Rýchla odpoveď
CRA sa spravidla vzťahuje na produkt, ak sú splnené všetky tieto podmienky:
- ide o softvérový alebo hardvérový produkt, prípadne samostatne uvádzaný komponent, vrátane jeho nevyhnutného spracovania údajov na diaľku;
- jeho zamýšľaný účel alebo odôvodnene predvídateľné použitie zahŕňa priame alebo nepriame, logické alebo fyzické dátové pripojenie k zariadeniu alebo sieti;
- produkt je sprístupnený na trhu EÚ – dodaný na distribúciu alebo používanie v rámci obchodnej činnosti, za odplatu alebo bezplatne; a
- neuplatňuje sa niektorá z výnimiek podľa článku 2 CRA alebo následného delegovaného aktu.
Ak odpoviete „áno“, ešte musíte určiť, či ide o produkt s digitálnymi prvkami, dôležitý produkt s digitálnymi prvkami triedy I alebo II, alebo kritický produkt s digitálnymi prvkami. Kategória ovplyvňuje najmä postup posudzovania zhody; základné požiadavky CRA sa vzťahujú na všetky produkty v rozsahu pôsobnosti.
Čo je produkt s digitálnymi prvkami
Podľa článku 3 ods. 1 CRA je to softvérový alebo hardvérový produkt a jeho riešenia spracovania údajov na diaľku vrátane softvérových alebo hardvérových komponentov uvádzaných na trh samostatne.
Typické príklady, ktoré môžu patriť do rozsahu pôsobnosti, ak spĺňajú aj ostatné testy:
Softvér
- mobilná aplikácia stiahnutá z obchodu s aplikáciami;
- desktopová aplikácia alebo aplikácia vytvorená webovými technológiami, ale nainštalovaná a spúšťaná lokálne;
- operačný systém, firmvér, ovládač zariadenia alebo zásuvný modul prehliadača;
- komerčne dodávaná knižnica, SDK, zdrojový kód alebo iný komponent;
- nástroj VPN, správca hesiel, prehliadač, firewall alebo systém SIEM.
Hardvér
- pripojený spotrebič, nositeľné zariadenie, detská pestúnka alebo inteligentný zámok;
- router, modem, riadený switch, sieťová tlačiareň alebo priemyselný riadiaci prvok;
- notebook, tablet, IoT zariadenie alebo zariadenie s firmvérom;
- samostatne dodávaný integrovaný obvod, základná doska, mikroprocesor alebo mikrokontrolér.
Nie je rozhodujúce, či sa softvér dodá na nosiči, cez obchod s aplikáciami alebo stiahnutím. Dôležité je, či sa produkt dodáva používateľovi a pracuje na jeho elektronickom informačnom systéme alebo ako jeho súčasť.
Čo zvyčajne nie je samostatným produktom podľa CRA
- webová stránka, ktorá iba zobrazuje informácie;
- webová aplikácia spúšťaná výlučne na diaľku a sprístupnená iba cez prehliadač;
- všeobecná cloudová, SaaS, PaaS alebo IaaS služba len preto, že sa používa cez internet;
- nedokončený kód zdieľaný počas vývoja na testovanie alebo kontrolu;
- ukážkový kód v návode alebo školiacom materiáli;
- čisto interný nástroj, ktorý nie je dodaný inej osobe na trhu EÚ.
Tieto položky však môžu byť súčasťou produktu ako spracovanie údajov na diaľku, komponent alebo zdroj kybernetického rizika. Výsledok závisí od konkrétneho riešenia.
Dátové pripojenie
Produkt spĺňa test pripojenia, ak jeho zamýšľaný účel alebo odôvodnene predvídateľné použitie zahŕňa dátové pripojenie k zariadeniu alebo sieti. Pripojenie môže byť:
- priame – napríklad Ethernet, USB, Wi‑Fi, mobilná sieť alebo Bluetooth;
- nepriame – napríklad výmena údajov cez bránu, hub, synchronizačnú službu alebo iné zariadenie;
- fyzické – prostredníctvom portu, kábla alebo fyzického rozhrania;
- logické – prostredníctvom protokolu, API, softvérového rozhrania alebo virtuálnej siete.
Samotné tvrdenie výrobcu, že produkt je „offline“, nemusí rozhodovať, ak sa dá pri odôvodnene predvídateľnom použití pripájať alebo vymieňať údaje.
Sprístupnenie a uvedenie na trh
Sprístupnenie na trhu znamená dodanie produktu na distribúciu alebo používanie na trhu EÚ v rámci obchodnej činnosti, či už za odplatu alebo bezplatne. Uvedenie na trh je prvé takéto sprístupnenie konkrétneho produktu.
Bezplatný produkt preto nie je automaticky mimo CRA. Rozhodujúci je obchodný kontext, nie iba cenovka. Pri posudzovaní si položte najmä tieto otázky:
- účtujete cenu za produkt alebo za prístup k jeho aktuálnej verzii či bezpečnostným aktualizáciám?
- slúži produkt na speňažovanie iných produktov alebo služieb, napríklad cez reklamu, provízie, predplatné alebo platené funkcie?
- je používanie podmienené spracúvaním osobných údajov na iný účel než bezpečnosť, kompatibilita alebo interoperabilita softvéru?
- je prístup k produktu, zásadnej funkcii alebo aktualizácii v praxi podmienený „darom“ alebo inou protihodnotou?
- ide o pravidelné dodávanie v podnikateľskom kontexte?
Posúdenie obchodnej činnosti je individuálne. Bezplatné dodanie podnikateľom môže byť obchodnou činnosťou; naopak, samostatne ponúkané voliteľné poradenstvo okolo voľne dostupného open-source projektu samo osebe nemusí znamenať, že sa softvér uvádza na trh.
Spracovanie údajov na diaľku
Cloudová alebo funkcia na diaľku je súčasťou produktu ako riešenie spracovania údajov na diaľku iba vtedy, ak sú splnené tri prvky:
- spracovanie údajov prebieha na diaľku;
- bez tohto spracovania by produkt nemohol vykonávať niektorú zo svojich funkcií; a
- softvér na spracovanie údajov na diaľku navrhol a vyvinul výrobca alebo bol navrhnutý a vyvinutý na jeho zodpovednosť.
Príklady možných funkcií: odosielanie príkazov zariadeniu, synchronizácia súborov, onboarding používateľa, konfigurácia a personalizácia, automatická distribúcia aktualizácií alebo správa identity a prístupu.
Príklad: autentifikačný portál, ktorý vydáva token potrebný na fungovanie lokálne nainštalovanej aplikácie, môže byť spracovaním údajov na diaľku. Stránka s návodom k produktu ním nie je.
Ak spracovanie na diaľku nie je nevyhnutné pre žiadnu funkciu, nie je riešením spracovania údajov na diaľku podľa CRA, ale výrobca môže musieť zohľadniť súvisiace riziko vo svojom posúdení rizík. Ak funkcia nevyhnutná je, ale používa všeobecnú službu tretej strany, ktorú výrobca nenavrhol ani si ju nenechal vyvinúť, táto služba spravidla nie je jeho riešením spracovania údajov na diaľku. Jej integráciu však treba posúdiť podobne ako komponent tretej strany.
Slobodný softvér a softvér s otvoreným zdrojovým kódom
CRA používa osobitný režim pre free and open-source software (FOSS). Na účely CRA ide o softvér, ktorého zdrojový kód je verejne zdieľaný a ktorý sa poskytuje pod licenciou udeľujúcou práva voľne k nemu pristupovať, používať ho, meniť a ďalej šíriť.
Použite tento postup:
- Je zdrojový kód verejne zdieľaný a licencia udeľuje všetky uvedené práva? Ak nie, osobitný režim FOSS sa neuplatní.
- Kto projekt publikuje a má primárnu kontrolu nad vývojom, vydaniami a distribúciou? Jednotlivý prispievateľ bez takejto kontroly nenesie zodpovednosť iba preto, že odoslal príspevok do kódu.
- Speňažuje táto osoba dodanie softvéru? Ak áno, môže byť výrobcom a platí bežný režim CRA, hoci je softvér pod open-source licenciou.
- Ak sa softvér nespeňažuje, publikuje ho právnická osoba, ktorá systematicky a dlhodobo podporuje jeho vývoj pre zamýšľané komerčné využitie a zabezpečuje jeho životaschopnosť? Môže ísť o správcu softvéru s otvoreným zdrojovým kódom s osobitnými povinnosťami podľa článku 24.
- Ide len o fyzickú osobu publikujúcu nespeňažovaný FOSS bez obchodnej činnosti? Takéto zverejnenie spravidla nie je uvedením produktu s digitálnymi prvkami na trh podľa CRA.
Praktické orientačné príklady:
- Bezplatná komunitná verzia a platená enterprise verzia sa posudzujú samostatne. Platená verzia môže byť uvedená na trh; nespoplatnená komunitná verzia nemusí byť.
- Voliteľné poradenstvo alebo školenie, ktoré nie je podmienkou prístupu k softvéru ani k aktualizáciám, samo osebe neznamená spoplatnenie softvéru.
- Aplikácia zadarmo, ktorá speňažuje reklamu, platené servery alebo iné služby, môže byť dodávaná v rámci obchodnej činnosti.
- Dobrovoľné dary bez úmyslu dosahovať zisk spravidla nepredstavujú obchodnú činnosť. Ak je však aktuálna verzia, zásadná funkcia alebo bezpečnostná oprava dostupná iba darcom, platba môže byť fakticky cenou.
- Samotné financovanie vývoja grantom, sponzorstvom alebo bounty neurčuje, že následné verejné a nespeňažené zverejnenie je obchodnou činnosťou.
- Firma, ktorá integruje FOSS komponent do vlastného komerčného produktu, zodpovedá za svoj výsledný produkt a musí pri integrácii postupovať s náležitou starostlivosťou.
Tieto príklady vychádzajú z nezáväzného usmernenia Európskej komisie z 27. júla 2026. Každý projekt treba posúdiť samostatne.
Výnimky a osobitné sektorové pravidlá
CRA sa neuplatňuje v týchto situáciách:
- zdravotnícke pomôcky v rozsahu nariadenia (EÚ) 2017/745;
- diagnostické zdravotnícke pomôcky in vitro v rozsahu nariadenia (EÚ) 2017/746;
- produkty s digitálnymi prvkami v rozsahu nariadenia (EÚ) 2019/2144 o typovom schvaľovaní motorových vozidiel;
- produkty s digitálnymi prvkami certifikované podľa nariadenia (EÚ) 2018/1139 o civilnom letectve;
- vybrané vozidlá kategórie L a výlučne pre ne navrhnuté systémy, komponenty, samostatné technické jednotky, časti a vybavenie v rozsahu nariadenia (EÚ) č. 168/2013, ktoré boli vylúčené delegovaným nariadením (EÚ) 2025/1535;
- produkty vyvinuté alebo upravené výlučne na účely národnej bezpečnosti alebo obrany a produkty osobitne navrhnuté na spracúvanie utajovaných skutočností;
- náhradné diely, ktoré nahrádzajú identické komponenty a sú vyrobené podľa rovnakých špecifikácií ako komponent, ktorý majú nahradiť;
- námorné vybavenie v rozsahu smernice 2014/90/EÚ.
Komisia môže delegovanými aktmi vylúčiť ďalšie kategórie, ak iné pravidlá EÚ dosahujú rovnakú alebo vyššiu úroveň ochrany. Zoznam výnimiek si preto overte v aktuálnom znení právnych predpisov a po každej ich zmene.
Pozor na komponenty: generický komponent predávaný aj mimo vylúčeného sektora nemusí byť výnimkou pokrytý. Komisia napríklad rozlišuje automobilový komponent navrhnutý a distribuovaný výlučne pre dotknuté vozidlá od generického produktu ponúkaného širokej verejnosti.
Súbeh predpisov: ak sa neuplatňuje výslovná výnimka, CRA môže platiť súbežne s inými predpismi EÚ, napríklad s pravidlami pre rádiové zariadenia, stroje, umelú inteligenciu, všeobecnú bezpečnosť produktov, ochranu údajov alebo zodpovednosť za chybné produkty. Súlad s jedným predpisom automaticky nepreukazuje súlad so všetkými ostatnými. Existujúce osvedčenia typovej skúšky EÚ a rozhodnutia o schválení kybernetických požiadaviek podľa iných harmonizačných predpisov majú prechodné pravidlo v článku 69 ods. 1 CRA; nejde však o všeobecné oslobodenie od CRA.
Do ktorej kategórie produkt patrí
Klasifikáciu určujte až po potvrdení, že produkt s digitálnymi prvkami patrí do rozsahu CRA.
Produkty s digitálnymi prvkami
Produkty s digitálnymi prvkami, ktoré patria do rozsahu CRA a nemajú základnú funkcionalitu kategórie dôležitých alebo kritických produktov s digitálnymi prvkami uvedenú prílohe III ani IV CRA.
Kritický produkt s digitálnymi prvkami
Overte, či základná funkcionalita celého produktu s digitálnymi prvkami zodpovedá kategórii v prílohe IV CRA a technickému opisu vo vykonávacom nariadení (EÚ) 2025/2392:
- hardvérové zariadenia s bezpečnostnými schránkami, napríklad niektoré platobné terminály alebo hardvérové bezpečnostné moduly;
- brány inteligentných meradiel a iné zariadenia na pokročilé bezpečnostné účely vrátane bezpečného kryptografického spracovania;
- inteligentné karty alebo podobné zariadenia vrátane bezpečnostných prvkov, napríklad niektoré TPM, UICC, platobné alebo identifikačné karty.
Dôležitý produkt s digitálnymi prvkami triedy II
Ak produkt s digitálnymi prvkami nie je kritický produkt s digitálnymi prvkami, overte triedu II prílohy III:
- hypervízory a systémy na beh kontajnerov;
- firewally a systémy detekcie alebo prevencie narušenia;
- mikroprocesory a mikrokontroléry odolné proti manipulácii podľa technického opisu.
Dôležitý produkt s digitálnymi prvkami triedy I
Ak produkt s digitálnymi prvkami nie je v predchádzajúcich kategóriách, overte triedu I prílohy III CRA. Patrí sem napríklad:
- správa identity a privilegovaného prístupu, autentifikácia a riadenie prístupu;
- samostatné a zabudované prehliadače, správcovia hesiel, antimalvér, VPN, SIEM, systémy správy siete a boot manažéry;
- softvér PKI a vydávania certifikátov, operačné systémy a fyzické alebo virtuálne sieťové rozhrania;
- routery, modemy a riadené switche;
- vybrané mikroprocesory, mikrokontroléry, ASIC a FPGA s bezpečnostnými funkciami;
- univerzálni virtuálni asistenti pre inteligentnú domácnosť, inteligentné zámky, bezpečnostné kamery, detské pestúnky a alarmy;
- hračky pripojené na internet so sociálnou interakciou alebo určovaním polohy;
- vybrané nositeľné produkty na monitorovanie zdravia, ktoré nie sú zdravotníckymi pomôckami, a nositeľné produkty určené deťom.
Dôležité pravidlo: integrácia jedného dôležitého alebo kritického komponentu automaticky nezmení celý výsledný produkt na dôležitý alebo kritický. Rozhoduje základná funkcionalita produktu s digitálnymi prvkami ako celku. Bezpečnosť integrovaného komponentu však musí výrobca zohľadniť pri posúdení a zabezpečení celého produktu.
Rozhodovací sprievodca: vzťahuje sa CRA na mňa?
- Dodávam softvér, hardvér alebo samostatný digitálny
komponent?
- Nie → pravdepodobne nejde o produkt s digitálnymi prvkami. Overte však, či neposkytujete nevyhnutné spracovanie údajov na diaľku pre iný produkt.
- Áno → pokračujte.
- Zahŕňa zamýšľaný účel alebo odôvodnene predvídateľné
použitie dátové pripojenie k zariadeniu alebo sieti?
- Nie → CRA sa podľa článku 2 ods. 1 spravidla neuplatní.
- Áno → pokračujte.
- Dodávam produkt na distribúciu alebo používanie na trhu
EÚ?
- Nie; používam ho iba interne a nedodávam ho inej osobe → spravidla nejde o sprístupnenie na trhu.
- Áno → pokračujte.
- Je dodanie súčasťou obchodnej činnosti, aj keď je
bezplatné?
- Nie → pri FOSS ešte overte, či ste správcom softvéru s otvoreným zdrojovým kódom.
- Áno alebo nie je jasné → pokračujte a zdokumentujte obchodný model.
- Uplatňuje sa výslovná sektorová alebo účelová
výnimka?
- Áno → CRA sa neuplatní alebo sa uplatní iba na nepokryté požiadavky; skontrolujte presný rozsah sektorového predpisu.
- Nie → produkt pravdepodobne patrí do rozsahu CRA.
- Zodpovedá základná funkcionalita technickému opisu
kategórie dôležitého alebo kritického produktu s digitálnymi prvkami?
- Áno → určte kategóriu podľa príloh III a IV a nariadenia 2025/2392.
- Nie → ide o produkt s digitálnymi prvkami, ktorý nie je dôležitý ani kritický.
- Aká je moja rola?
- Uvádzam produkt pod vlastným menom alebo ochrannou známkou → pravdepodobne výrobca.
- Uvádzam produkt výrobcu z tretej krajiny na trh EÚ → pravdepodobne dovozca.
- Dodávam produkt v distribučnom reťazci → pravdepodobne distribútor.
- Systematicky a dlhodobo podporujem nespoplatňovaný FOSS pre komerčné využitie → overím rolu správcu softvéru s otvoreným zdrojovým kódom.
Výsledok nie je právne rozhodnutie. Uložte si odpovede, verziu produktu, jeho zamýšľaný účel, architektúru, spôsob distribúcie, obchodný model, použité komponenty a právne zdroje. Toto odôvodnenie bude užitočné pri posúdení rizík a zhody.
Základné pojmy
- Produkt s digitálnymi prvkami: softvérový alebo hardvérový produkt a jeho riešenia spracovania údajov na diaľku vrátane samostatne uvádzaných softvérových alebo hardvérových komponentov.
- Spracovanie údajov na diaľku: spracovanie údajov na diaľku, ktorého softvér navrhol a vyvinul výrobca alebo bol navrhnutý a vyvinutý na jeho zodpovednosť a bez ktorého by produkt nemohol vykonávať jednu zo svojich funkcií.
- Zamýšľaný účel: použitie, na ktoré výrobca produkt určil, vrátane konkrétneho kontextu a podmienok používania uvedených v informáciách, návode, predajnom alebo propagačnom materiáli a technickej dokumentácii.
- Odôvodnene predvídateľné použitie: použitie, ktoré nemusí byť zamýšľaným účelom, ale pravdepodobne vyplýva z odôvodnene predvídateľného ľudského správania, technických operácií alebo interakcií.
- Sprístupnenie na trhu: dodanie produktu na distribúciu alebo používanie na trhu EÚ v rámci obchodnej činnosti, za odplatu alebo bezplatne.
- Uvedenie na trh: prvé sprístupnenie produktu na trhu EÚ.
- Základná funkcionalita: funkcionalita podstatná pre účel produktu, bez ktorej by produkt tento účel nespĺňal.
- FOSS podľa CRA: softvér s verejne zdieľaným zdrojovým kódom a licenciou udeľujúcou práva na voľný prístup, používanie, zmenu a ďalšie šírenie.
- Správca softvéru s otvoreným zdrojovým kódom: právnická osoba iná než výrobca, ktorej cieľom je systematicky a dlhodobo podporovať vývoj FOSS určeného na komerčné činnosti a zabezpečovať jeho životaschopnosť.
Čo urobiť ďalej
- Som výrobca → prejsť na Povinnosti výrobcu.
- Som dovozca alebo distribútor → prejsť na Povinnosti dovozcov a distribútorov.
- Publikujem alebo spravujem FOSS → prejsť na Open source a CRA.
- Poznám kategóriu produktu → prejsť na Posudzovanie zhody.
- Potrebujem vedieť, odkedy sa pravidlá uplatňujú → prejsť na Harmonogram CRA.