevantního vývoje. Pevnou lhůtu nemá a bez žádosti se nepodává.
• Informování uživatelů (čl. 14 odst. 8) je samostatná povinnost vedle hlášení orgánům. Výrobce informuje zasažené uživatele, případně všechny uživatele, pokud možno ve strukturovaném a strojově čitelném formátu.
• Dobrovolné hlášení (čl. 15) může podat výrobce i kdokoli jiný, a to i k věcem, které povinné hlášení nespouštějí — například k události, která k incidentu téměř vedla.
• Správci softwaru s otevřeným zdrojovým kódem mají rozsah povinnosti zúžený: čl. 14 odst. 1 se na ně uplatní do té míry, do jaké jsou zapojeni do vývoje produktů s digitálními prvky, a čl. 14 odst. 3 a 8 do té míry, do jaké závažné incidenty ovlivňují síť a informační systémy, které k vývoji takových produktů poskytují (čl. 24 odst. 3).

Sankční rámec nařízení je v čl. 64 a na téhle stránce ho nerozebíráme — patří k dozoru, ne k postupu. Co je pro plánování podstatnější: obě lhůty 24 hodin běží od okamžiku, kdy se výrobce dozví, tedy i v pátek večer. Proces, který předpokládá, že rozhodnutí padne na poradě v pondělí, nesplní ani první krok.

Rozhodnutí první: je zranitelnost aktivně zneužívaná?

Nařízení pracuje se třemi odstupňovanými pojmy a povinné hlášení spouští jen ten poslední z nich. Zranitelnost je slabina, snížená odolnost nebo chyba produktu, kterou lze zneužít v rámci kybernetické hrozby (čl. 3 bod 40). Zneužitelná zranitelnost je taková, kterou lze za praktických provozních podmínek účinně zneužít nepřátelským subjektem (čl. 3 bod 41). A aktivně zneužívaná zranitelnost je ta, u níž existují spolehlivé důkazy o tom, že ji škodlivý aktér v systému zneužil bez svolení vlastníka systému (čl. 3 bod 42).

Povinnost podle čl. 14 odst. 1 spouští výhradně třetí kategorie. Prakticky to znamená, že běžný tok práce s CVE ohlašovací povinnost nezakládá — ani vysoké skóre závažnosti, ani existence funkčního proof of concept, ani to, že se zranitelnost dá u vás v laboratoři spolehlivě zneužít. Všechno tohle jsou důvody pro rychlou opravu, ne pro hlášení.

V definici jsou dva prvky, které je potřeba číst zvlášť. Prvním jsou spolehlivé důkazy o skutečném zneužití — nikoli podezření, nikoli predikce, nikoli statistický model. Druhým je absence svolení vlastníka systému, což je slovní spojení, kvůli kterému se pod definici nevejde autorizované penetrační testování ani vaše vlastní ověření zneužitelnosti ve zkušebním prostředí.

Zároveň nikde není napsáno, že důkaz musí přijít zvenčí nebo z veřejného zdroje. Pokud spolehlivý důkaz o zneužití má výrobce z vlastní telemetrie nebo z reakce na incident u zákazníka, povinnost vzniká tímto okamžikem — a od něj se počítá 24hodinová lhůta, ne od chvíle, kdy se zranitelnost objeví v nějakém veřejném seznamu.

• Co povinnost nespouští — zveřejněné CVE bez důkazu o zneužití, vysoké skóre závažnosti, veřejně dostupný proof of concept, výsledek vlastního testu zneužitelnosti, výstup skeneru nebo predikce pravděpodobnosti zneužití.
• Co povinnost spouští — spolehlivý důkaz, že zranitelnost ve vašem produktu skutečně zneužil škodlivý aktér v systému, jehož vlastník k tomu nedal svolení. Zdroj důkazu nařízení nepředepisuje.
• Autorizovaný pentest do definice nespadá — testování se souhlasem vlastníka systému nesplňuje podmínku „bez svolení vlastníka systému“. Nález z pentestu je vstup do opravy, ne důvod k hlášení.
• Rozhodnutí musí mít vlastníka. Posouzení, jestli jsou důkazy spolehlivé, je odborný úsudek pod časovým tlakem. Kdo ho v konkrétní firmě dělá a kdo ho může udělat mimo pracovní dobu, se určuje předem, ne až při první události.
• Zapisujte okamžik, kdy jste se dozvěděli, a čím byl doložen. Je to výchozí bod obou lhůt a jediný údaj, kterým se dá zpětně doložit, že jste je dodrželi.
• Sledujte komponenty i produkt zvlášť — zranitelnost v knihovně třetí strany, která je součástí vašeho produktu, je zranitelností obsaženou ve vašem produktu. Bez přehledu o složení produktu tuhle vazbu neuděláte včas.

Nejistota je tady normální stav: první informace bývá neúplná a rozhodnutí padá dřív, než je analýza hotová. Právě proto má nařízení tříkrokovou strukturu — včasné varování snese málo údajů a upřesňuje se dalšími zprávami. Když si na tenhle postup tým zvykne, nemusí čekat na jistotu, kterou v prvních hodinách nikdo nemá.

Rozhodnutí druhé: je incident závažný?

Druhá povinnost stojí na dvou vrstvách definic. Incidentem s dopadem na bezpečnost produktu s digitálními prvky se rozumí incident, který negativně ovlivňuje nebo může negativně ovlivnit schopnost produktu chránit dostupnost, autenticitu, integritu nebo důvěrnost dat nebo funkcí (čl. 3 bod 44). Samotný pojem incident je přitom převzatý z čl. 6 bodu 6 směrnice (EU) 2022/2555, tedy z NIS2 (čl. 3 bod 43).

Hlásí se ale jen incident závažný, a práh závažnosti je v čl. 14 odst. 5. Ten je splněn, pokud platí alespoň jedna ze dvou alternativních podmínek. Podle písmene a) jde o incident, který negativně ovlivňuje nebo může negativně ovlivnit schopnost produktu chránit dostupnost, autenticitu, integritu nebo důvěrnost citlivých či důležitých dat nebo funkcí. Podle písmene b) jde o incident, který vedl nebo může vést k zavedení či spuštění škodlivého kódu v produktu nebo v síti a informačních systémech uživatele tohoto produktu.

Porovnejte obě znění vedle sebe a uvidíte, že rozdíl mezi obecnou definicí v čl. 3 bodě 44 a prahem v čl. 14 odst. 5 písm. a) je jediné slovní spojení: prahová podmínka mluví o citlivých či důležitých datech nebo funkcích, obecná definice o datech nebo funkcích bez tohoto zúžení. Nikoli každý incident s dopadem na bezpečnost produktu je proto závažný a hlásitelný — a naopak, kdo si obě ustanovení splete, bude hlásit všechno, nebo nic.

Podmínka b) je psaná jinak než a): nemluví o citlivosti dat, ale o škodlivém kódu, a to výslovně i o škodlivém kódu v síti a informačních systémech uživatele produktu. Kdo dodává aktualizace nebo podepsané artefakty, měl by si ji přečíst pozorně a s ohledem na to, jak se jeho produkt k zákazníkovi dostává.

• Dvě podmínky, stačí jedna. Podmínky v čl. 14 odst. 5 písm. a) a b) jsou alternativní. Nemá smysl vážit obě dohromady — jakmile je splněná jedna, incident je závažný.
• „Citlivá či důležitá“ si vyjasněte předem. Nařízení ten pojem u prahu blíž nerozvádí, takže odpověď musí vycházet z vašeho produktu: která data a které funkce jsou pro jeho bezpečnost nosné. Tohle je práce na klidné odpoledne, ne na první hodinu události.
• Rozlišujte incident u vás a incident dotýkající se produktu. Předmětem hlášení podle čl. 14 odst. 3 je incident s dopadem na bezpečnost produktu, ne každá bezpečnostní událost ve firemní infrastruktuře výrobce.
• „Může negativně ovlivnit“ je součást definice — obě znění pracují i s potenciálním dopadem. Argument, že se nic neprokázalo, sám o sobě závažnost nevylučuje.
• Vazba na uživatele. Podmínka písmene b) výslovně počítá i se sítí a informačními systémy uživatele produktu, ne jen se samotným produktem.
• Rozhodnutí zapište i tehdy, když nehlásíte. Záznam, proč událost práh závažnosti nesplnila a kdo to posoudil, je jediné, co po letech doloží, že rozhodnutí bylo vědomé.

V praxi je užitečné mít dopředu připravené dvě až tři modelové situace typické pro váš produkt a předem rozhodnuté, na kterou stranu prahu spadají. Ne kvůli papíru — kvůli tomu, aby se v ostré situaci nediskutovalo o výkladu, ale o věci.

Lhůty: dvě paralelní kaskády, ne jeden řetěz

Tohle je místo, kde vzniká většina nedorozumění, a proto je dobré ho číst pomalu. U aktivně zneužívané zranitelnosti se podle čl. 14 odst. 2 podává včasné varování bez zbytečného odkladu a v každém případě do 24 hodin od okamžiku, kdy se o zranitelnosti výrobce dozví; oznámení o zranitelnosti bez zbytečného odkladu a v každém případě do 72 hodin od téhož okamžiku; a závěrečná zpráva nejpozději do 14 dnů od okamžiku, kdy začalo být k dispozici nápravné nebo zmírňující opatření.

Ta poslední lhůta je klíčová a čte se často špatně. Čtrnáct dnů neběží od zjištění zranitelnosti ani od 72hodinového oznámení, ale od dostupnosti opravy či mitigace. Dokud opatření není k dispozici, závěrečná zpráva se nepodává — a naopak, jakmile je k dispozici, začíná běžet lhůta bez ohledu na to, kolik času uplynulo od začátku.

U závažného incidentu vypadá začátek stejně a konec jinak. Podle čl. 14 odst. 4 se včasné varování podává bez zbytečného odkladu a v každém případě do 24 hodin od okamžiku, kdy se výrobce o incidentu dozví, oznámení o incidentu do 72 hodin od téhož okamžiku a závěrečná zpráva nejpozději do jednoho měsíce od podání 72hodinového oznámení podle písmene b). Počátek běhu poslední lhůty je tedy jiný než u zranitelnosti: navazuje na vaši vlastní předchozí zprávu.

Z toho plynou dvě věci, které se vyplatí mít napsané v procesu velkými písmeny. Lhůta 14 dnů se na incidenty nevztahuje. Lhůta jednoho měsíce se nevztahuje na zranitelnosti. Kdo obojí spojí do jedné tabulky se čtyřmi termíny, dřív nebo později podá závěrečnou zprávu pozdě, nebo naopak zbytečně brzy uzavře věc, u které ještě není hotová oprava.

A ještě jedna vsuvka k formulaci lhůt. První dva kroky obou kaskád jsou psané jako „bez zbytečného odkladu a v každém případě do“ určité doby, závěrečná zpráva pak jako „nejpozději do“. V obou případech je horní hranice strop, ne cíl. Jestliže víte dost už po šesti hodinách, nemáte důvod čekat do dvacáté čtvrté.

• Zranitelnost, krok 1 — včasné varování do 24 hodin od okamžiku, kdy se výrobce dozví (čl. 14 odst. 2 písm. a).
• Zranitelnost, krok 2 — oznámení o zranitelnosti do 72 hodin od okamžiku, kdy se výrobce dozví (čl. 14 odst. 2 písm. b). Podává se, pokud příslušné informace nebyly poskytnuty už dřív.
• Zranitelnost, krok 3 — závěrečná zpráva do 14 dnů od dostupnosti nápravného nebo zmírňujícího opatření (čl. 14 odst. 2 písm. c).
• Incident, krok 1 — včasné varování do 24 hodin od okamžiku, kdy se výrobce dozví (čl. 14 odst. 4 písm. a).
• Incident, krok 2 — oznámení o incidentu do 72 hodin od okamžiku, kdy se výrobce dozví (čl. 14 odst. 4 písm. b).
• Incident, krok 3 — závěrečná zpráva do jednoho měsíce od podání 72hodinového oznámení podle písmene b) (čl. 14 odst. 4 písm. c).
• Průběžná zpráva — bez pevné lhůty, jen na žádost týmu CSIRT určeného jako koordinátor, který obdržel oznámení jako první, a to o relevantním vývoji (čl. 14 odst. 6).

Praktický důsledek pro nástroje: v evidenci potřebujete dvě různá časová razítka. U zranitelnosti okamžik, kdy se výrobce dozvěděl, a okamžik, kdy začalo být k dispozici nápravné nebo zmírňující opatření. U incidentu okamžik, kdy se výrobce dozvěděl, a čas odeslání 72hodinového oznámení. Bez druhého razítka nespočítáte, kdy má být hotová závěrečná zpráva.

Co se do které zprávy píše

Obsah jednotlivých zpráv je stanoven přímo v článku 14. Nařízení nemá přílohu věnovanou hlášení — osm příloh upravuje jiné věci, od základních požadavků na kybernetickou bezpečnost přes kategorie důležitých a kritických produktů po obsah technické dokumentace a postupy posuzování shody. Kdo hledá formulář v příloze, hledá marně.

U včasného varování je rozdíl mezi oběma kaskádami drobný, ale konkrétní. U aktivně zneužívané zranitelnosti výrobce ve včasném varování případně uvede členské státy, na jejichž území je podle jeho vědomostí produkt zpřístupněn (čl. 14 odst. 2 písm. a). U závažného incidentu musí včasné varování obsahovat alespoň informaci, zda existuje podezření, že byl incident způsoben nezákonným nebo škodlivým jednáním, a případně také dotčené členské státy (čl. 14 odst. 4 písm. a). Tenhle povinný prvek u varování o zranitelnosti není.

Oznámení do 72 hodin je u zranitelnosti tvořeno dostupnými obecnými informacemi o dotčeném produktu, o obecné povaze zneužívání a o dotčené zranitelnosti, dále informacemi o veškerých přijatých nápravných nebo zmírňujících opatřeních a o opatřeních, která mohou přijmout uživatelé; případně také tím, nakolik výrobce považuje oznámené informace za citlivé (čl. 14 odst. 2 písm. b). U incidentu jde o dostupné obecné informace o povaze incidentu, o počátečním posouzení incidentu, o přijatých nápravných nebo zmírňujících opatřeních a o opatřeních, která mohou přijmout uživatelé, a případně také o míru citlivosti oznámených informací (čl. 14 odst. 4 písm. b).

Uvedení míry citlivosti není formalita. Právě na ni navazuje možnost prvního přijímajícího týmu CSIRT odložit rozesílání oznámení dalším týmům, o čemž je řeč v samostatné sekci níže. Kdo tenhle údaj nevyplní, přichází o nástroj, který nařízení nabízí právě pro citlivé případy.

Závěrečné zprávy mají u obou kaskád po třech povinných prvcích, které nařízení stanoví jako minimum, a liší se obsahem. U zranitelnosti se uvádí popis zranitelnosti včetně její závažnosti a dopadu, případné informace o každém škodlivém aktéru, který ji zneužil nebo zneužívá, a podrobné informace o bezpečnostních aktualizacích nebo jiných nápravných opatřeních dostupných k jejímu odstranění (čl. 14 odst. 2 písm. c body i až iii). U incidentu se uvádí podrobný popis incidentu včetně jeho závažnosti a dopadu, druh hrozby nebo základní příčina, která incident pravděpodobně spustila, a učiněná i probíhající zmírňující opatření (čl. 14 odst. 4 písm. c body i až iii).

• Včasné varování — zranitelnost: případně členské státy, na jejichž území je podle vědomostí výrobce produkt zpřístupněn.
• Včasné varování — incident: alespoň informace, zda je podezření, že incident způsobilo nezákonné nebo škodlivé jednání; případně dotčené členské státy.
• Oznámení do 72 hodin — zranitelnost: obecné informace o produktu, o obecné povaze zneužívání a o zranitelnosti, přijatá nápravná či zmírňující opatření, opatření pro uživatele, případně míra citlivosti.
• Oznámení do 72 hodin — incident: obecné informace o povaze incidentu, počáteční posouzení, přijatá nápravná či zmírňující opatření, opatření pro uživatele, případně míra citlivosti.
• Závěrečná zpráva — zranitelnost: popis zranitelnosti se závažností a dopadem, informace o škodlivém aktéru, podrobnosti o dostupných bezpečnostních aktualizacích nebo jiných nápravných opatřeních.
• Závěrečná zpráva — incident: podrobný popis incidentu se závažností a dopadem, druh hrozby nebo pravděpodobná základní příčina, učiněná a probíhající zmírňující opatření.
• Formát a postupy může Komise podle čl. 14 odst. 10 dále upřesnit prováděcími akty, a to ve spolupráci se sítí CSIRT a s agenturou ENISA. Zmocnění je fakultativní — nařízení říká, že Komise tak učinit může, nikoli musí.

Šablony si připravte předem a pište je tak, aby šly vyplnit z toho, co v prvních hodinách skutečně víte. Formulace typu „potvrzeno“ nebo „vyloučeno“ v prvním varování obvykle nemáte čím podložit; nařízení je po vás v tom kroku ani nechce.

Komu se hlásí a jak se určí „váš“ tým CSIRT

Oznámení se podávají prostřednictvím jednotné platformy pro podávání zpráv, a to za použití jednoho z koncových bodů elektronického oznamování podle čl. 16 odst. 1. Konkrétně se podává přes koncový bod týmu CSIRT určeného jako koordinátor toho členského státu, v němž má výrobce hlavní provozovnu v Unii, a oznámení je současně přístupné agentuře ENISA (čl. 14 odst. 7). Nejde tedy o dvě různá podání na dvě adresy — je to model, ve kterém se hlásí jednou.

Týmem CSIRT určeným jako koordinátor se rozumí tým, který byl určen koordinátorem podle čl. 12 odst. 1 směrnice (EU) 2022/2555 (čl. 3 bod 51). Je to tedy tentýž subjekt, který v daném členském státě koordinuje zveřejňování zranitelností podle NIS2.

Hlavní provozovnu má výrobce v tom členském státě, v němž jsou nejčastěji přijímána rozhodnutí týkající se kybernetické bezpečnosti jeho produktů s digitálními prvky. Nelze-li takový stát určit, je jí stát, v němž má výrobce provozovnu s nejvyšším počtem zaměstnanců v Unii (čl. 14 odst. 7 druhý pododstavec). Všimněte si, že kritériem není sídlo ani místo vývoje, ale místo rozhodování o kybernetické bezpečnosti produktů.

Pro výrobce bez hlavní provozovny v Unii má čl. 14 odst. 7 třetí pododstavec kaskádu čtyř kroků v pevném pořadí: členský stát zplnomocněného zástupce jednajícího za nejvyšší počet produktů výrobce, pak členský stát dovozce uvádějícího na trh nejvyšší počet produktů, pak členský stát distributora dodávajícího na trh nejvyšší počet produktů a nakonec členský stát s nejvyšším počtem uživatelů produktů výrobce.

Poslední krok kaskády má praktickou úlevu. Je-li příslušnost určena podle písmene d), tedy podle nejvyššího počtu uživatelů, může výrobce podávat oznámení o jakékoli následné aktivně zneužívané zranitelnosti nebo závažném incidentu témuž týmu CSIRT, jemuž podal prvotní oznámení (čl. 14 odst. 7 čtvrtý pododstavec). Nemusí tedy počty uživatelů přepočítávat před každým dalším hlášením.

• Určete si příslušnost dřív, než ji budete potřebovat. Zjišťovat, kde jsou nejčastěji přijímána rozhodnutí o kybernetické bezpečnosti vašich produktů, v prvních hodinách události je zbytečné zdržení.
• Kritérium hlavní provozovny je rozhodovací, ne organizační — rozhoduje místo, kde padají rozhodnutí o kybernetické bezpečnosti produktů, a teprve podpůrně počet zaměstnanců v Unii.
• Bez provozovny v Unii se postupuje kaskádou v pořadí zplnomocněný zástupce, dovozce, distributor, počet uživatelů. Pořadí není na výběr.
• Seznam členských států, kde je produkt zpřístupněn, se do zpráv uvádí případně, tedy podle vědomostí výrobce (čl. 14 odst. 2 písm. a a odst. 4 písm. a). U produktů prodávaných přes partnery bývá tenhle přehled to, co v ostré situaci chybí nejdřív.
• Jednotnou platformu zřizuje ENISA a řídí a udržuje její každodenní provoz; struktura platformy umožňuje členským státům a agentuře ENISA zavést vlastní koncové body elektronického oznamování (čl. 16 odst. 1). Platforma slouží povinným oznámením podle čl. 14 odst. 1 a 3 i dobrovolným podle čl. 15 odst. 1 a 2.
• Bezpečnost platformy je řešená samostatně — ENISA přijímá technická, provozní a organizační opatření k řízení rizik a bezpečnostní incident s dopadem na platformu bez zbytečného odkladu oznamuje síti CSIRT a Komisi (čl. 16 odst. 4). Specifikace opatření pro platformu i koncové body poskytuje ve spolupráci se sítí CSIRT tak, aby se u zranitelností bez dostupné nápravy postupovalo podle přísných bezpečnostních protokolů a podle zásady „vědět jen to nejnutnější“ (čl. 16 odst. 5).

Dvě věci si ověřte přímo u zdroje, protože se mohou v čase měnit a my je tu proto netvrdíme: aktuální provozní stav jednotné platformy a postup registrace na straně ENISA, a to, který tým je v Česku určen jako koordinátor a jak se s ním komunikuje. Na lhůtách to nic nemění — 24 hodin běží od okamžiku, kdy se o věci dozvíte, ne od okamžiku, kdy máte vyřízený přístup.

Co se s oznámením děje po odeslání

Odesláním práce nekončí, ale přestává být jen vaše. Tým CSIRT určený jako koordinátor, který obdrží oznámení jako první, jej prostřednictvím jednotné platformy neprodleně rozešle týmům CSIRT určeným jako koordinátoři v těch státech, na jejichž území byl podle informací výrobce produkt zpřístupněn (čl. 16 odst. 2 první pododstavec). Právě proto se v oznámení uvádějí dotčené členské státy.

Za výjimečných okolností, zejména na žádost výrobce a s ohledem na uvedenou úroveň citlivosti informací, může být rozesílání z opodstatněných důvodů kybernetické bezpečnosti odloženo na nezbytně nutnou dobu. Tým CSIRT musí o takovém rozhodnutí neprodleně informovat agenturu ENISA, odklad zdůvodnit a uvést, kdy oznámení rozešle; ENISA mu při uplatňování těchto důvodů může být nápomocna (čl. 16 odst. 2 druhý pododstavec).

Podmínky pro tenhle odklad doplnilo nařízení Komise v přenesené pravomoci (EU) 2026/881 ze dne 11. prosince 2025, vyhlášené 20. dubna 2026 na základě zmocnění v čl. 14 odst. 9. Odložit kvůli povaze informací lze jen tehdy, převáží-li rizika rozesílání nad přínosy a nelze-li je zmírnit protokoly jako TLP nebo PAP, a je-li navíc splněna alespoň jedna ze čtyř podmínek jeho čl. 3: výrobce oznámil, že do 72 hodin bude k dispozici účinné zmírňující opatření; informace v oznámení postačují k vytvoření techniky zneužívání i subjektům s omezenými dovednostmi; tým CSIRT může sdílet dostatečné části oznámení, aby ostatní zavedly zmírňující opatření; nebo jde o koordinované zveřejňování zranitelností, v němž tým CSIRT vystupuje jako důvěryhodný zprostředkovatel.

Totéž nařízení řeší i dvě situace na straně příjemců. Zaslání oznámení konkrétnímu týmu CSIRT lze odložit, pokud byl tento tým zasažen kybernetickým bezpečnostním incidentem zpochybňujícím jeho schopnost zajistit důvěrnost, nebo je-li dostatečný důvod se domnívat, že jeho schopnosti k zajištění důvěrnosti nestačí, a to do doby, než tým informuje síť CSIRT o obnovení schopnosti, respektive doloží odstranění nedostatků (čl. 4). A pokud ENISA podle čl. 16 odst. 4 nařízení 2024/2847 informovala síť CSIRT, že incidentem byla zasažena samotná platforma, lze rozesílání přes ni odložit, dokud ENISA neoznámí obnovení její schopnosti zajistit důvěrnost (čl. 5).

Zvláštní režim má přístup agentury ENISA. Za zvláště výjimečných okolností — uvede-li výrobce v 72hodinovém oznámení, že je zranitelnost aktivně zneužívána a podle dostupných informací není zneužívána v žádném jiném členském státě než v tom, ve kterém působí tým CSIRT určený jako koordinátor, jemuž ji oznámil, že by okamžité rozesílání pravděpodobně vedlo k poskytnutí informací odporujících zásadním zájmům daného členského státu, nebo že zranitelnost představuje bezprostřední vysoké kybernetické bezpečnostní riziko vyplývající z dalšího šíření informací — jsou agentuře ENISA souběžně zpřístupněny pouze informace o tom, že výrobce podal oznámení, obecné informace o produktu a o obecné povaze zneužívání a údaj, že byly uvedeny bezpečnostní důvody (čl. 16 odst. 2 třetí pododstavec). Domnívá-li se ENISA i z takto omezených informací, že existuje systémové riziko ovlivňující bezpečnost na vnitřním trhu, doporučí prvnímu přijímajícímu týmu CSIRT, aby úplné oznámení zaslal ostatním koordinátorům i jí samotné.

Poslední odbočka k odkladu se týká koordinovaného zveřejňování zranitelností. Byl-li tým CSIRT na aktivně zneužívanou zranitelnost upozorněn v rámci postupu podle čl. 12 odst. 1 směrnice (EU) 2022/2555, může rozesílání odložit na nezbytně nutnou dobu, dokud nezíská souhlas stran zapojených do koordinovaného zveřejňování; výrobcům to nebrání zranitelnost oznámit dobrovolně (čl. 16 odst. 6).

• Odklad je možnost, ne povinnost — nařízení 2026/881 v bodě odůvodnění 1 výslovně uvádí, že první přijímající tým CSIRT rozesílání odložit může, avšak není povinen tak učinit.
• Podmínky odkladu se netýkají přístupu ENISA. Ten lze omezit jen za zvláště výjimečných okolností podle čl. 16 odst. 2 třetího pododstavce nařízení 2024/2847, a to výhradně ve vztahu k 72hodinovému oznámení o zranitelnosti podle čl. 14 odst. 2 písm. b) — bod odůvodnění 2 nařízení 2026/881.
• Jediný členský stát dodání — uvede-li výrobce, že je produkt dodáván pouze na trh členského státu prvního přijímajícího týmu CSIRT, nemusí tento tým oznámení zasílat žádnému jinému (bod odůvodnění 7 nařízení 2026/881).
• K orgánům dozoru nad trhem se hlášení dostane přes CSIRT. Po obdržení oznámení poskytnou týmy CSIRT určené jako koordinátoři orgánům dozoru nad trhem ve svých členských státech ty oznámené informace, které jsou nezbytné k plnění jejich povinností podle nařízení (čl. 16 odst. 3). Výrobce tedy nepodává oznámení dozoru přímo.
• Informování veřejnosti — je-li to nezbytné k prevenci nebo zmírnění závažného incidentu, k řešení probíhajícího incidentu, nebo je-li zveřejnění jinak ve veřejném zájmu, může tým CSIRT po konzultaci s dotčeným výrobcem a případně ve spolupráci s ENISA o incidentu informovat veřejnost, nebo o to požádat výrobce (čl. 17 odst. 2).
• Zápis do evropské databáze zranitelností — poté, co je k dispozici bezpečnostní aktualizace nebo jiné nápravné či zmírňující opatření, přidá ENISA po dohodě s výrobcem veřejně známou oznámenou zranitelnost do databáze zřízené podle čl. 12 odst. 2 směrnice (EU) 2022/2555 (čl. 17 odst. 5).
• Sdílení na operativní úrovni — ENISA může oznámené informace poskytovat síti EU-CyCLONe zřízené článkem 16 směrnice (EU) 2022/2555, jsou-li relevantní pro koordinované řešení rozsáhlých incidentů a krizí (čl. 17 odst. 1).
• Oznámení nezvyšuje odpovědnost. Podle čl. 17 odst. 4 nepředstavuje samotné oznámení podle čl. 14 odst. 1 a 3 ani podle čl. 15 odst. 1 a 2 pro oznamující subjekt vyšší míru právní odpovědnosti.

Z obdržených oznámení vzniká také agregovaný výstup: ENISA každých 24 měsíců vypracuje odbornou zprávu o nových trendech kybernetických bezpečnostních rizik u produktů s digitálními prvky a předloží ji skupině pro spolupráci podle článku 14 směrnice (EU) 2022/2555; první zpráva má být předložena do 24 měsíců ode dne, kdy se začaly uplatňovat povinnosti podle čl. 14 odst. 1 a 3 (čl. 17 odst. 3).

Informování uživatelů a dobrovolné hlášení podle čl. 15

Hlášení orgánům je jen jedna polovina povinnosti. Podle čl. 14 odst. 8 výrobce po zjištění aktivně zneužívané zranitelnosti nebo závažného incidentu informuje zasažené uživatele produktu, a je-li to nezbytné, všechny uživatele, o zranitelnosti nebo incidentu a v případě potřeby i o opatřeních na zmírnění rizik a nápravných opatřeních, která mohou uživatelé přijmout. Má to být pokud možno ve strukturovaném, strojově čitelném a snadno automaticky zpracovatelném formátu.

Ustanovení má i pojistku. Pokud výrobce uživatele včas neinformuje, mohou tak učinit týmy CSIRT, které oznámení obdržely, je-li to přiměřené a nezbytné. Jinými slovy, sdělení zákazníkům nemusí vždy zůstat ve vaší režii — a to je dobrý důvod mít komunikační část procesu připravenou stejně jako tu formální.

Vedle povinného režimu existuje dobrovolné podávání zpráv. Podle čl. 15 odst. 1 mohou výrobci i jiné fyzické nebo právnické osoby oznámit týmu CSIRT určenému jako koordinátor nebo agentuře ENISA jakoukoli zranitelnost produktu s digitálními prvky a kybernetické hrozby ovlivňující jeho rizikový profil. Podle odstavce 2 lze stejným způsobem oznámit i jakýkoli incident s dopadem na bezpečnost produktu a rovněž významné události, které k takovému incidentu téměř vedly.

Dobrovolný režim má tři pravidla, která je užitečné znát předem. Tým CSIRT může před zpracováním dobrovolných oznámení upřednostnit zpracování povinných. Oznámí-li aktivně zneužívanou zranitelnost nebo závažný incident někdo jiný než výrobce, informuje o tom tým CSIRT bez zbytečného odkladu výrobce. A dobrovolné oznámení nesmí vést k uložení dalších povinností oznamovateli, kterým by jinak nepodléhal (čl. 15 odst. 3, 4 a 5).

• Zasažení uživatelé, případně všichni — rozsah adresátů závisí na tom, co je nezbytné; nařízení počítá s oběma variantami (čl. 14 odst. 8).
• Strojově čitelný formát — požadavek je psaný jako „pokud možno“, ale ukazuje směr: sdělení má být zpracovatelné automaticky na straně zákazníka, ne jen čitelné člověkem.
• Když neinformujete včas, může to udělat CSIRT, je-li to přiměřené a nezbytné. Vaše verze sdělení tedy nemusí být ta jediná, kterou zákazník uvidí.
• Dobrovolně lze hlásit i to, co povinnost nespouští — zranitelnost bez důkazu o zneužívání, hrozbu ovlivňující rizikový profil produktu, incident pod prahem závažnosti i událost, která k incidentu téměř vedla (čl. 15 odst. 1 a 2).
• Dobrovolné oznámení nezakládá další povinnosti oznamovateli, jimž by jinak nepodléhal (čl. 15 odst. 5).
• Podpora pro menší výrobce — týmy CSIRT určené jako koordinátoři poskytují v souvislosti s ohlašovací povinností podle čl. 14 helpdesk podporu výrobcům, především mikropodnikům a malým či středním podnikům (čl. 17 odst. 6).

Komunikaci se zákazníky si nepleťte s hlášením. Text pro tým CSIRT a text pro uživatele mají jiného adresáta, jiný účel a jinou míru podrobnosti — a v ostré situaci vznikají obvykle ve stejnou hodinu. Kdo je píše, se určuje předem.

Příprava na 11. září 2026: co mít hotové předem

Tahle sekce už nepopisuje, co nařízení vyžaduje, ale co se v přípravě osvědčuje. Je to naše doporučení z projektů, ne požadavek předpisu, a podle typu produktu se pořadí mění.

Východisko je jednoduché: čl. 14 nepřidává práci s dokumentací, ale provozní schopnost. Ta se pozná podle jediné otázky — kdo v pátek ve 22:00 rozhodne, že důkazy o zneužití jsou spolehlivé, a kdo do 24 hodin odešle včasné varování. Většina věcí níže je jen předpřipravení odpovědi na tuhle otázku.

Druhé východisko je datové. Aby se dalo v prvních hodinách odpovědět, kterých verzí produktu se věc týká a ve kterých členských státech je produkt zpřístupněn, musíte tyhle údaje mít dřív, než je někdo začne shánět. Zjišťovat složení produktu ve chvíli, kdy běží 24hodinová lhůta, je pozdě — o tom, jak tenhle přehled vzniká průběžně při buildu, píšeme na stránce o bezpečném vývoji v této sekci Odkazů.

A do třetice: proces, který nikdo nezkusil, není proces. Nácvik nanečisto na modelové situaci trvá půl dne a odhalí přesně ty věci, které v ostrém režimu bolí — chybějící zástup, nejasné rozhodovací pravomoci, šablonu, ze které se nedá nic vyplnit, a údaje, které nikdo nemá po ruce.

• Role a zástupy — kdo kvalifikuje událost, kdo schvaluje odeslání, kdo píše text, kdo mluví se zákazníky a kdo je za každou roli zastupitelný mimo pracovní dobu.
• Určená příslušnost — ve kterém členském státě máte hlavní provozovnu ve smyslu čl. 14 odst. 7, případně který krok kaskády se na vás uplatní, a přístup ke koncovému bodu vyřízený dřív, než ho budete potřebovat.
• Evidence okamžiků — kdy jste se dozvěděli a čím to bylo doloženo, kdy bylo k dispozici nápravné nebo zmírňující opatření a kdy odešlo 72hodinové oznámení. Ze tří časových údajů se počítají všechny lhůty obou kaskád, doložení slouží k jejich zpětnému obhájení.
• Předem rozhodnutá kritéria závažnosti — která data a funkce vašeho produktu považujete za citlivé či důležité ve smyslu čl. 14 odst. 5 písm. a), s pár modelovými situacemi rozhodnutými nanečisto.
• Přehled zpřístupnění produktu — ve kterých členských státech je produkt zpřístupněn, včetně prodeje přes partnery. Bez toho neuvedete údaj, na kterém stojí rozesílání oznámení dalším týmům CSIRT.
• Šablony šesti zpráv — dvě včasná varování, dvě 72hodinová oznámení a dvě závěrečné zprávy, každá se svými povinnými prvky podle čl. 14 odst. 2 a 4, plus místo pro označení míry citlivosti.
• Připravená komunikace k uživatelům podle čl. 14 odst. 8, pokud možno ve strojově čitelném formátu, a jasně určené kanály, kterými se k zasaženým uživatelům dostane.
• Nácvik na modelové situaci — jednou s aktivně zneužívanou zranitelností, jednou se závažným incidentem, s měřením času do odeslání prvního varování.

Pokud tenhle proces stavíte a chcete ho mít odzkoušený dřív než naostro, projdeme ho s vámi — rozhodovací kritéria, role a dosažitelnost, šablony zpráv a nácvik na modelové situaci. Návaznost na řízení zranitelností po vydání a na to, odkud se berou vstupní data, rozebírá stránka o DevSecOps a bezpečném vývoji v této sekci.

Hodinová osa od zjištění po závěrečnou zprávu

Osa ukazuje obě kaskády vedle sebe. Společné jsou jen první dva kroky — od nich se cesty rozcházejí, protože poslední zpráva se u zranitelnosti počítá od dostupnosti opravy a u incidentu od podání 72hodinového oznámení. Časy jsou podle čl. 14 nařízení (EU) 2024/2847, hodina nula je okamžik, kdy se výrobce dozví.

Oficiální zdroje

Tvrzení o povinnostech a lhůtách na téhle stránce vycházejí z následujících zdrojů, stav k 9. 8. 2026. Znění předpisů stránka nenahrazuje — závazné je znění v Úředním věstníku.