# Týka sa CRA vašej firmy? 10 príkladov z praxe podľa usmernenia Komisie Canonical: https://craguard.eu/sk/blog/cra-tyka-sa-vasej-firmy-10-prikladov Language: sk Naposledy aktualizované: 2026-09-02 - [CRAguard](https://craguard.eu/sk)/ - [Blog](https://craguard.eu/sk/blog)/ - Týka sa CRA vašej firmy? 10 príkladov z praxe podľa usmernenia Komisie 16. 8. 2026 · CRAguard Zhrnutie Cyber Resilience Act sa vzťahuje na toho, kto komerčne uvádza na trh EÚ „produkt s digitálnymi prvkami\". Definícia (čl. 3) je široká, ale hrany sú jasné: čistý SaaS je väčšinou mimo, inštalovateľný softvér a zariadenia sú vnútri, nekomerčný open source má výnimku a agentúra býva len nepriamo. Prejdite si 10 typických prípadov a nájdite ten svoj. Otázka „týka sa CRA aj nás?" je pre malú firmu prvá a najdôležitejšia — kým na ňu neodpoviete, nemá zmysel riešiť dokumentáciu ani reporting. Nariadenie (EÚ) 2024/2847 má širokú, ale presnú definíciu: vzťahuje sa na toho, kto **komerčne uvádza na trh EÚ „produkt s digitálnymi prvkami"**. Poďme si to preložiť do desiatich konkrétnych situácií, s ktorými sa malé softvérové firmy stretávajú najčastejšie. Pri každej uvádzame, kam spadá a podľa ktorého ustanovenia. ## Kľúč: čo je „produkt s digitálnymi prvkami" Podľa **čl. 3** je produkt s digitálnymi prvkami *softvérový alebo hardvérový produkt a jeho riešenia na diaľkové spracovanie údajov*, vrátane softvérových či hardvérových komponentov, ktoré sa uvádzajú na trh samostatne. **Výrobca** je ten, kto produkt vyvíja alebo dáva vyvinúť a **uvádza ho na trh pod svojím menom alebo značkou**. A „uviesť na trh" znamená prvé sprístupnenie v EÚ *v rámci obchodnej činnosti*. Tri slová robia väčšinu rozhodnutia: **komerčné**, **pod vlastnou značkou**, **sprístupnené na trhu**. ## Desať príkladov - **Desktopová aplikácia, ktorú si zákazník inštaluje.** Klasický produkt s digitálnymi prvkami (čl. 3). Ste výrobca, platí plný rozsah — Príloha I, dokumentácia, reporting podľa čl. 14. Veľkosť firmy nehrá rolu; nariadenie nemá výnimku pre mikropodniky, len zjednodušenú dokumentáciu. - **Mobilná aplikácia, ktorú predávate alebo monetizujete.** Rovnako produkt: zákazník si ju inštaluje do zariadenia. Aj bezplatná appka je „komerčná", ak je súčasťou platenej ponuky (napr. free klient k platenej službe). - **SaaS, ku ktorému dodávate klientsku aplikáciu alebo agenta.** Samotná cloudová služba je väčšinou mimo, ale **inštalovateľný klient či agent je produkt** — a cloudová časť, ktorá je nevyhnutná pre jeho funkciu, je podľa čl. 3 „riešenie na diaľkové spracovanie údajov" a berie sa spolu s ním. - **Čistý SaaS — zákazník nič neinštaluje, všetko beží u vás.** Prevažne **mimo** pôsobnosti CRA (recitál 12: služba ako taká nie je produktom s digitálnymi prvkami). Pozor ale na NIS2, ak ste v jeho rozsahu — to je iná legislatíva. - **Plugin, knižnica alebo SDK, ktoré komerčne distribuujete.** Komponent uvádzaný na trh samostatne je podľa čl. 3 tiež produkt s digitálnymi prvkami. Ak ho predávate alebo je súčasťou komerčnej ponuky, ste výrobca. - **Firmvér zariadenia, ktoré vyrábate alebo značkujete.** Hardvér so softvérom je učebnicový prípad. Platí plný rozsah vrátane secure-by-design vlastností z Prílohy I. - **Open-source projekt bez komerčného účelu.** Ak kód vyvíjate nekomerčne (komunita, nadácia) a nemonetizujete ho, ste **mimo povinností výrobcu**. Ak systematicky podporujete open source určený na komerčné použitie, môžete byť „správca open-source softvéru" (**čl. 24**) s odľahčeným režimom — politika kybernetickej bezpečnosti (čl. 24(1)) a súčinnosť, bez CE. Pozor: keď open source **monetizujete** (platená edícia, licencie), stávate sa výrobcom. - **Interný softvér len pre vlastnú potrebu.** Ak ho nesprístupňujete na trhu, nie je „uvedený na trh" (čl. 3) — mimo pôsobnosti. Len čo ho ale začnete predávať alebo poskytovať tretím stranám, situácia sa mení. - **Softvér na zákazku pre klienta.** Výrobcom je spravidla ten, kto produkt uvádza na trh **pod svojou značkou** — teda klient. Agentúra býva zapojená nepriamo, ale ak vystupujete pod vlastnou značkou (ste výrobca už podľa definície v čl. 3) alebo robíte podstatnú zmenu (čl. 22), môžete sa výrobcom stať vy. Hraničné prípady rozoberá aj usmernenie Komisie. - **Predávate alebo distribuujete zahraničný softvér či zariadenia.** Máte povinnosti **dovozcu alebo distribútora** (čl. 19–20): overiť, že výrobca spravil posúdenie zhody a CE, že je k dispozícii dokumentácia, hlásiť riziká. Ak produkt uvediete pod vlastnou značkou alebo ho podstatne upravíte, stávate sa výrobcom (čl. 21). Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Prečo veľkosť firmy nerozhoduje Najčastejší omyl znie: „sme malá firma / mikropodnik, na nás sa to nevzťahuje." Nie je to tak. Nariadenie **nemá výnimku podľa veľkosti** — nerozlišuje, či ste korporácia alebo jeden živnostník. To, čo zohľadňuje, je len **zjednodušená technická dokumentácia** pre mikro a malé podniky a primeranosť opatrení voči riziku produktu. Rozhoduje teda **čo robíte** (uvádzate produkt s digitálnymi prvkami na trh?), nie **akí ste veľkí**. Rovnako nerozhoduje cena. „Produkt zadarmo" nie je automaticky mimo: ak je bezplatná appka súčasťou komerčnej ponuky (napr. free klient k platenej službe alebo nástroj, ktorý ťahá používateľov do plateného ekosystému), berie sa ako uvedená na trh v rámci obchodnej činnosti (čl. 3). Skutočne mimo je len nekomerčné poskytovanie bez akejkoľvek monetizácie. ## Čo s tým ďalej Ak ste sa našli v bodoch 1, 2, 3, 5 alebo 6, ste s najväčšou pravdepodobnosťou **výrobca** a týkajú sa vás dva termíny: **11. 9. 2026** (reporting podľa čl. 14, aj pre produkty, ktoré už predávate) a **11. 12. 2027** (plná konformita a CE). Prvé, čo v tom prípade urobte, je [určiť triedu produktu](https://craguard.eu/sk/blog/triedy-produktov-podla-cra) — väčšina bežného softvéru je v najmiernejšej „default" triede so self-assessmentom — a spraviť [SBOM](https://craguard.eu/sk/blog/ako-vygenerovat-sbom-za-10-minut) a [nahlasovací kanál](https://craguard.eu/sk/blog/security-txt-a-kanal-na-zranitelnosti). Body 4, 7 a 8 vás väčšinou nechávajú mimo — ale hrany (SaaS, open source, interné použitie) sa dolaďujú vo FAQ Komisie, takže si výsledok radšej overte a datujte. Body 9 a 10 znamenajú nepriame alebo špecifické povinnosti, ktorým sa venujeme v samostatných článkoch: [softvér na zákazku](https://craguard.eu/sk/blog/softver-na-zakazku-kto-je-vyrobca) a [dovozcovia a distribútori](https://craguard.eu/sk/blog/dovozcovia-a-distributori-povinnosti). A ak by ste kedykoľvek zasiahli do cudzieho produktu tak, že to zmení jeho bezpečnostné vlastnosti (podstatná zmena), alebo ho predávali pod vlastnou značkou, preklopíte sa do roly výrobcu podľa čl. 21 — aj keď ste pôvodne boli „len" distribútor. ## Ako pomáha CRAguard Presne túto prvú otázku sme zabalili do dvojminútového [scope-checkera](https://craguard.eu/sk/checker): odpoviete na šesť otázok a poviete vám, do ktorej z týchto kategórií patríte a čo z toho vyplýva. Ak už viete, že ste výrobca, dobrým druhým krokom je [SBOM za pár minút](https://craguard.eu/sk/blog/ako-vygenerovat-sbom-za-10-minut). [Zistite, či sa vás CRA týka](https://craguard.eu/sk/checker), alebo sa [zaraďte do waitlistu](https://craguard.eu/sk#waitlist) — dáme vedieť pri spustení. *Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 3, 14, 19–22, 24, recitál 12) a usmernenia Európskej komisie zo dňa 27. 7. 2026. Hraničné prípady (SaaS, open source, zákazkový vývoj) konzultujte.* Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Zdroje - [EUR-Lex — Regulation (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - [ENISA — Single Reporting Platform](https://www.enisa.europa.eu/) --- Zdroj: CRAguard — https://craguard.eu