# CRA vs. NIS2 vs. GDPR: čo platí pre koho Canonical: https://craguard.eu/sk/blog/cra-vs-nis2-vs-gdpr Language: sk Naposledy aktualizované: 2026-09-02 - [CRAguard](https://craguard.eu/sk)/ - [Blog](https://craguard.eu/sk/blog)/ - CRA vs. NIS2 vs. GDPR: čo platí pre koho 1. 9. 2026 · CRAguard Zhrnutie CRA, NIS2 a GDPR sa neprekrývajú náhodou — každý rieši niečo iné. CRA (nariadenie 2024/2847) sa týka produktov s digitálnymi prvkami a ich výrobcov. NIS2 (smernica 2022/2555) rieši kybernetickú bezpečnosť prevádzky služieb u vybraných subjektov podľa sektora a veľkosti. GDPR (nariadenie 2016/679) sa týka spracúvania osobných údajov. Môžu platiť aj naraz — napr. výrobca zariadenia, ktorý spracúva osobné údaje. „Veď už máme GDPR, tak CRA nepotrebujeme" — táto veta zaznie často a je nesprávna. CRA, NIS2 a GDPR sú **tri rôzne predpisy**, každý mieri na niečo iné, a pokojne môžu platiť naraz. Poďme si ich rozlíšiť podľa jedinej otázky, ktorá to celé rozhoduje: *čo vlastne regulujú?* ## CRA — produkty **Cyber Resilience Act** (nariadenie (EÚ) 2024/2847) sa týka **produktov s digitálnymi prvkami** a tých, čo ich uvádzajú na trh EÚ (výrobcovia, dovozcovia, distribútori). Rieši, aby bol samotný produkt bezpečný: - **koho:** výrobcov softvéru a zariadení, dovozcov a distribútorov, - **čo:** secure-by-design vlastnosti (Príloha I časť I), riešenie zraniteľností (časť II), reporting aktívne zneužívaných zraniteľností (čl. 14), technická dokumentácia, CE, - **kedy:** reporting od 11. 9. 2026, plná konformita od 11. 12. 2027. ## NIS2 — prevádzka služieb **NIS2** (smernica (EÚ) 2022/2555) rieši **kybernetickú bezpečnosť prevádzky** u vybraných subjektov — nie produkt, ale to, ako organizácia chráni svoje služby a siete. Kľúčové rozdiely oproti CRA: - **koho:** „podstatné" a „dôležité" subjekty podľa **sektora a veľkosti** (energetika, doprava, zdravotníctvo, digitálna infraštruktúra, poskytovatelia IT služieb a ďalšie) — sem spadá aj veľa poskytovateľov SaaS, - **čo:** opatrenia na riadenie rizík, hlásenie incidentov národnému CSIRT, zodpovednosť vedenia, - **forma:** je to **smernica**, ktorú si každý štát preberá do vlastného zákona — detaily transpozície sa líšia podľa krajiny. Práve preto je **čistý SaaS** väčšinou mimo CRA, ale môže byť v rozsahu NIS2 — viac v [článku o CRA a SaaS](https://craguard.eu/sk/blog/cra-a-saas-kedy-ste-mimo). Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## GDPR — osobné údaje **GDPR** (nariadenie (EÚ) 2016/679) sa týka **spracúvania osobných údajov** — bez ohľadu na to, či robíte produkt alebo prevádzkujete službu. Ak spracúvate údaje o ľuďoch, platí: - **koho:** každého, kto spracúva osobné údaje osôb v EÚ, - **čo:** právny základ spracúvania, bezpečnosť spracúvania, práva dotknutých osôb, **hlásenie porušenia ochrany údajov dozornému orgánu do 72 hodín** (čl. 33), - **pozor na zámenu lehôt:** 72 hodín v GDPR (porušenie ochrany údajov) je **iná povinnosť** než 24/72 hodín v CRA (aktívne zneužívaná zraniteľnosť/incident). Nezamieňajte ich. ## Pozor na zámenu lehôt Najčastejšia praktická chyba nie je v rozsahu, ale v **lehotách hlásenia** — každý predpis má vlastné: - **CRA (čl. 14):** aktívne zneužívaná zraniteľnosť / závažný incident → 24 h včasné varovanie a 72 h notifikácia (od zistenia), potom záverečná správa (zraniteľnosť: 14 dní od sprístupnenia opravy; incident: 1 mesiac od 72-hodinovej notifikácie) — cez SRP súčasne koordinujúcemu CSIRT a ENISA. - **GDPR (čl. 33):** porušenie ochrany osobných údajov → 72 h dozornému orgánu (na Slovensku Úrad na ochranu osobných údajov). - **NIS2 (čl. 23):** incident u podstatného/dôležitého subjektu → lehoty sú priamo v smernici (čl. 23(4)): 24 h včasné varovanie, 72 h oznámenie, záverečná správa do 1 mesiaca od oznámenia. Transpozícia (národný zákon) rieši, komu a ako sa hlási — na Slovensku národnému CSIRT. Tá istá udalosť vás môže zaviazať k viacerým hláseniam naraz — napr. incident, ktorý je zároveň únikom osobných údajov aj zásahom do bezpečnosti produktu. Preto sa oplatí mať vopred jasné, ktoré dráhy sa vás týkajú. ## Kedy platia naraz Rozdiel v rozsahu neznamená „vyber si jeden". Bežné kombinácie: - **Výrobca zariadenia, ktoré spracúva osobné údaje** → CRA (produkt) + GDPR (údaje). - **Poskytovateľ SaaS v regulovanom sektore** → NIS2 (prevádzka) + GDPR (údaje); CRA väčšinou nie, ak nedodáva inštalovateľný produkt. - **Malý výrobca softvéru bez osobných údajov a mimo NIS2 sektorov** → prevažne len CRA. ## Prečo si to firmy mýlia Zámena vzniká preto, že všetky tri predpisy hovoria o „kybernetickej bezpečnosti" a majú lehoty na hlásenie — no každý mieri inam. Pomôže jedna veta ku každému: **CRA = bezpečný produkt**, **NIS2 = bezpečná prevádzka organizácie**, **GDPR = ochrana osobných údajov**. Keď si pri konkrétnej povinnosti položíte otázku „týka sa to môjho produktu, mojej prevádzky, alebo údajov o ľuďoch?", takmer vždy trafíte správny predpis. Druhý zdroj zmätku je predpoklad, že „jeden stačí". Nestačí — sú to nezávislé režimy s vlastnými orgánmi. Splniť GDPR neznamená splniť CRA a naopak. Preto sa oplatí najprv zmapovať, ktoré z troch sa vás vôbec týkajú, a až potom riešiť detaily; pre CRA časť je prvým krokom [scope-checker](https://craguard.eu/sk/checker). ## Časté otázky - **Sme e-shop, týka sa nás CRA?** Samotný e-shop ako služba väčšinou nie (skôr GDPR, prípadne NIS2). Ak by ste ale predávali vlastný softvér alebo zariadenie, tá časť pod CRA spadá. - **Máme appku aj cloud — ktorý predpis?** Pokojne oba svety: CRA na inštalovateľnú časť a nevyhnutný backend, GDPR na osobné údaje, ktoré spracúvate. - **Platí 72-hodinová lehota z GDPR aj pre CRA?** Nie — sú to dve rôzne povinnosti s rôznymi adresátmi. Nezamieňajte ich. ## Kľúčový bod Tri predpisy, tri rôzne otázky. **CRA** (nariadenie 2024/2847) sa pýta „je váš produkt bezpečný?", **NIS2** (smernica 2022/2555) „je bezpečná prevádzka vašej organizácie?" a **GDPR** (nariadenie 2016/679) „chránite osobné údaje?". Nie sú to alternatívy, medzi ktorými si vyberiete — pokojne platia naraz: výrobca zariadenia so spracúvaním osobných údajov je pod CRA aj GDPR, poskytovateľ SaaS v regulovanom sektore pod NIS2 aj GDPR. Najčastejšia praktická pasca nie je v rozsahu, ale v **lehotách hlásenia**: 72 hodín z GDPR (porušenie ochrany údajov, čl. 33) je iná povinnosť s iným adresátom než 24/72 hodín z CRA (aktívne zneužívaná zraniteľnosť, čl. 14). Preto si najprv zmapujte, ktoré z troch sa vás vôbec týkajú, a až potom riešte detaily. Pre CRA časť je prvým krokom scope-checker; NIS2 a GDPR sú samostatné svety s vlastnými nástrojmi. ## Ako pomáha CRAguard CRAguard rieši výslovne **CRA časť** — produktovú bezpečnosť, monitoring zraniteľností, nahlasovací kanál a podklady pre self-assessment. NIS2 a GDPR sú iné svety s vlastnými nástrojmi; my nepredstierame, že ich pokrývame. Čo vieme, je zbaviť vás CRA papierovačky a monitoringu. [Zistite, či sa vás CRA týka](https://craguard.eu/sk/checker), alebo sa [zaraďte do waitlistu](https://craguard.eu/sk#waitlist). *Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (CRA), smernice (EÚ) 2022/2555 (NIS2) a nariadenia (EÚ) 2016/679 (GDPR, čl. 33). Uvádza len rozsah a základné povinnosti, nie detaily národnej transpozície NIS2.* Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Zdroje - [EUR-Lex — Regulation (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - [ENISA — Single Reporting Platform](https://www.enisa.europa.eu/) --- Zdroj: CRAguard — https://craguard.eu