Harmonizované normy meškajú: čo robiť, kým nie sú v Úradnom vestníku

Okolo harmonizovaných noriem k CRA je zmätok — a je dobré vedieť prečo. Krátko: normy, ktoré vám majú uľahčiť život, zatiaľ nevyšli. Poďme si vysvetliť, čo to znamená pre malú firmu a ako sa s tým dá pracovať, kým sa situácia dorieši.

Načo sú harmonizované normy

Harmonizovaná norma je technický dokument, ktorý „preloží" všeobecné požiadavky nariadenia do konkrétnych, overiteľných krokov. Jej hlavná výhoda je predpoklad zhody: kto normu uplatní v plnom rozsahu, o tom sa predpokladá, že spĺňa príslušné požiadavky CRA. Pri important triede I je to dokonca podmienka, aby ste zhodu mohli posúdiť sami (self-assessment) namiesto notifikovanej osoby — viac v článku o triedach.

Stav k dátumu článku

Háčik je v tom, že tieto normy sa ešte len tvoria. K dátumu tohto článku nie je žiadna harmonizovaná norma k CRA publikovaná v Úradnom vestníku EÚ. Podľa priebežných informácií sa horizontálne normy (bezpečný vývoj a riešenie zraniteľností) očakávali okolo konca októbra 2026, ďalšie — vertikálne a produktovo špecifické — neskôr, s časťou až v roku 2027. Konkrétne dátumy sú pohyblivé a menili sa; ber ich ako orientačné a over si aktuálny stav v čase čítania.

Bez normy v Úradnom vestníku jednoducho neexistuje predpoklad zhody — nemáte sa o čo oprieť ako o „hotový recept".

Čo robiť medzitým

Dobrá správa: nemusíte čakať. Zhoda sa dá — a musí — posudzovať priamo proti základným požiadavkám Prílohy I (časť I secure-by-design vlastnosti, časť II riešenie zraniteľností). Norma je pomôcka, nie jediná cesta. Praktický postup:

1. Pracujte podľa Prílohy I. Váš risk assessment a opatrenia naviažte priamo na požiadavky Prílohy I — presne to od vás CRA aj tak chce.
2. Dokumentujte proti článkom a prílohám, nie proti číslam noriem. Keď v technickej dokumentácii odkazujete na „čl. 13" či „Príloha I časť II bod 1", zostane to platné aj po vydaní noriem. Väzba na číslo normy, ktoré ešte neexistuje, by ste museli prepisovať.
3. Rátajte s premapovaním. Keď normy vyjdú, priradíte svoje existujúce opatrenia k ich bodom. Ak ste dokumentovali poctivo proti Prílohe I, je to mapovanie, nie prepisovanie.

Čo znamená „predpoklad zhody" v praxi

Predstavte si to ako dve cesty k tomu istému cieľu. S normou: uplatníte harmonizovanú normu v plnom rozsahu a predpokladá sa, že príslušnú požiadavku spĺňate — orgán to nemusí ďalej rozoberať. Bez normy: rovnaký cieľ dosiahnete tým, že preukážete zhodu priamo proti Prílohe I, len bez tej „skratky dôvery". Oboje je legálne; norma je pohodlie, nie podmienka existencie (okrem important triedy I, kde plné uplatnenie noriem rozhoduje o tom, či smiete self-assessment).

Konkrétne: keď dnes dokumentujete „bezpečnú distribúciu aktualizácií" proti Prílohe I časť II, opisujete svoje reálne riešenie (podpísané balíky, overený kanál). Keď neskôr vyjde norma, ktorá to spresní, priradíte svoj opis k jej bodom. Ak ste písali proti prílohe, je to mapovanie; keby ste písali proti číslu normy, ktoré neexistovalo, prepisovali by ste.

Prečo to nie je dôvod odkladať

Meškajúce normy sú niekedy zámienka na „počkáme". To je omyl z dvoch dôvodov. Po prvé, reporting podľa čl. 14 platí od 11. 9. 2026 bez ohľadu na normy — a ten nepočká. Po druhé, veci ako SBOM, nahlasovací kanál a monitoring zraniteľností nezávisia od žiadnej normy; sú to procesy, ktoré budete potrebovať tak či tak. Norma zmení nanajvýš formu dôkazu, nie podstatu toho, čo máte robiť.

Čo to znamená pre jednotlivé triedy

Dopad meškania nie je pre všetkých rovnaký:

1. Default trieda: normy nič nemenia na tom, že zhodu posúdite sami (modul A) proti Prílohe I. Robíte to tak či tak.
2. Important trieda I: tu je to citeľné — self-assessment je možný len pri plnom uplatnení harmonizovaných noriem. Kým nie sú, počíta sa s notifikovanou osobou. Pozorne teda sledujte, kedy vyjdú.
3. Important trieda II a critical: tretia strana sa vyžaduje tak či tak, takže meškanie horizontálnych noriem tu mení menej.

Časté otázky

1. Dá sa preukázať zhoda bez noriem? Áno — zhodu možno preukázať aj bez harmonizovaných noriem, priamo proti základným požiadavkám Prílohy I. Norma dáva len predpoklad zhody, nie je jedinou cestou.
2. Kde zistím aktuálny stav? Sledujte publikácie v Úradnom vestníku EÚ a priebežné prehľady stavu normalizácie; dátumy sa menia.
3. Máme počkať s dokumentáciou? Nie — píšte ju proti článkom a prílohám; po vydaní noriem len premapujete.

Kľúčový bod

Harmonizované normy majú dať výrobcom „predpoklad zhody" — pohodlnú skratku dôvery. Kým ale nie sú v Úradnom vestníku EÚ, táto skratka neexistuje, a to je stav k dátumu tohto článku. Nič to však nemení na tom, že zhodu môžete a musíte posudzovať priamo proti Prílohe I. Norma je pomôcka, nie jediná cesta (výnimkou je important trieda I, kde plné uplatnenie noriem rozhoduje o možnosti self-assessmentu). Tri praktické zásady: pracujte podľa Prílohy I, dokumentujte proti článkom a prílohám (nie proti neexistujúcim číslam noriem) a rátajte s neskorším premapovaním. A hlavne — meškanie noriem nie je dôvod odkladať. Reporting podľa čl. 14 platí od 11. 9. 2026 bez ohľadu na normy a procesy ako SBOM, kanál či monitoring na normách nezávisia. Kto dokumentuje poctivo proti prílohe, ten po vydaní noriem len priradí, nie prepisuje.

Ako pomáha CRAguard

CRAguard dokumentuje a verzuje podklady s väzbou na články a prílohy nariadenia, nie na zatiaľ neexistujúce čísla noriem — takže keď normy vyjdú, premapovanie je otázka priradenia, nie prepisovania. Monitoring zraniteľností a nahlasovací kanál bežia nezávisle od stavu noriem. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (Príloha I; predpoklad zhody z harmonizovaných noriem) a z priebežného stavu normalizácie (žiadna harmonizovaná norma zatiaľ nebola publikovaná v Úradnom vestníku EÚ; dátumy sú pohyblivé). Aktuálny stav noriem si overte pred použitím.