CRA vs. NIS2 vs. GDPR: čo platí pre koho

„Veď už máme GDPR, tak CRA nepotrebujeme" — táto veta zaznie často a je nesprávna. CRA, NIS2 a GDPR sú tri rôzne predpisy, každý mieri na niečo iné, a pokojne môžu platiť naraz. Poďme si ich rozlíšiť podľa jedinej otázky, ktorá to celé rozhoduje: čo vlastne regulujú?

CRA — produkty

Cyber Resilience Act (nariadenie (EÚ) 2024/2847) sa týka produktov s digitálnymi prvkami a tých, čo ich uvádzajú na trh EÚ (výrobcovia, dovozcovia, distribútori). Rieši, aby bol samotný produkt bezpečný:

1. koho: výrobcov softvéru a zariadení, dovozcov a distribútorov,
2. čo: secure-by-design vlastnosti (Príloha I časť I), riešenie zraniteľností (časť II), reporting aktívne zneužívaných zraniteľností (čl. 14), technická dokumentácia, CE,
3. kedy: reporting od 11. 9. 2026, plná konformita od 11. 12. 2027.

NIS2 — prevádzka služieb

NIS2 (smernica (EÚ) 2022/2555) rieši kybernetickú bezpečnosť prevádzky u vybraných subjektov — nie produkt, ale to, ako organizácia chráni svoje služby a siete. Kľúčové rozdiely oproti CRA:

1. koho: „podstatné" a „dôležité" subjekty podľa sektora a veľkosti (energetika, doprava, zdravotníctvo, digitálna infraštruktúra, poskytovatelia IT služieb a ďalšie) — sem spadá aj veľa poskytovateľov SaaS,
2. čo: opatrenia na riadenie rizík, hlásenie incidentov národnému CSIRT, zodpovednosť vedenia,
3. forma: je to smernica, ktorú si každý štát preberá do vlastného zákona — detaily transpozície sa líšia podľa krajiny.

Práve preto je čistý SaaS väčšinou mimo CRA, ale môže byť v rozsahu NIS2 — viac v článku o CRA a SaaS.

GDPR — osobné údaje

GDPR (nariadenie (EÚ) 2016/679) sa týka spracúvania osobných údajov — bez ohľadu na to, či robíte produkt alebo prevádzkujete službu. Ak spracúvate údaje o ľuďoch, platí:

1. koho: každého, kto spracúva osobné údaje osôb v EÚ,
2. čo: právny základ spracúvania, bezpečnosť spracúvania, práva dotknutých osôb, hlásenie porušenia ochrany údajov dozornému orgánu do 72 hodín (čl. 33),
3. pozor na zámenu lehôt: 72 hodín v GDPR (porušenie ochrany údajov) je iná povinnosť než 24/72 hodín v CRA (aktívne zneužívaná zraniteľnosť/incident). Nezamieňajte ich.

Pozor na zámenu lehôt

Najčastejšia praktická chyba nie je v rozsahu, ale v lehotách hlásenia — každý predpis má vlastné:

1. CRA (čl. 14): aktívne zneužívaná zraniteľnosť / závažný incident → 24 h včasné varovanie a 72 h notifikácia (od zistenia), potom záverečná správa (zraniteľnosť: 14 dní od sprístupnenia opravy; incident: 1 mesiac od 72-hodinovej notifikácie) — cez SRP súčasne koordinujúcemu CSIRT a ENISA.
2. GDPR (čl. 33): porušenie ochrany osobných údajov → 72 h dozornému orgánu (na Slovensku Úrad na ochranu osobných údajov).
3. NIS2 (čl. 23): incident u podstatného/dôležitého subjektu → lehoty sú priamo v smernici (čl. 23(4)): 24 h včasné varovanie, 72 h oznámenie, záverečná správa do 1 mesiaca od oznámenia. Transpozícia (národný zákon) rieši, komu a ako sa hlási — na Slovensku národnému CSIRT.

Tá istá udalosť vás môže zaviazať k viacerým hláseniam naraz — napr. incident, ktorý je zároveň únikom osobných údajov aj zásahom do bezpečnosti produktu. Preto sa oplatí mať vopred jasné, ktoré dráhy sa vás týkajú.

Kedy platia naraz

Rozdiel v rozsahu neznamená „vyber si jeden". Bežné kombinácie:

1. Výrobca zariadenia, ktoré spracúva osobné údaje → CRA (produkt) + GDPR (údaje).
2. Poskytovateľ SaaS v regulovanom sektore → NIS2 (prevádzka) + GDPR (údaje); CRA väčšinou nie, ak nedodáva inštalovateľný produkt.
3. Malý výrobca softvéru bez osobných údajov a mimo NIS2 sektorov → prevažne len CRA.

Prečo si to firmy mýlia

Zámena vzniká preto, že všetky tri predpisy hovoria o „kybernetickej bezpečnosti" a majú lehoty na hlásenie — no každý mieri inam. Pomôže jedna veta ku každému: CRA = bezpečný produkt, NIS2 = bezpečná prevádzka organizácie, GDPR = ochrana osobných údajov. Keď si pri konkrétnej povinnosti položíte otázku „týka sa to môjho produktu, mojej prevádzky, alebo údajov o ľuďoch?", takmer vždy trafíte správny predpis.

Druhý zdroj zmätku je predpoklad, že „jeden stačí". Nestačí — sú to nezávislé režimy s vlastnými orgánmi. Splniť GDPR neznamená splniť CRA a naopak. Preto sa oplatí najprv zmapovať, ktoré z troch sa vás vôbec týkajú, a až potom riešiť detaily; pre CRA časť je prvým krokom scope-checker.

Časté otázky

1. Sme e-shop, týka sa nás CRA? Samotný e-shop ako služba väčšinou nie (skôr GDPR, prípadne NIS2). Ak by ste ale predávali vlastný softvér alebo zariadenie, tá časť pod CRA spadá.
2. Máme appku aj cloud — ktorý predpis? Pokojne oba svety: CRA na inštalovateľnú časť a nevyhnutný backend, GDPR na osobné údaje, ktoré spracúvate.
3. Platí 72-hodinová lehota z GDPR aj pre CRA? Nie — sú to dve rôzne povinnosti s rôznymi adresátmi. Nezamieňajte ich.

Kľúčový bod

Tri predpisy, tri rôzne otázky. CRA (nariadenie 2024/2847) sa pýta „je váš produkt bezpečný?", NIS2 (smernica 2022/2555) „je bezpečná prevádzka vašej organizácie?" a GDPR (nariadenie 2016/679) „chránite osobné údaje?". Nie sú to alternatívy, medzi ktorými si vyberiete — pokojne platia naraz: výrobca zariadenia so spracúvaním osobných údajov je pod CRA aj GDPR, poskytovateľ SaaS v regulovanom sektore pod NIS2 aj GDPR. Najčastejšia praktická pasca nie je v rozsahu, ale v lehotách hlásenia: 72 hodín z GDPR (porušenie ochrany údajov, čl. 33) je iná povinnosť s iným adresátom než 24/72 hodín z CRA (aktívne zneužívaná zraniteľnosť, čl. 14). Preto si najprv zmapujte, ktoré z troch sa vás vôbec týkajú, a až potom riešte detaily. Pre CRA časť je prvým krokom scope-checker; NIS2 a GDPR sú samostatné svety s vlastnými nástrojmi.

Ako pomáha CRAguard

CRAguard rieši výslovne CRA časť — produktovú bezpečnosť, monitoring zraniteľností, nahlasovací kanál a podklady pre self-assessment. NIS2 a GDPR sú iné svety s vlastnými nástrojmi; my nepredstierame, že ich pokrývame. Čo vieme, je zbaviť vás CRA papierovačky a monitoringu. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (CRA), smernice (EÚ) 2022/2555 (NIS2) a nariadenia (EÚ) 2016/679 (GDPR, čl. 33). Uvádza len rozsah a základné povinnosti, nie detaily národnej transpozície NIS2.