# CRA a SaaS: kedy ste mimo a kedy nie (remote data processing) Canonical: https://craguard.eu/sk/blog/cra-a-saas-kedy-ste-mimo Language: sk Naposledy aktualizované: 2026-09-02 - [CRAguard](https://craguard.eu/sk)/ - [Blog](https://craguard.eu/sk/blog)/ - CRA a SaaS: kedy ste mimo a kedy nie (remote data processing) 17. 8. 2026 · CRAguard Zhrnutie Služba ako taká nie je „produkt s digitálnymi prvkami\" (recitál 12), takže čistý SaaS býva mimo pôsobnosti CRA. Zlom nastáva pri „riešení na diaľkové spracovanie údajov\" (čl. 3): ak je váš backend nevyhnutný pre funkciu inštalovateľného klienta, agenta alebo zariadenia, berie sa ako súčasť produktu a CRA platí naň. Rozhodujúca otázka: existuje kus, ktorý si zákazník inštaluje alebo prevádzkuje? Okolo SaaS a Cyber Resilience Act koluje najviac nejasností zo všetkých scope otázok. Krátka odpoveď: **čistá cloudová služba je väčšinou mimo** pôsobnosti nariadenia (EÚ) 2024/2847. Dlhšia odpoveď má jednu dôležitú hranu — pojem *riešenie na diaľkové spracovanie údajov* — a práve o ňu ide. Poďme si presne ukázať, kedy ste vonku a kedy nie. ## Prečo je čistý SaaS väčšinou mimo Nariadenie sa vzťahuje na *produkty s digitálnymi prvkami*. **Recitál 12** k tomu hovorí jasne: samotná služba poskytovaná na diaľku (softvér ako služba) nie je produktom s digitálnymi prvkami v zmysle CRA — na cloudové služby sa vzťahuje iná legislatíva, predovšetkým NIS2. Ak teda prevádzkujete aplikáciu, ku ktorej sa zákazník pripája len cez prehliadač a **nič si neinštaluje ani neprevádzkuje**, samotný SaaS pod povinnosti výrobcu podľa CRA spravidla nespadá. To ale neznamená, že nemáte žiadne bezpečnostné povinnosti — len že ich nedáva **toto** nariadenie. Ak ste v rozsahu NIS2 (podľa sektora a veľkosti), platia povinnosti odtiaľ. CRA a NIS2 sa rozoberá v samostatnom [porovnaní CRA vs. NIS2 vs. GDPR](https://craguard.eu/sk/blog/cra-vs-nis2-vs-gdpr). ## Hrana: „riešenie na diaľkové spracovanie údajov" Tu prichádza dôležitá výnimka z výnimky. **Čl. 3** definuje produkt s digitálnymi prvkami tak, že zahŕňa aj jeho *riešenia na diaľkové spracovanie údajov*. Ide o spracovanie údajov na diaľku, pre ktoré je softvér alebo hardvér navrhnutý výrobcom a **bez ktorého by produkt nedokázal plniť svoje funkcie**. Preložené do praxe: ak dodávate zariadenie, mobilnú alebo desktopovú aplikáciu, agenta alebo plugin, ktorý **bez vášho cloudu nefunguje**, potom sa ten cloud neberie ako „len služba", ale ako **súčasť produktu**. CRA sa vzťahuje na celok — na inštalovateľný kus aj na backend, ktorý je preň nevyhnutný. Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Rozhodovacia otázka Celé rozlíšenie sa dá zhrnúť do jednej otázky: **existuje časť, ktorú si zákazník inštaluje alebo prevádzkuje u seba, a je vaša cloudová časť nevyhnutná pre jej funkciu?** - **Nie, zákazník nič neinštaluje** (čistá webová appka v prehliadači) → prevažne mimo CRA (recitál 12). Riešte prípadný NIS2. - **Áno, dodávame klienta / agenta / plugin / zariadenie** → inštalovateľný kus je produkt (čl. 3); cloud, ktorý je preň nevyhnutný, sa berie s ním → CRA platí. - **Hybrid — časť funkcií v prehliadači, časť cez nainštalovaného agenta** → posudzuje sa inštalovaná časť a jej nevyhnutný backend; zvyšok služby ostáva mimo. Presne túto logiku má v sebe náš [scope-checker](https://craguard.eu/sk/checker): otázka „čo je produkt" rozlišuje čistý SaaS od SaaS s klientom a podľa toho určí výsledok. ## Časté omyly okolo SaaS Niekoľko nedorozumení, ktoré stoja za to vyjasniť: - **„Máme cloud, takže sme celí mimo."** Nie nutne — ak popri cloude dodávate čokoľvek inštalovateľné, ten kus produktom je. - **„Máme desktop klienta, takže je celá naša služba pod CRA."** Tiež nie — pod CRA je klient a backend nevyhnutný pre jeho funkciu, nie každá funkcia vašej platformy. - **„SaaS znamená žiadne bezpečnostné povinnosti."** Naopak — len prichádzajú z inej strany (NIS2, GDPR pri osobných údajoch), nie z CRA. - **„Hranica je raz a navždy daná."** Scope SaaS sa dolaďuje vo FAQ Komisie; ak ste hraničný prípad, výsledok si datujte a priebežne overujte. ## Tri konkrétne príklady Aby to nebolo len teória, tri situácie z praxe: - **Webový CRM, celý v prehliadači.** Zákazník sa prihlási, nič neinštaluje, dáta aj logika bežia u vás. Prevažne **mimo CRA** (recitál 12). Ak ste v regulovanom sektore alebo dosahujete prahy, riešte NIS2. - **SaaS so synchronizačným agentom na disku.** K službe dodávate malú aplikáciu, ktorá beží na počítači zákazníka a synchronizuje súbory. Ten **agent je produkt** (čl. 3) a cloud, bez ktorého agent nefunguje, sa berie s ním → CRA platí na túto časť. - **Platforma s verejným API a oficiálnym SDK.** Ak distribuujete SDK/knižnicu, ktorú si zákazníci integrujú do svojho softvéru, ten SDK je komponent uvádzaný na trh samostatne (čl. 3) — a je produktom s digitálnymi prvkami, aj keď samotná platforma je služba. Vo všetkých troch prípadoch je rozhodujúca tá istá otázka: je tu kus, ktorý beží mimo vášho servera a je pre neho váš backend nevyhnutný? ## Čo si z toho odniesť Ak ste čistý SaaS, CRA vás dnes väčšinou obchádza — ale oplatí sa poznať dôvod (recitál 12) aj hranu (čl. 3), lebo stačí pridať do ponuky inštalovateľného agenta a situácia sa mení. Ak už dodávate klientsku aplikáciu alebo zariadenie, ste s najväčšou pravdepodobnosťou výrobca a týkajú sa vás termíny **11. 9. 2026** (reporting) a **11. 12. 2027** (konformita a CE). ## Časté otázky - **Sme čistý web bez inštalácie — sme mimo?** Prevažne áno (recitál 12). Zvážte NIS2, ak spadáte do jeho sektorov a veľkosti. - **Máme desktop klienta ku cloudu — čo je pod CRA?** Klient a backend nevyhnutný pre jeho funkciu (čl. 3), nie každá funkcia platformy. - **Distribuujeme SDK — je to produkt?** Áno, komponent uvádzaný na trh samostatne je produkt s digitálnymi prvkami. - **Mení sa scope, keď pridáme agenta?** Áno — pridanie inštalovateľnej časti vás môže dostať do pôsobnosti CRA. ## Prečo si výsledok datovať Hranica SaaS je jedno z miest, kde Komisia priebežne spresňuje výklad vo FAQ. Ak ste hraničný prípad, poznačte si, kedy a na základe čoho ste sa zaradili — rovnako ako to robí náš [scope-checker](https://craguard.eu/sk/checker), ktorý výsledok viaže na verziu usmernenia a dátum. Keď sa výklad posunie, budete vedieť, čo prehodnotiť; a voči odberateľovi aj úradu je datované rozhodnutie dôveryhodnejšie než „mysleli sme si, že sme mimo". ## Ako pomáha CRAguard Ak si nie ste istí, na ktorej strane hrany stojíte, [scope-checker](https://craguard.eu/sk/checker) vám to povie za dve minúty — vrátane prípadu „SaaS + klient". Keď zistíte, že inštalovateľná časť je produkt, ďalším krokom je [SBOM za pár minút](https://craguard.eu/sk/blog/ako-vygenerovat-sbom-za-10-minut) preň. [Zistite, či sa vás CRA týka](https://craguard.eu/sk/checker), alebo sa [zaraďte do waitlistu](https://craguard.eu/sk#waitlist). *Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 3, recitál 12) a usmernenia Európskej komisie zo dňa 27. 7. 2026. Hranicu SaaS konzultujte v konkrétnom prípade.* Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Zdroje - [EUR-Lex — Regulation (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - [ENISA — Single Reporting Platform](https://www.enisa.europa.eu/) --- Zdroj: CRAguard — https://craguard.eu