# Dodávateľské dotazníky: čo od vás veľký odberateľ bude chcieť a ako to dokázať Canonical: https://craguard.eu/sk/blog/dodavatelske-dotazniky-co-od-vas-chcu Language: sk Naposledy aktualizované: 2026-09-02 - [CRAguard](https://craguard.eu/sk)/ - [Blog](https://craguard.eu/sk/blog)/ - Dodávateľské dotazníky: čo od vás veľký odberateľ bude chcieť a ako to dokázať 4. 9. 2026 · CRAguard Zhrnutie Reálny tlak CRA na malé firmy nepríde najprv od úradu, ale od odberateľov. Vo verejných tendroch aj v súkromných dodávkach sa v bezpečnostných dotazníkoch pýta na SBOM, kanál na nahlasovanie zraniteľností (VDP), advisories, support periódu a schopnosť doložiť, že to naozaj robíte. Väčšina týchto vecí sú tie isté povinnosti, ktoré od vás žiada aj CRA — takže sa oplatí mať pre ne jedno miesto s dôkazmi. Prvý, kto sa vás na CRA spýta, nebude orgán dohľadu — bude to **váš zákazník**. Veľké firmy a verejní obstarávatelia si bezpečnostné požiadavky presúvajú na dodávateľov cez **dotazníky** a zmluvné podmienky. A dobrá správa je, že to, čo v nich chcú, sa z veľkej časti prekrýva s tým, čo od vás žiada samotné nariadenie. Poďme si prejsť, na čo sa pýtajú a ako to doložiť. ## Prečo to príde skôr než pokuty Pokuty sú vzdialené a hypotetické; **strata zákazky je okamžitá a konkrétna**. Keď veľký odberateľ nemôže od vás dostať SBOM alebo kontakt na nahlasovanie zraniteľností, jednoducho si vyberie dodávateľa, ktorý ich má. Preto je pre malú firmu praktickejšie pozerať na CRA cez optiku „čo bude chcieť môj zákazník" než cez optiku sankcií. ## Čo sa v dotazníkoch typicky pýta Naprieč odvetviami sa opakuje tá istá skupina otázok. Väčšinu z nich už poznáte z ostatných článkov: - **SBOM.** „Poskytnite zoznam komponentov produktu." — [ako ho vyrobiť](https://craguard.eu/sk/blog/ako-vygenerovat-sbom-za-10-minut). - **Kanál na nahlasovanie zraniteľností (VDP).** „Kam vám nahlásime bezpečnostný problém?" — [security.txt a kanál](https://craguard.eu/sk/blog/security-txt-a-kanal-na-zranitelnosti). - **Advisories.** „Ako zverejňujete opravené zraniteľnosti?" — [advisories](https://craguard.eu/sk/blog/security-advisory-kedy-a-ako). - **Support perióda.** „Ako dlho budete dodávať bezpečnostné aktualizácie?" — [support perióda](https://craguard.eu/sk/blog/support-perioda-podla-cra). - **Reakcia na zraniteľnosti.** „Ako rýchlo reagujete a ako to viete doložiť?" — proces triage a záznam o ňom. - **Zhoda s CRA.** „Ste pripravení na CRA?" — čo znamená self-assessment a v akej ste triede. Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Rozdiel medzi „povedať" a „dokázať" Kľúčové slovo v dotazníkoch je **dôkaz**. Napísať „áno, sledujeme zraniteľnosti" vie každý; ukázať **audit trail** — kedy ste sa o probléme dozvedeli, ako ste ho posúdili, kedy opravili a zverejnili — je to, čo odberateľa presvedčí. Práve schopnosť doložiť je najčastejšie to, čo malým firmám chýba, keď robotu robia, ale nikde ju systematicky nezaznamenávajú. ## Ako vyzerá dobrá odpoveď Rozdiel medzi slabou a silnou odpoveďou v dotazníku: - **Slabá:** „Áno, sledujeme zraniteľnosti a reagujeme na ne." — tvrdenie bez dôkazu. - **Silná:** „Áno. Ku každej verzii držíme SBOM (CycloneDX), denne ho porovnávame proti OSV/KEV/EPSS, kritické nálezy riešime prednostne. Priložený je odkaz na náš nahlasovací kanál a posledné tri advisories; audit trail reakcií vieme exportovať na požiadanie." Druhá odpoveď nič nesľubuje navyše — len **ukazuje**, že to, čo aj tak robíte pre CRA, je doložiteľné. A práve doložiteľnosť je to, čo odberateľa presvedčí a čo vás odlíši od konkurenta, ktorý pri tej istej otázke iba prikývne. ## Čím skôr, tým lacnejšie Dotazník príde nečakane a s termínom. Ak podklady zháňate až vtedy, stojí to nervy a často aj zákazku. Ak ich máte pripravené priebežne — ako vedľajší produkt bežnej práce na CRA — odpoveď je otázkou pár minút a jedného odkazu. Inak povedané: to isté úsilie, ktoré investujete do CRA (SBOM, kanál, advisories, audit trail), sa vám vráti dvakrát — raz voči úradu, raz voči zákazníkovi. ## Ako sa na to pripraviť: jedno miesto s dôkazmi Namiesto toho, aby ste pri každom dotazníku zháňali informácie po e-mailoch a excel súboroch, oplatí sa mať **jedno miesto**, kde je pri každom produkte pohromade: aktuálny SBOM, odkaz na nahlasovací kanál a advisories, deklarovaná support perióda a **záznam o reakciách na zraniteľnosti**. Takej stránke sa niekedy hovorí „trust page" — pre odberateľa je to skratka namiesto desiatich otázok, pre vás jeden odkaz namiesto opakovaného vypĺňania. ## Verejné tendre a väčší odberatelia Vo verejnom obstarávaní a pri veľkých firmách býva bezpečnostný dotazník súčasťou podmienok účasti, nie „nice to have". Čím ďalej, tým častejšie sa v ňom objavuje aj priama otázka na pripravenosť na CRA — a odpoveď „pracujeme na tom" je slabšia než doložený stav. Práve tu sa oplatí mať podklady po ruke: nie je nič horšie, než prísť o zákazku pre chýbajúci SBOM, ktorý viete vygenerovať jedným príkazom. ## Časté otázky - **Musíme SBOM posielať každému, kto oň požiada?** Voči CRA sa SBOM predkladá orgánu na žiadosť; voči zákazníkovi je to zmluvná vec — ale keď ho už máte, poskytnutie je jednoduché. - **Čo ak nemáme audit trail?** Začnite ho viesť teraz — aj pár mesiacov histórie reakcií je lepšia odpoveď než prázdno. Ide o dôkaz, že proces beží. - **Je „trust page" povinná?** Nie je to povinnosť z nariadenia, ale praktický spôsob, ako na opakované dotazníky odpovedať jedným odkazom. ## Kľúčový bod Reálny tlak CRA na malé firmy nepríde najprv od úradu, ale od **odberateľov**. A dobrá správa je, že to, čo si pýtajú v dotazníkoch — SBOM, nahlasovací kanál, advisories, support perióda, dôkazy o reakciách — sú z veľkej časti tie isté povinnosti, ktoré od vás žiada aj nariadenie. Nerobíte teda robotu „navyše": to isté úsilie sa vám vráti dvakrát, raz voči úradu a raz voči zákazníkovi. Rozhodujúce slovo je **dôkaz**: napísať „áno, sledujeme zraniteľnosti" vie každý, ale doložiť audit trail presvedčí. Preto sa oplatí mať jedno miesto, kde je pri každom produkte pohromade aktuálny SBOM, kanál, advisories, support perióda a záznam reakcií — a odpovedať na desať otázok jedným odkazom namiesto opakovaného zháňania po e-mailoch. Kto má podklady pripravené priebežne, ten neprichádza o zákazky pre chýbajúci dokument, ktorý sa dá vyrobiť jedným príkazom. ## Ako pomáha CRAguard CRAguard tieto dôkazy vytvára ako vedľajší produkt bežnej práce: verzovaný SBOM, hostovaný nahlasovací kanál a advisories, evidencia support periódy a **exportovateľný audit trail** reakcií na zraniteľnosti. Keď príde dotazník, väčšinu odpovedí máte doložených bez zháňania. [Zistite, či sa vás CRA týka](https://craguard.eu/sk/checker), alebo sa [zaraďte do waitlistu](https://craguard.eu/sk#waitlist). *Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (Príloha I, čl. 13, čl. 14) a usmernenia Európskej komisie zo dňa 27. 7. 2026. Obsah konkrétnych dodávateľských dotazníkov určuje odberateľ, nie nariadenie.* Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Zdroje - [EUR-Lex — Regulation (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - [ENISA — Single Reporting Platform](https://www.enisa.europa.eu/) --- Zdroj: CRAguard — https://craguard.eu