Provozujeme váš PSIRT tým 24/7 – od příjmu reportů přes triage, koordinaci fixu a tvorbu CSAF/VEX advisories až po povinné hlášení ENISA v lhůtách 24/72h. Vybudovat vlastní PSIRT trvá 12+ měsíců a stojí desítky milionů. My to máme.
Pokrýváme všech 9 service areas dle FIRST PSIRT Services Framework v1.1.
Specializovaný Product Security Incident Response Team na klíč – příjem, validace a reakce na bezpečnostní incidenty produktů s digitálními prvky.
Strukturovaný příjem reportů z CVD portálu, bug bounty platforem, interních zdrojů a threat intelligence. CVSS, EPSS, SSVC scoring.
War room management, koordinace s vývojem, právním oddělením, PR a regulátorem. Postup dle FIRST PSIRT Services Framework v1.1.
Tvorba a publikace strojově čitelných advisories ve formátu CSAF 2.0, VEX dokumenty pro SBOM a OpenVEX pro downstream uživatele.
Asistence při získání CNA statusu, přidělování CVE identifikátorů a správa CVE záznamů v MITRE / NVD databázích.
Koordinace vývoje hotfixů, regression testing, koordinovaná distribuce patchů, hot-patching infrastruktur a backport politika.
Notifikační kampaně pro zákazníky a partnery, vendor advisories, koordinace s downstream výrobci a maintainery komponent.
Monitoring exploit kits, dark web, CISA KEV katalogu, EPSS feeds a CTI zdrojů pro proaktivní detekci aktivně zneužívaných zranitelností.
Root cause analysis, blameless post-mortem, aktualizace threat modelu a Secure SDLC pro prevenci recidivy.
PSIRT je dnes regulatorní povinnost pro výrobce produktů s digitálními prvky.
Plnění čl. 13–14 CRA: vulnerability handling processes, povinné hlášení aktivně zneužívaných zranitelností a závažných incidentů ENISA.
Provoz dle mezinárodního Product Security Incident Response Team Services Framework v1.1 a ISO/IEC 30111.
Reportingové povinnosti dle čl. 23 NIS2 a vyhlášky o KB – early warning 24h, incident notification 72h, final report 30 dní.
Standardizované procesy vulnerability handling (30111) a vulnerability disclosure (29147) – základ vyspělého PSIRT programu.
Od přípravy po post-mortem – kontinuální cyklus zlepšování.
Nastavení PSIRT charty, runbooks, eskalačních cest, on-call rotací, integrace na vaše Jira/ServiceNow/Slack a definice severity matice.
24/7 monitoring CVD portálu, threat intelligence feeds, CISA KEV, exploit databází. Validace, reprodukce a CVSS/SSVC scoring.
Aktivace war room, koordinace fixu s vývojem, právní review, regulatorní hlášení (24/72h), customer & partner notifikace.
Publikace CSAF/VEX advisory, přidělení CVE, post-mortem, aktualizace threat modelu, update SDLC kontrol a security training.
Závazné lhůty pro triage, eskalaci a hlášení dle CRA a NIS2.
Modulární tiers podle velikosti firmy, počtu produktů a regulatorního scope.
SMB výrobci, 1 produktová rodina
Mid-market, více produktových linií
CRA important/critical produkty, regulované sektory
Vlastní 24/7 PSIRT tým vyžaduje minimálně 5 senior security inženýrů, právní a PR podporu, threat intelligence licence a dlouholeté budování procesů. Kombinace zkušeností z desítek incident responsí napříč klienty je něco, co interní tým získá za roky – my ji máme dnes.
Domluvit konzultaciPro management, právní oddělení i product security inženýry.
PSIRT (Product Security Incident Response Team) řeší zranitelnosti a incidenty produktů, které firma vyrábí nebo distribuuje. CSIRT/SOC chrání interní IT infrastrukturu firmy. PSIRT komunikuje s researchery, zákazníky a regulátorem o problémech vašich produktů, SOC monitoruje vaše vlastní sítě.
CRA neuvádí slovo PSIRT, ale čl. 13(1)(b) a Annex I část II vyžadují vulnerability handling processes, koordinovaný disclosure, povinné hlášení a komunikaci s uživateli. PSIRT je de facto standardním organizačním způsobem, jak tyto povinnosti splnit.
Ano. Často kombinujeme – vy si držíte technickou expertízu produktu, my zajišťujeme 24/7 dostupnost, právní rámec, regulatorní reporting, advisories a koordinaci s researchery. Hybridní model je nejčastější u středních a větších výrobců.
VDP (Vulnerability Disclosure Program) je vstupní kanál pro hlášení. Bug Bounty je placená nadstavba VDP. PSIRT je tým, který reporty zpracovává, koordinuje fix a komunikuje. Provozujeme všechny tři vrstvy jako integrovanou službu.
Common Security Advisory Framework 2.0 (OASIS standard) je strojově čitelný JSON formát pro publikaci bezpečnostních advisories. Umožňuje zákazníkům automaticky zpracovávat upozornění a propojit je s SBOM/VEX. CISA i BSI ho oficiálně doporučují.
Critical incidenty: war room aktivován do 2h, early warning regulátorovi do 24h, customer notifikace dle scope. Standardní zranitelnosti řešíme dle severity matice s SLA 4h–5 PD pro initial triage.
Reportingové povinnosti CRA platí od 11. 9. 2026. Onboarding PSIRT trvá 6–8 týdnů. Začněme dnes.