Softvér na zákazku a agentúry: kto je výrobca, keď vyvíjate pre klienta?

„Vyvinuli sme appku pre klienta — kto je teraz podľa CRA výrobca?" Táto otázka trápi každú agentúru a freelancera. Odpoveď má jasné jadro aj sivé okraje. Poďme oboje rozobrať, aby ste vedeli, kde stojíte a čo si dať do zmluvy.

Jadro: rozhoduje, kto uvádza na trh pod svojou značkou

Podľa čl. 3 je výrobca ten, kto produkt vyvíja alebo dáva vyvinúť a uvádza ho na trh pod svojím menom alebo značkou. Pri klasickom zákazkovom vývoji to znamená, že výrobcom býva klient — je to jeho produkt, jeho značka, on ho uvádza medzi ľudí. Agentúra je v úlohe vývojára/subdodávateľa, nie výrobcu.

To je pravidlo, ktoré platí vo väčšine prípadov: postavili ste appku, klient ju vydáva pod svojím menom → výrobca je klient.

Kedy sa výrobcom stanete vy

Pravidlo má výnimky a treba ich poznať. Body 1–2 vyplývajú priamo z definície výrobcu (čl. 3), bod 3 z pravidla o podstatnej zmene treťou osobou (čl. 22). Výrobcom sa stávate, ak:

1. produkt uvádzate na trh pod vlastnou značkou — napr. ho predávate ako svoj hotový produkt viacerým zákazníkom,
2. produkt sami uvádzate na trh EÚ vo svojom mene, nielen odovzdávate klientovi,
3. robíte podstatnú zmenu už uvedeného produktu, ktorá ovplyvní jeho zhodu.

Inak povedané: čím viac ste „len ruky, ktoré kódia pre klientovu značku", tým skôr je výrobcom klient. Čím viac je to váš produkt, ktorý len predávate rôznym zákazníkom, tým skôr ste výrobcom vy.

Sivé okraje — a čo s nimi

Nie všetko je čiernobiele. Zákazkový vývoj má prípady, ktoré nariadenie samo priamo nerieši a spresňuje ich až usmernenie Komisie s príkladmi: napr. softvér šitý na mieru jedinému klientovi, ktorý sa ďalej „na trh" v bežnom zmysle nesprístupňuje, alebo delená zodpovednosť, keď na produkte pracuje viac strán. K dátumu tohto článku nie sú všetky takéto hrany jednoznačne ustálené — a práve preto sa nezaobídete bez zmluvy.

Prakticky: v zmluve s klientom si výslovne vyjasnite, kto je výrobca a kto nesie ktoré povinnosti (dokumentácia, reporting, support perióda). Nie je to len právna formalita — určuje to, kto pri prvom incidente podáva hlásenie a kto zodpovedá orgánu dohľadu.

Čo si konkrétne dať do zmluvy

Keďže rozhraničenie rolí je čiastočne na dohode, oplatí sa v zmluve s klientom vyriešiť aspoň tieto body:

1. Kto je výrobca podľa CRA a kto uvádza produkt na trh pod svojou značkou.
2. Kto nesie povinnosti výrobcu — technická dokumentácia, vyhlásenie o zhode, reporting podľa čl. 14, support perióda.
3. Čo dodá agentúra ako podklad — SBOM, opis secure-by-design opatrení, prípadne správy z testov.
4. Ako a dokedy reaguje agentúra na zraniteľnosti v dodanom kóde počas support periódy (lehoty, kontakt).
5. Čo sa deje po skončení spolupráce — odovzdanie SBOM a dokumentácie, aby klient vedel pokračovať.

Nie je to len právna formalita: pri prvom incidente presne tieto vety určia, kto podáva hlásenie a kto zodpovedá orgánu. Vyjasniť ich vopred je oveľa lacnejšie než dohadovať sa počas 24-hodinovej lehoty.

Čo agentúra dodá tak či tak

Aj keď výrobcom je klient, agentúra sa povinnostiam úplne nevyhne — len prichádzajú cez zmluvu, nie priamo zo zákona. Klient bude (a mal by) žiadať podklady, ktoré si sám do dokumentácie nevyrobí:

1. SBOM produktu, ktorý ste postavili,
2. secure-by-design dokumentáciu — ako ste riešili bezpečnosť pri vývoji,
3. súčinnosť pri zraniteľnostiach počas support periódy — keď vo vašom kóde vyjde problém, klient bude potrebovať vašu reakciu.

Toto je mimochodom aj obchodná príležitosť: agentúra, ktorá vie tieto podklady dodať ku každému projektu, je pre klienta cennejšia než tá, ktorá pri otázke na CRA pokrčí plecami.

Časté otázky

1. Vyvinuli sme appku a klient ju vydáva pod svojou značkou — kto je výrobca? Spravidla klient (uvádza produkt na trh pod svojím menom, čl. 3).
2. Predávame ten istý „hotový" produkt viacerým klientom pod naším menom — a teraz? Potom ste výrobca vy — je to váš produkt, nie zákazka na mieru.
3. Robíme len údržbu cudzieho produktu — sme výrobca? Bežná údržba nie; ale podstatná zmena ovplyvňujúca zhodu vás môže preklopiť na výrobcu (čl. 22).
4. Freelancer bez s.r.o. — mení to niečo? Nie, rozhoduje rola (kto uvádza na trh pod svojou značkou), nie právna forma.

Prečo je to aj obchodná príležitosť

Agentúra, ktorá vie ku každému projektu dodať SBOM, opis secure-by-design opatrení a súčinnosť pri zraniteľnostiach, je pre klienta cennejšia než tá, ktorá pri otázke na CRA pokrčí plecami. Klient tie podklady potrebuje do svojej technickej dokumentácie — a ak mu ich dáte, uľahčíte mu život a odlíšite sa. Z povinnosti sa tak stáva argument, prečo pracovať práve s vami.

Kľúčový bod

Kto je výrobca pri zákazkovom vývoji? Jadro je jasné: výrobcom je ten, kto produkt uvádza na trh pod svojím menom alebo značkou (čl. 3) — pri klasickej zákazke teda klient, nie agentúra. Výnimky treba poznať: výrobcom sa stávate vy, ak produkt predávate pod vlastnou značkou alebo ho sami uvádzate na trh (ste výrobca podľa definície v čl. 3), prípadne doň robíte podstatnú zmenu (čl. 22). Niektoré hrany zákazkového vývoja k dátumu článku nie sú jednoznačne ustálené a spresňuje ich až usmernenie Komisie — preto sa nezaobídete bez zmluvy, ktorá výslovne vyjasní, kto je výrobca a kto nesie ktoré povinnosti. Aj keď výrobcom je klient, agentúra sa povinnostiam nevyhne úplne: cez zmluvu dodá SBOM, secure-by-design dokumentáciu a súčinnosť pri zraniteľnostiach. Z toho sa dá spraviť aj konkurenčná výhoda — agentúra, ktorá tieto podklady dodá ku každému projektu, je pre klienta cennejšia.

Ako pomáha CRAguard

CRAguard je stavaný aj pre agentúry: pre každý klientsky projekt drží SBOM, monitoring zraniteľností a audit trail, ktorý odovzdáte klientovi ako dôkaz secure-by-design prístupu a súčinnosti. Namiesto ručného zháňania pri každej otázke máte podklady pripravené. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 3 definícia výrobcu, čl. 22) a usmernenia Európskej komisie zo dňa 27. 7. 2026. Niektoré hranice zákazkového vývoja k dátumu článku nie sú jednoznačne ustálené — konkrétne prípady konzultujte a ošetrite zmluvne.