# Risk assessment podľa čl. 13: praktická metóda na dve strany Canonical: https://craguard.eu/sk/blog/risk-assessment-podla-cl-13 Language: sk Naposledy aktualizované: 2026-09-02 - [CRAguard](https://craguard.eu/sk)/ - [Blog](https://craguard.eu/sk/blog)/ - Risk assessment podľa čl. 13: praktická metóda na dve strany 27. 8. 2026 · CRAguard Zhrnutie Čl. 13 nariadenia (EÚ) 2024/2847 žiada posúdenie kybernetických rizík, ktoré sa premietne do návrhu, vývoja aj údržby produktu a je súčasťou technickej dokumentácie (Príloha VII). Pre malú firmu stačí dvojstranový dokument: identifikujte aktíva a dáta, vymenujte hrozby, ohodnoťte pravdepodobnosť a dopad, priraďte opatrenia z Prílohy I a zapíšte, čo neriešite a prečo. Aktualizujte ho pri väčších zmenách. Slovo „risk assessment" znie ako projekt na týždne, ale pre malú firmu je to **dvojstranový dokument**, ktorý raz spíšete a potom už len udržiavate. Cyber Resilience Act ho vyžaduje v **čl. 13**: posúdenie kybernetických rizík má riadiť to, ako produkt navrhujete, vyvíjate, dodávate a udržiavate, a je súčasťou technickej dokumentácie (bod 3 Prílohy VII). Ukážeme jednoduchú metódu, ktorú zvládnete bez konzultanta. ## Načo to je (a načo nie) Risk assessment nie je papier pre papier. Je to nástroj, ktorý vám povie, **kam sústrediť úsilie**: ktoré časti produktu chrániť najviac a ktoré požiadavky z Prílohy I sú pre vás relevantné. CRA nechce univerzálny „maximálny" produkt — chce, aby ste bezpečnostné opatrenia zvolili **primerane rizikám** svojho konkrétneho produktu. A práve to risk assessment dokladá. ## Metóda na dve strany Postupujte v piatich krokoch. Každý je pár riadkov, nie kapitola: - **Popíšte produkt a jeho hranice.** Čo to je, čo robí, s čím komunikuje (siete, API, súbory, zariadenia), aké dáta spracúva. Toto je kontext pre všetko ďalšie. - **Vymenujte aktíva a dáta.** Čo má hodnotu alebo je citlivé: používateľské údaje, prihlasovacie tajomstvá, konfigurácia, integrita samotného produktu. - **Identifikujte hrozby.** Ku každému aktívu: čo by sa mohlo pokaziť? Neoprávnený prístup, únik dát, podvrhnutá aktualizácia, zneužitie zraniteľného komponentu, DoS. Nemusí to byť vyčerpávajúce — musí to byť poctivé. - **Ohodnoťte pravdepodobnosť a dopad.** Jednoduchá škála (nízka/stredná/vysoká) stačí. Súčin vám dá poradie: čo riešiť prednostne a čo je okrajové. - **Priraďte opatrenia.** Ku každému významnému riziku napíšte, čo s ním robíte — a naviažte to na konkrétnu **požiadavku z Prílohy I časť I** (napr. bezpečná autentifikácia, šifrovanie dát, minimalizácia útočnej plochy, bezpečná distribúcia aktualizácií). Na koniec pridajte krátku vetu ku každému riziku, ktoré **vedome neriešite** — a prečo (je mimo hraníc produktu, dopad je zanedbateľný). Vedomé rozhodnutie zdokumentované je lepšie než tichá diera. Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Mini-príklad na jednom riadku Ako vyzerá jeden riadok takého posúdenia? Povedzme desktop aplikácia, ktorá ukladá prihlasovacie tokeny: - **Aktívum:** prihlasovací token uložený lokálne. - **Hrozba:** iný proces alebo používateľ na tom istom stroji token prečíta. - **Pravdepodobnosť × dopad:** stredná × vysoká → prednostné. - **Opatrenie:** token šifrovať a uložiť do OS keychainu; naviazané na požiadavku „ochrana dôvernosti údajov" z Prílohy I časť I. Takýchto riadkov máte na dvoch stranách pokojne desať–pätnásť. Nie je to o objeme, ale o tom, že ku každému významnému riziku existuje **rozhodnutie s väzbou na požiadavku**. To je presne to, čo od vás risk assessment podľa čl. 13 chce — a čo neskôr uľahčí aj [technickú dokumentáciu](https://craguard.eu/sk/blog/self-assessment-modul-a-technicka-dokumentacia). ## Ako ho napojiť na zvyšok Risk assessment nestojí sám. Jeho výstup sa premieta do: - **Návrhu a vývoja** — opatrenia z bodu 5 sú to, čo v produkte reálne robíte (secure-by-design vlastnosti z Prílohy I časť I). - **Riešenia zraniteľností** — riziko „zraniteľný komponent" vás privedie k SBOM a monitoringu (Príloha I časť II). - **Technickej dokumentácie** — samotný dokument je bod 3 Prílohy VII, viď [článok o self-assessmente](https://craguard.eu/sk/blog/self-assessment-modul-a-technicka-dokumentacia). ## Udržiavanie Čl. 13 očakáva, že posúdenie **aktualizujete, keď je to potrebné** — nie mesačne pre nič za nič, ale pri väčších zmenách produktu, novej integrácii alebo novom type hrozby. V praxi stačí prejsť dvojstranu pri každom väčšom release a upraviť, čo sa zmenilo. Datujte verzie, aby bolo vidno, že dokument žije. ## Kedy ho revidovať Risk assessment nie je „raz a hotovo". Čl. 13 očakáva jeho aktualizáciu, keď je to potrebné — teda pri udalostiach, ktoré menia obraz rizika: - **väčšia zmena produktu** (nová funkcia, ktorá otvára novú útočnú plochu), - **nová integrácia** (pripojenie na cudzí systém, nový typ vstupu), - **nová trieda hrozby** alebo významná zraniteľnosť v komponente, ktorý používate, - **zmena spôsobu nasadenia** (napr. z on-prem na sieťovo dostupné). V praxi stačí prejsť dvojstranu pri každom väčšom release a upraviť, čo sa zmenilo. Datovanie verzií ukáže, že dokument žije — čo je pre orgán aj odberateľa dôveryhodnejšie než pekný, ale rok neaktualizovaný papier. ## Časté otázky - **Musí to robiť bezpečnostný expert?** Nie. Poctivá dvojstrana od vývojárskeho tímu je lepšia než drahý dokument, ktorému nikto nerozumie. - **Ako podrobné to má byť?** Primerane riziku produktu (čl. 13). Bežná aplikácia nepotrebuje stovky strán — potrebuje jasné rozhodnutia k významným rizikám. - **Kde risk assessment „žije" v dokumentácii?** Je to bod 3 technickej dokumentácie podľa Prílohy VII — teda niečo, čo aj tak potrebujete spísať. - **Musíme použiť konkrétnu metodiku?** Nariadenie žiadnu nepredpisuje; dôležité je, aby posúdenie bolo poctivé, naviazané na Prílohu I a aktualizované, keď je to potrebné. ## Kľúčový bod Risk assessment podľa čl. 13 nie je akademické cvičenie — je to nástroj, ktorý vám povie, kam sústrediť úsilie, a zároveň dôkaz, že ste bezpečnostné opatrenia zvolili **primerane rizikám** svojho produktu. Dá sa zvládnuť na dve strany v piatich krokoch: opíšte produkt a jeho hranice, vymenujte aktíva a dáta, identifikujte hrozby, ohodnoťte pravdepodobnosť a dopad a ku každému významnému riziku priraďte opatrenie naviazané na požiadavku z **Prílohy I časť I**. Riziká, ktoré vedome neriešite, tiež zapíšte — vedomé rozhodnutie s odôvodnením je lepšie než tichá diera. Dokument je bod 3 vašej technickej dokumentácie a živý zostáva vďaka revíziám pri väčších zmenách. Najživšiu vetvu — „zraniteľný komponent" — pokrýva priebežný monitoring SBOM, takže tá časť posúdenia je vždy aktuálna a doložená. ## Ako pomáha CRAguard Jednu z najživších častí rizika — „zraniteľný komponent" — drží CRAguard za vás: denne porovnáva váš SBOM proti databázam a dáva jasný verdikt, takže táto vetva risk assessmentu je vždy aktuálna a doložená audit trailom. Zvyšok dvojstrany navádzame šablónou. [Zistite, či sa vás CRA týka](https://craguard.eu/sk/checker), alebo sa [zaraďte do waitlistu](https://craguard.eu/sk#waitlist). *Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 13, Príloha I časť I, Príloha VII) a usmernenia Európskej komisie zo dňa 27. 7. 2026.* Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Zdroje - [EUR-Lex — Regulation (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - [ENISA — Single Reporting Platform](https://www.enisa.europa.eu/) --- Zdroj: CRAguard — https://craguard.eu