CRA a SaaS: kedy ste mimo a kedy nie (remote data processing)

Okolo SaaS a Cyber Resilience Act koluje najviac nejasností zo všetkých scope otázok. Krátka odpoveď: čistá cloudová služba je väčšinou mimo pôsobnosti nariadenia (EÚ) 2024/2847. Dlhšia odpoveď má jednu dôležitú hranu — pojem riešenie na diaľkové spracovanie údajov — a práve o ňu ide. Poďme si presne ukázať, kedy ste vonku a kedy nie.

Prečo je čistý SaaS väčšinou mimo

Nariadenie sa vzťahuje na produkty s digitálnymi prvkami. Recitál 12 k tomu hovorí jasne: samotná služba poskytovaná na diaľku (softvér ako služba) nie je produktom s digitálnymi prvkami v zmysle CRA — na cloudové služby sa vzťahuje iná legislatíva, predovšetkým NIS2. Ak teda prevádzkujete aplikáciu, ku ktorej sa zákazník pripája len cez prehliadač a nič si neinštaluje ani neprevádzkuje, samotný SaaS pod povinnosti výrobcu podľa CRA spravidla nespadá.

To ale neznamená, že nemáte žiadne bezpečnostné povinnosti — len že ich nedáva toto nariadenie. Ak ste v rozsahu NIS2 (podľa sektora a veľkosti), platia povinnosti odtiaľ. CRA a NIS2 sa rozoberá v samostatnom porovnaní CRA vs. NIS2 vs. GDPR.

Hrana: „riešenie na diaľkové spracovanie údajov"

Tu prichádza dôležitá výnimka z výnimky. Čl. 3 definuje produkt s digitálnymi prvkami tak, že zahŕňa aj jeho riešenia na diaľkové spracovanie údajov. Ide o spracovanie údajov na diaľku, pre ktoré je softvér alebo hardvér navrhnutý výrobcom a bez ktorého by produkt nedokázal plniť svoje funkcie.

Preložené do praxe: ak dodávate zariadenie, mobilnú alebo desktopovú aplikáciu, agenta alebo plugin, ktorý bez vášho cloudu nefunguje, potom sa ten cloud neberie ako „len služba", ale ako súčasť produktu. CRA sa vzťahuje na celok — na inštalovateľný kus aj na backend, ktorý je preň nevyhnutný.

Rozhodovacia otázka

Celé rozlíšenie sa dá zhrnúť do jednej otázky: existuje časť, ktorú si zákazník inštaluje alebo prevádzkuje u seba, a je vaša cloudová časť nevyhnutná pre jej funkciu?

1. Nie, zákazník nič neinštaluje (čistá webová appka v prehliadači) → prevažne mimo CRA (recitál 12). Riešte prípadný NIS2.
2. Áno, dodávame klienta / agenta / plugin / zariadenie → inštalovateľný kus je produkt (čl. 3); cloud, ktorý je preň nevyhnutný, sa berie s ním → CRA platí.
3. Hybrid — časť funkcií v prehliadači, časť cez nainštalovaného agenta → posudzuje sa inštalovaná časť a jej nevyhnutný backend; zvyšok služby ostáva mimo.

Presne túto logiku má v sebe náš scope-checker: otázka „čo je produkt" rozlišuje čistý SaaS od SaaS s klientom a podľa toho určí výsledok.

Časté omyly okolo SaaS

Niekoľko nedorozumení, ktoré stoja za to vyjasniť:

1. „Máme cloud, takže sme celí mimo." Nie nutne — ak popri cloude dodávate čokoľvek inštalovateľné, ten kus produktom je.
2. „Máme desktop klienta, takže je celá naša služba pod CRA." Tiež nie — pod CRA je klient a backend nevyhnutný pre jeho funkciu, nie každá funkcia vašej platformy.
3. „SaaS znamená žiadne bezpečnostné povinnosti." Naopak — len prichádzajú z inej strany (NIS2, GDPR pri osobných údajoch), nie z CRA.
4. „Hranica je raz a navždy daná." Scope SaaS sa dolaďuje vo FAQ Komisie; ak ste hraničný prípad, výsledok si datujte a priebežne overujte.

Tri konkrétne príklady

Aby to nebolo len teória, tri situácie z praxe:

1. Webový CRM, celý v prehliadači. Zákazník sa prihlási, nič neinštaluje, dáta aj logika bežia u vás. Prevažne mimo CRA (recitál 12). Ak ste v regulovanom sektore alebo dosahujete prahy, riešte NIS2.
2. SaaS so synchronizačným agentom na disku. K službe dodávate malú aplikáciu, ktorá beží na počítači zákazníka a synchronizuje súbory. Ten agent je produkt (čl. 3) a cloud, bez ktorého agent nefunguje, sa berie s ním → CRA platí na túto časť.
3. Platforma s verejným API a oficiálnym SDK. Ak distribuujete SDK/knižnicu, ktorú si zákazníci integrujú do svojho softvéru, ten SDK je komponent uvádzaný na trh samostatne (čl. 3) — a je produktom s digitálnymi prvkami, aj keď samotná platforma je služba.

Vo všetkých troch prípadoch je rozhodujúca tá istá otázka: je tu kus, ktorý beží mimo vášho servera a je pre neho váš backend nevyhnutný?

Čo si z toho odniesť

Ak ste čistý SaaS, CRA vás dnes väčšinou obchádza — ale oplatí sa poznať dôvod (recitál 12) aj hranu (čl. 3), lebo stačí pridať do ponuky inštalovateľného agenta a situácia sa mení. Ak už dodávate klientsku aplikáciu alebo zariadenie, ste s najväčšou pravdepodobnosťou výrobca a týkajú sa vás termíny 11. 9. 2026 (reporting) a 11. 12. 2027 (konformita a CE).

Časté otázky

1. Sme čistý web bez inštalácie — sme mimo? Prevažne áno (recitál 12). Zvážte NIS2, ak spadáte do jeho sektorov a veľkosti.
2. Máme desktop klienta ku cloudu — čo je pod CRA? Klient a backend nevyhnutný pre jeho funkciu (čl. 3), nie každá funkcia platformy.
3. Distribuujeme SDK — je to produkt? Áno, komponent uvádzaný na trh samostatne je produkt s digitálnymi prvkami.
4. Mení sa scope, keď pridáme agenta? Áno — pridanie inštalovateľnej časti vás môže dostať do pôsobnosti CRA.

Prečo si výsledok datovať

Hranica SaaS je jedno z miest, kde Komisia priebežne spresňuje výklad vo FAQ. Ak ste hraničný prípad, poznačte si, kedy a na základe čoho ste sa zaradili — rovnako ako to robí náš scope-checker, ktorý výsledok viaže na verziu usmernenia a dátum. Keď sa výklad posunie, budete vedieť, čo prehodnotiť; a voči odberateľovi aj úradu je datované rozhodnutie dôveryhodnejšie než „mysleli sme si, že sme mimo".

Ako pomáha CRAguard

Ak si nie ste istí, na ktorej strane hrany stojíte, scope-checker vám to povie za dve minúty — vrátane prípadu „SaaS + klient". Keď zistíte, že inštalovateľná časť je produkt, ďalším krokom je SBOM za pár minút preň. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 3, recitál 12) a usmernenia Európskej komisie zo dňa 27. 7. 2026. Hranicu SaaS konzultujte v konkrétnom prípade.