Vyrábate zariadenie so softvérom, sieťový prvok, priemyselný riadiaci systém alebo predávate vlastnú aplikáciu? Potom vás čaká povinnosť, ktorá od decembra 2027 rozhodne, či svoj produkt vôbec smiete predávať. Národný bezpečnostný úrad teraz dáva malým a stredným podnikom peniaze, aby ste sa na ňu pripravili z cudzieho rozpočtu. Žiadosti prijíma do 1. júla 2026.
Výzva ide z projektu TestCert-SK, ktorý NBÚ financuje z programu Digitálna Európa. Výrobca čerpá v troch balíkoch podľa toho, kam vo svojej príprave smeruje: až 20 000 eur na analýzu zhody produktu s CRA, posúdenie rizík a akčný plán, ďalších až 20 000 eur na testovanie zraniteľností a penetračné testy a až 40 000 eur na monitorovacie a ochranné nástroje vrátane nákupu softvéru a techniky. Vyššie sumy do 50 000 eur sú vyhradené pre vzdelávacie inštitúcie na tvorbu školení a podporných nástrojov, nie pre výrobcov.
Dôležité je, ako sa k peniazom dostanete. Nejde o preddavok, ale o refundáciu. Príspevok príde až po skončení projektu, jednou platbou a po schválení záverečnej správy. Najprv teda zaplatíte audítora, testera aj techniku z vlastného a peniaze sa vám vrátia spätne, čo treba ustrážiť v cash flow aj v zmluve s dodávateľom služby. Projekt sa musí zmestiť do obdobia od 1. mája do 31. októbra 2026 a DPH si z príspevku nepokryjete, lebo nie je oprávneným nákladom. Žiadosť napokon nepodá ktokoľvek. Oprávnený je malý a stredný podnik, ktorý je výrobcom produktu s digitálnymi prvkami, pričom mikropodniky, veľké podniky ani živnostníci ako fyzické osoby do výzvy nepatria. Žiadosť podpisuje štatutár kvalifikovaným elektronickým podpisom a podáva ju elektronicky cez slovensko.sk.
Spadáte pod Cyber Resilience Act, alebo nie?
Cyber Resilience Act je nariadenie Európskeho parlamentu a Rady (EÚ) 2024/2847, priamo účinný predpis, ktorý platí v celej Únii rovnako a netreba ho preberať do slovenského zákona. Týka sa produktov s digitálnymi prvkami, čo je každý hardvér alebo softvér schopný komunikovať so zariadením alebo sieťou.
V praxi pod neho spadáte, ak vyrábate smart zariadenia, kamery, routery a sieťové prvky, priemyselné riadiace a IoT systémy, ak predávate samostatný softvér alebo mobilnú aplikáciu, alebo ak uvádzate na trh produkt s prvkami umelej inteligencie zabudovanej do zariadenia. Povinnosti nedopadajú len na výrobcu. Ak takýto produkt do EÚ dovážate alebo ho ako distribútor uvádzate na trh, časť zodpovednosti nesiete tiež. Mimo réžie zostáva čistý servis a oprava bez uvádzania produktu na trh.
Bezpečnosť po novom nie je dobrovoľný nadštandard, ale podmienka predaja. Výrobca musí produkt navrhnúť ako bezpečný od počiatku, riadiť zraniteľnosti počas celej životnosti a dodávať bezpečnostné aktualizácie po určený čas. Termíny sú dva. Od 11. septembra 2026 musíte hlásiť aktívne zneužívané zraniteľnosti a závažné incidenty, a to v tvrdých lehotách, prvotné varovanie do 24 hodín a úplné oznámenie do 72 hodín. Od 11. decembra 2027 platia všetky povinnosti vrátane podmienky pre značku CE.
Čo je značka CE a prečo bez nej neobchodujete
CE je označenie zhody, ktoré výrobca umiestňuje na produkt a ktorým na vlastnú zodpovednosť vyhlasuje, že výrobok spĺňa požiadavky príslušných predpisov EÚ. Bez neho sa výrobok nesmie uviesť na trh Únie. Po novom bude pri produktoch s digitálnymi prvkami udelenie CE podmienené aj splnením kybernetických požiadaviek CRA. Označenie si neudeľujete papierovo, musíte ho podložiť technickou dokumentáciou, posúdením zhody a vyhlásením o zhode. Bez týchto podkladov CE nepripojíte a produkt legálne nepredáte.
Čo to znamená pre vaše zmluvy, ceny a zodpovednosť
Najväčší dopad leží v dodávateľských zmluvách. CRA žiada bezpečnosť naprieč celým reťazcom, takže ak komponenty alebo softvér nakupujete, za zhodu finálneho produktu ručíte vy, no uniesť to viete len tak, že povinnosti preklopíte na dodávateľa. Ak vám dodávateľ firmvéru o dva roky odmietne dodávať aktualizácie počas životnosti produktu, CE nezískate a celý rad stiahnete z predaja. Preto do zmlúv patria záväzky na riadenie zraniteľností, na aktualizácie po dohodnutý čas a na podklady pre technickú dokumentáciu, so sankciou pre prípad zlyhania dodávateľa. Vyjednajte to teraz, kým máte páku, nie keď vám bude horieť termín.
Druhý dopad je na ceny a na štatutára súčasne. Testovanie, monitoring a údržba aktualizácií po celý životný cyklus sú trvalý náklad, nie jednorazová položka, a kto ho nezohľadní v cene a v dĺžke garantovanej podpory, ticho si maže maržu. Výzva NBÚ vám zníži vstupné náklady na analýzu a testovanie, no priebežné náklady ponesiete sami a treba ich zaceniť dopredu. Zároveň hlásenie zraniteľností od septembra 2026 vyžaduje funkčný interný proces, ktorý incident v lehote 24 a 72 hodín ohlási. Ak proces nemáte a hlásenie zmeškáte, riskujete sankciu od NBÚ ako orgánu dohľadu a v spore o náhradu škody slabú dôkaznú pozíciu.
Ak teda vyrábate produkty s digitálnymi prvkami, do 1. júla 2026 zvážte podanie žiadosti, lebo vstupnú prípravu na CRA viete zaplatiť z výzvy. Súbežne začnite mapovať, ktoré vaše produkty pod nariadenie spadajú, nastavte proces hlásenia zraniteľností pred septembrom 2026 a otvorte zmluvy s dodávateľmi komponentov. Sankciou za nesplnenie nie je len pokuta, ale zákaz uvedenia na trh, čo môže znamenať stiahnutie celého produktového radu.
