Povinnosti výrobcu po uvedení produktu na trh
Uvedením produktu na trh sa povinnosti nekončia. Výrobca musí udržiavať zhodu, reagovať na zraniteľnosti a incidenty a vedieť vykonať nápravu vo všetkých dotknutých verziách a krajinách.
Právna požiadavka — priebežné povinnosti
Výrobca musí:
- zabezpečiť, aby sériová výroba zostala v zhode, a zohľadňovať zmeny návrhu, vlastností, výrobného procesu, noriem a špecifikácií;
- počas obdobia podpory účinne riešiť zraniteľnosti produktu aj komponentov;
- systematicky dokumentovať zistené zraniteľnosti a relevantné informácie tretích strán a podľa potreby aktualizovať posúdenie rizík a technickú dokumentáciu;
- testovať a preskúmavať bezpečnosť, poskytovať bezpečné aktualizácie a zverejňovať potrebné informácie o opravených zraniteľnostiach;
- ponechať aktualizácie a používateľské informácie dostupné počas príslušných lehôt;
- spolupracovať s orgánmi dohľadu a na odôvodnenú žiadosť preukázať zhodu.
Ak výrobca zistí alebo má dôvod domnievať sa, že produkt alebo jeho procesy nie sú v zhode, okamžite prijme nápravné opatrenia. Podľa okolností produkt uvedie do zhody, stiahne z trhu alebo od používateľov. Ak produkt predstavuje významné kybernetické riziko, bezodkladne informuje orgány dohľadu nad trhom v členských štátoch, kde ho sprístupnil, a opíše nesúlad a prijaté opatrenia.
Hlásenie od 11. septembra 2026
Výrobca zo Slovenska začne na rozcestníku SK-CERT, ktorý podľa typu udalosti a prístupu do JISKB určí správny kanál pre hlásenie aktívne zneužívanej zraniteľnosti alebo závažného incidentu s vplyvom na bezpečnosť produktu:
| Fáza | Lehota |
|---|---|
| Včasné varovanie | bez zbytočného odkladu, najneskôr do 24 hodín od dozvedenia sa |
| Úplnejšie oznámenie | bez zbytočného odkladu, najneskôr do 72 hodín od dozvedenia sa |
| Záverečná správa o zraniteľnosti | najneskôr 14 dní po sprístupnení nápravného alebo zmierňujúceho opatrenia |
| Záverečná správa o incidente | do jedného mesiaca od 72-hodinového oznámenia |
Ak je to potrebné na zmiernenie vplyvu, výrobca bez zbytočného odkladu informuje dotknutých používateľov o udalosti a opatreniach, ktoré môžu prijať; v príslušných prípadoch informuje všetkých používateľov. Súbežne posúdi iné oznamovacie povinnosti, napríklad NIS2.
Usmernenie — prevádzkový model
Zaveďte jednu riadenú slučku:
- Zachytiť: CVD kontakt, monitoring hrozieb, telemetria primeraná súkromiu, dodávatelia, zákaznícka podpora.
- Triážovať: dotknutý produkt/verzia, zneužiteľnosť, aktívne zneužitie, závažnosť, počet používateľov a krajiny.
- Eskalovať: zaznamenať moment dozvedenia sa, vlastníka, právne lehoty a paralelné režimy.
- Napraviť: oprava alebo zmiernenie, bezpečné testovanie, distribúcia, rollback a komunikácia.
- Hlásiť a informovať: aktualizovať podanie podľa pokynov zvoleného kanála a informovať používateľov aj orgány podľa spúšťača.
- Poučiť sa: aktualizovať riziká, SBOM, dokumentáciu, testy, dodávateľské požiadavky a ďalšie verzie.