Týka sa CRA vašej firmy? 10 príkladov z praxe podľa usmernenia Komisie

Otázka „týka sa CRA aj nás?" je pre malú firmu prvá a najdôležitejšia — kým na ňu neodpoviete, nemá zmysel riešiť dokumentáciu ani reporting. Nariadenie (EÚ) 2024/2847 má širokú, ale presnú definíciu: vzťahuje sa na toho, kto komerčne uvádza na trh EÚ „produkt s digitálnymi prvkami". Poďme si to preložiť do desiatich konkrétnych situácií, s ktorými sa malé softvérové firmy stretávajú najčastejšie. Pri každej uvádzame, kam spadá a podľa ktorého ustanovenia.

Kľúč: čo je „produkt s digitálnymi prvkami"

Podľa čl. 3 je produkt s digitálnymi prvkami softvérový alebo hardvérový produkt a jeho riešenia na diaľkové spracovanie údajov, vrátane softvérových či hardvérových komponentov, ktoré sa uvádzajú na trh samostatne. Výrobca je ten, kto produkt vyvíja alebo dáva vyvinúť a uvádza ho na trh pod svojím menom alebo značkou. A „uviesť na trh" znamená prvé sprístupnenie v EÚ v rámci obchodnej činnosti. Tri slová robia väčšinu rozhodnutia: komerčné, pod vlastnou značkou, sprístupnené na trhu.

Desať príkladov

1. Desktopová aplikácia, ktorú si zákazník inštaluje. Klasický produkt s digitálnymi prvkami (čl. 3). Ste výrobca, platí plný rozsah — Príloha I, dokumentácia, reporting podľa čl. 14. Veľkosť firmy nehrá rolu; nariadenie nemá výnimku pre mikropodniky, len zjednodušenú dokumentáciu.
2. Mobilná aplikácia, ktorú predávate alebo monetizujete. Rovnako produkt: zákazník si ju inštaluje do zariadenia. Aj bezplatná appka je „komerčná", ak je súčasťou platenej ponuky (napr. free klient k platenej službe).
3. SaaS, ku ktorému dodávate klientsku aplikáciu alebo agenta. Samotná cloudová služba je väčšinou mimo, ale inštalovateľný klient či agent je produkt — a cloudová časť, ktorá je nevyhnutná pre jeho funkciu, je podľa čl. 3 „riešenie na diaľkové spracovanie údajov" a berie sa spolu s ním.
4. Čistý SaaS — zákazník nič neinštaluje, všetko beží u vás. Prevažne mimo pôsobnosti CRA (recitál 12: služba ako taká nie je produktom s digitálnymi prvkami). Pozor ale na NIS2, ak ste v jeho rozsahu — to je iná legislatíva.
5. Plugin, knižnica alebo SDK, ktoré komerčne distribuujete. Komponent uvádzaný na trh samostatne je podľa čl. 3 tiež produkt s digitálnymi prvkami. Ak ho predávate alebo je súčasťou komerčnej ponuky, ste výrobca.
6. Firmvér zariadenia, ktoré vyrábate alebo značkujete. Hardvér so softvérom je učebnicový prípad. Platí plný rozsah vrátane secure-by-design vlastností z Prílohy I.
7. Open-source projekt bez komerčného účelu. Ak kód vyvíjate nekomerčne (komunita, nadácia) a nemonetizujete ho, ste mimo povinností výrobcu. Ak systematicky podporujete open source určený na komerčné použitie, môžete byť „správca open-source softvéru" (čl. 24) s odľahčeným režimom — politika kybernetickej bezpečnosti (čl. 24(1)) a súčinnosť, bez CE. Pozor: keď open source monetizujete (platená edícia, licencie), stávate sa výrobcom.
8. Interný softvér len pre vlastnú potrebu. Ak ho nesprístupňujete na trhu, nie je „uvedený na trh" (čl. 3) — mimo pôsobnosti. Len čo ho ale začnete predávať alebo poskytovať tretím stranám, situácia sa mení.
9. Softvér na zákazku pre klienta. Výrobcom je spravidla ten, kto produkt uvádza na trh pod svojou značkou — teda klient. Agentúra býva zapojená nepriamo, ale ak vystupujete pod vlastnou značkou (ste výrobca už podľa definície v čl. 3) alebo robíte podstatnú zmenu (čl. 22), môžete sa výrobcom stať vy. Hraničné prípady rozoberá aj usmernenie Komisie.
10. Predávate alebo distribuujete zahraničný softvér či zariadenia. Máte povinnosti dovozcu alebo distribútora (čl. 19–20): overiť, že výrobca spravil posúdenie zhody a CE, že je k dispozícii dokumentácia, hlásiť riziká. Ak produkt uvediete pod vlastnou značkou alebo ho podstatne upravíte, stávate sa výrobcom (čl. 21).

Prečo veľkosť firmy nerozhoduje

Najčastejší omyl znie: „sme malá firma / mikropodnik, na nás sa to nevzťahuje." Nie je to tak. Nariadenie nemá výnimku podľa veľkosti — nerozlišuje, či ste korporácia alebo jeden živnostník. To, čo zohľadňuje, je len zjednodušená technická dokumentácia pre mikro a malé podniky a primeranosť opatrení voči riziku produktu. Rozhoduje teda čo robíte (uvádzate produkt s digitálnymi prvkami na trh?), nie akí ste veľkí.

Rovnako nerozhoduje cena. „Produkt zadarmo" nie je automaticky mimo: ak je bezplatná appka súčasťou komerčnej ponuky (napr. free klient k platenej službe alebo nástroj, ktorý ťahá používateľov do plateného ekosystému), berie sa ako uvedená na trh v rámci obchodnej činnosti (čl. 3). Skutočne mimo je len nekomerčné poskytovanie bez akejkoľvek monetizácie.

Čo s tým ďalej

Ak ste sa našli v bodoch 1, 2, 3, 5 alebo 6, ste s najväčšou pravdepodobnosťou výrobca a týkajú sa vás dva termíny: 11. 9. 2026 (reporting podľa čl. 14, aj pre produkty, ktoré už predávate) a 11. 12. 2027 (plná konformita a CE). Prvé, čo v tom prípade urobte, je určiť triedu produktu — väčšina bežného softvéru je v najmiernejšej „default" triede so self-assessmentom — a spraviť SBOM a nahlasovací kanál.

Body 4, 7 a 8 vás väčšinou nechávajú mimo — ale hrany (SaaS, open source, interné použitie) sa dolaďujú vo FAQ Komisie, takže si výsledok radšej overte a datujte. Body 9 a 10 znamenajú nepriame alebo špecifické povinnosti, ktorým sa venujeme v samostatných článkoch: softvér na zákazku a dovozcovia a distribútori. A ak by ste kedykoľvek zasiahli do cudzieho produktu tak, že to zmení jeho bezpečnostné vlastnosti (podstatná zmena), alebo ho predávali pod vlastnou značkou, preklopíte sa do roly výrobcu podľa čl. 21 — aj keď ste pôvodne boli „len" distribútor.

Ako pomáha CRAguard

Presne túto prvú otázku sme zabalili do dvojminútového scope-checkera: odpoviete na šesť otázok a poviete vám, do ktorej z týchto kategórií patríte a čo z toho vyplýva. Ak už viete, že ste výrobca, dobrým druhým krokom je SBOM za pár minút. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu — dáme vedieť pri spustení.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 3, 14, 19–22, 24, recitál 12) a usmernenia Európskej komisie zo dňa 27. 7. 2026. Hraničné prípady (SaaS, open source, zákazkový vývoj) konzultujte.