Triedy produktov podľa CRA: default, important I a II, critical — s príkladmi

Nie každý produkt s digitálnymi prvkami sa posudzuje rovnako prísne. Cyber Resilience Act ich delí do štyroch úrovní podľa rizika, a od tej vašej závisí, či si zhodu posúdite sami, alebo potrebujete tretiu stranu. Dobrá správa pre väčšinu malých firiem: pravdepodobne ste v tej najmiernejšej. Poďme si to prejsť.

Default — väčšina produktov

Ak váš produkt nie je v žiadnej z osobitných kategórií (Príloha III ani IV), patrí do default triedy. To je väčšina bežného softvéru a zariadení: účtovná aplikácia, e-shop plugin, mobilná appka, firmvér bežného spotrebiča. Pre default triedu platí self-assessment podľa modulu A — zhodu vyhlasujete sami na základe vlastnej technickej dokumentácie, bez notifikovanej osoby. Čo do dokumentácie patrí, rozoberá článok o self-assessmente a Prílohe VII.

Important trieda I (Príloha III)

„Important" produkty plnia citlivejšiu bezpečnostnú funkciu, a preto sa naň kladie vyššia latka. Trieda I zahŕňa napríklad:

1. správcov hesiel a nástroje na správu identít a privilegovaného prístupu,
2. samostatné aj vstavané prehliadače,
3. antimalware, VPN, nástroje na správu siete (NMS) a SIEM,
4. operačné systémy, boot managery, PKI a vydávanie certifikátov,
5. routery, modemy určené na pripojenie k internetu a switche, fyzické a virtuálne sieťové rozhrania,
6. mikroprocesory a mikrokontroléry s bezpečnostnými funkciami,
7. smart home s bezpečnostnou funkciou (zámky, kamery, alarmy, baby monitory), hlasových asistentov, pripojené hračky so sociálnymi/lokalizačnými funkciami a wearables na monitoring zdravia,
8. ASIC a FPGA s bezpečnostnou funkciou.

Pre triedu I je self-assessment možný len pri plnom uplatnení harmonizovaných noriem, spoločných špecifikácií — alebo ak má produkt certifikát podľa európskej schémy certifikácie na úrovni záruk aspoň „substantial" (čl. 32(2)). Harmonizované normy zatiaľ nevyšli (viac v článku o meškajúcich normách), takže dovtedy sa pri triede I spravidla počíta s posúdením notifikovanou osobou.

Important trieda II (Príloha III)

Trieda II je ešte citlivejšia a self-assessment tu nestačí — vyžaduje sa posúdenie notifikovanou osobou (modul B+C alebo H). Patria sem napríklad:

1. hypervízory a container runtime (technológie virtualizácie),
2. firewally, systémy na detekciu a prevenciu prienikov (IDS/IPS),
3. mikroprocesory a mikrokontroléry odolné voči manipulácii (tamper-resistant).

Critical (Príloha IV)

Najvyššia úroveň. Critical produkty môžu byť delegovaným aktom (čl. 8) povinne podrobené európskej schéme certifikácie prijatej podľa nariadenia (EÚ) 2019/881 (Cybersecurity Act), s úrovňou záruk aspoň „substantial"; dovtedy sa počíta s posúdením treťou stranou. Ide o úzku skupinu:

1. hardvérové zariadenia s bezpečnostným boxom (security box),
2. smart meter gateway (brány inteligentných meračov),
3. smartcards a secure elements.

Príklady zaradenia

Aby to bolo hmatateľné, pár typických produktov:

1. Fakturačná desktop aplikácia → nie je v Prílohe III ani IV → default, self-assessment.
2. Správca hesiel → Príloha III trieda I → important I (self-assessment len pri plnom uplatnení noriem, inak notifikovaná osoba).
3. Firewall alebo IDS/IPS → Príloha III trieda II → important II, posúdenie notifikovanou osobou.
4. Smartcard / secure element → Príloha IV → critical, európska certifikácia po delegovanom akte (čl. 8).

Čo pri kombinácii kategórií

Ak produkt spadá do viacerých kategórií naraz, platí jednoduché pravidlo: rozhoduje tá prísnejšia. Príklady:

1. Produkt sedí na triedu I aj II → berie sa ako trieda II (prísnejšia).
2. Produkt je v triede II aj v Prílohe IV → berie sa ako critical.

Zmysel je zrejmý: nemôžete sa „schovať" do miernejšieho režimu tým, že produkt zapadá aj do menej prísnej kategórie.

Ako zistiť, kam patríte

Poradie je jednoduché: ak produkt nenájdete v Prílohe III ani IV, ste default. Ak sedí na kategóriu v Prílohe III, ste important I alebo II; ak na Prílohu IV, ste critical. Pri kombinácii viacerých kategórií rozhoduje tá prísnejšia. Presne túto logiku má náš scope-checker — vyberiete kategórie a povie vám triedu aj to, čo z nej vyplýva pre posúdenie zhody.

Časté otázky

1. Ako viem, či som „important"? Porovnajte produkt so zoznamom kategórií v Prílohe III. Ak sa nenájdete tam ani v Prílohe IV, ste default.
2. Je operačný systém naozaj important? Áno, OS je v Prílohe III triede I — spolu s prehliadačmi, VPN, správcami hesiel a ďalšími.
3. Mení trieda niečo na reportingu podľa čl. 14? Nie. Reporting od 11. 9. 2026 platí bez ohľadu na triedu; trieda mení spôsob posúdenia zhody.
4. Sme na hrane dvoch kategórií — čo platí? Prísnejšia (I + II → II; II + critical → critical).

Prečo je dobré poznať triedu skoro

Trieda určuje, koľko „papierovačky" a koho pomoci budete potrebovať — a to sa oplatí vedieť skôr než neskôr. Väčšina malých firiem skončí v default triede, kde je celý proces v ich rukách (self-assessment). Ak ale zistíte, že ste important alebo critical, počítajte s notifikovanou osobou či certifikáciou a s dlhším časom — a s tým, že pri important I bude dôležité, kedy vyjdú harmonizované normy.

Kľúčový bod

CRA delí produkty do štyroch úrovní podľa rizika a od tej vašej závisí, či si zhodu posúdite sami alebo potrebujete tretiu stranu. Default (väčšina bežného softvéru): self-assessment podľa modulu A. Important trieda I (Príloha III — napr. OS, prehliadače, VPN, správcovia hesiel): self-assessment len pri plnom uplatnení harmonizovaných noriem, inak notifikovaná osoba. Important trieda II (napr. firewally, hypervízory): notifikovaná osoba vždy. Critical (Príloha IV — napr. smartcards, secure elements): európska certifikácia. Postup určenia je jednoduchý: ak produkt nenájdete v Prílohe III ani IV, ste default; pri kombinácii kategórií rozhoduje prísnejšia. Dobrá správa pre malé firmy je, že drvivá väčšina skončí v default triede, kde je celý proces v ich rukách. Poznať triedu skoro sa oplatí — určuje, koľko papierovačky a čí podpis budete potrebovať a s akým časovým predstihom.

Ako pomáha CRAguard

CRAguard vám v scope-checkeri určí triedu a naviaže na ňu ďalšie kroky — od SBOM cez nahlasovací kanál po podklady pre posúdenie zhody. Väčšina malých firiem skončí v default triede, kde je celý proces v ich rukách a my ho vieme maximálne zjednodušiť. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (Príloha III a IV, moduly posudzovania zhody) a usmernenia Európskej komisie zo dňa 27. 7. 2026. Presné zaradenie hraničných produktov konzultujte.