Cyber Resilience Act pôsobí ako záplava povinností, ale keď ich rozložíte na časovú os, je to zvládnuteľný plán. Nariadenie (EÚ) 2024/2847 má tri kľúčové dátumy a jasné poradie krokov. Tento článok je
„Vyvinuli sme appku pre klienta — kto je teraz podľa CRA výrobca?" Táto otázka trápi každú agentúru a freelancera. Odpoveď má jasné jadro aj sivé okraje. Poďme oboje rozobrať, aby ste vedeli, kde stoj
Prvý, kto sa vás na CRA spýta, nebude orgán dohľadu — bude to váš zákazník. Veľké firmy a verejní obstarávatelia si bezpečnostné požiadavky presúvajú na dodávateľov cez dotazníky a zmluvné podmienky.
Keď sa povie „splniť Cyber Resilience Act", väčšina malých softvérových firiem si predstaví hory papierov. V skutočnosti je jedna z prvých a najužitočnejších vecí veľmi konkrétna a dá sa vyrobiť za pá
Cyber Resilience Act (nariadenie EÚ 2024/2847) má dva dátumy, ktoré si väčšina malých softvérových firiem pamätá len napoly. Ten druhý — 11. december 2027, plná konformita a CE značka — je ešte ďaleko
„Veď už máme GDPR, tak CRA nepotrebujeme" — táto veta zaznie často a je nesprávna. CRA, NIS2 a GDPR sú tri rôzne predpisy, každý mieri na niečo iné, a pokojne môžu platiť naraz. Poďme si ich rozlíšiť
Veľa slovenských firiem nič nevyrába — len predáva alebo dováža cudzí softvér a zariadenia. Ľahko z toho vznikne dojem „nás sa CRA netýka". Nie je to tak: dovozcovia a distribútori majú vlastné povinn
Open source a Cyber Resilience Act je téma, kde sa mieša úľava aj prekvapenie. Úľava: nariadenie nerobí z každého open-source vývojára výrobcu. Prekvapenie: keď open-source knižnice používate vo svojo
Okolo harmonizovaných noriem k CRA je zmätok — a je dobré vedieť prečo. Krátko: normy, ktoré vám majú uľahčiť život, zatiaľ nevyšli. Poďme si vysvetliť, čo to znamená pre malú firmu a ako sa s tým dá
„Značka CE na softvéri, ktorý sa len stiahne z webu?" Áno — a Cyber Resilience Act presne hovorí, ako na to. Pred uvedením produktu na trh vydáva výrobca EÚ vyhlásenie o zhode (čl. 28) a umiestňuje zn
Slovo „risk assessment" znie ako projekt na týždne, ale pre malú firmu je to dvojstranový dokument, ktorý raz spíšete a potom už len udržiavate. Cyber Resilience Act ho vyžaduje v čl. 13: posúdenie ky
Ak ste v default triede (čo je väčšina — viac v článku o triedach), zhodu s CRA vyhlasujete sami. Volá sa to modul A (interná kontrola výroby): žiadna notifikovaná osoba, ale plná zodpovednosť za to,
Nie každý produkt s digitálnymi prvkami sa posudzuje rovnako prísne. Cyber Resilience Act ich delí do štyroch úrovní podľa rizika, a od tej vašej závisí, či si zhodu posúdite sami, alebo potrebujete t
Reportovacia povinnosť podľa čl. 14 je prvá vec z Cyber Resilience Act, ktorá platí naostro — od 11. 9. 2026, a to aj pre produkty, ktoré ste uviedli na trh dávno. Problém nie je vyplniť formulár, ale
Posledný krok procesu riešenia zraniteľností je ten najviditeľnejší: advisory — verejné oznámenie, že ste opravili bezpečnostný problém. Cyber Resilience Act ho vyžaduje v Prílohe I, časť II: po sprís
Keď máte nahlasovací kanál a security.txt, chýba k nim ešte jedna vec: politika, ktorá povie, čo sa s hlásením stane. Cyber Resilience Act ju vyžaduje v Prílohe I, časť II ako politiku koordinovaného
Medzi povinnosťami Cyber Resilience Act je jedna, ktorá stojí hodinu práce a vybavíte ju raz a navždy: kanál, cez ktorý vám ľudia nahlásia zraniteľnosť. Vyžaduje ho Príloha I, časť II nariadenia (EÚ)
„Ako dlho to vlastne musíme podporovať?" je otázka, ktorá pri Cyber Resilience Act rozhoduje o nákladoch na roky dopredu. Odpoveď je v čl. 13 nariadenia (EÚ) 2024/2847 a je prekvapivo konkrétna. Poďme
Keď vyjde nová zraniteľnosť, malá firma nepotrebuje akademickú prednášku — potrebuje vedieť čo s tým a dokedy. Na to slúžia štyri skratky. Každá odpovedá na inú otázku a spolu z nich vznikne jasné roz
SBOM znie ako veľká compliance úloha, ale v praxi je to jeden príkaz a pár minút. Cyber Resilience Act ho vyžaduje v Prílohe I, časť II, bod 1 ako súčasť procesu riešenia zraniteľností — a nepredpisuj
Okolo SaaS a Cyber Resilience Act koluje najviac nejasností zo všetkých scope otázok. Krátka odpoveď: čistá cloudová služba je väčšinou mimo pôsobnosti nariadenia (EÚ) 2024/2847. Dlhšia odpoveď má jed
Otázka „týka sa CRA aj nás?" je pre malú firmu prvá a najdôležitejšia — kým na ňu neodpoviete, nemá zmysel riešiť dokumentáciu ani reporting. Nariadenie (EÚ) 2024/2847 má širokú, ale presnú definíciu: