Kybernetická bezpečnosť už dávno nie je téma len pre veľké technologické firmy alebo IT oddelenia.
Čoraz viac sa týka aj malých a stredných firiem, ktoré používajú digitálne nástroje, pracujú s dátami, predávajú online, dodávajú softvér, prevádzkujú weby, e-shopy, aplikácie alebo používajú produkty s digitálnymi prvkami.
Európska únia preto postupne sprísňuje požiadavky na bezpečnosť digitálnych produktov a služieb. Jednou z dôležitých regulácií je Cyber Resilience Act, ktorý má zvýšiť kybernetickú odolnosť produktov s digitálnymi prvkami počas celého ich životného cyklu.
Pre malé a stredné firmy to môže znieť ako ďalšia európska povinnosť. V skutočnosti je to však aj príležitosť položiť si veľmi praktickú otázku:
Vieme, aké digitálne produkty, systémy, dáta a zodpovednosti vo firme máme?
Práve s tým má pomôcť nový model ENISA pre hodnotenie kybernetickej odolnosti SME.
Čo je SME Cyber Resilience Maturity Assessment Model?
ENISA, európska agentúra pre kybernetickú bezpečnosť, predstavila SME Cyber Resilience Maturity Assessment Model. Ide o model, ktorý má mikro, malým a stredným firmám pomôcť zhodnotiť a posilniť ich kybernetickú odolnosť, pričom zohľadňuje aj požiadavky Cyber Resilience Actu. Model je určený najmä pre organizácie, ktoré vyrábajú a uvádzajú na trh produkty s digitálnymi prvkami.
Prakticky povedané: nejde o teoretický dokument pre expertov, ale o pomôcku, ktorá má firmám ukázať, kde sa nachádzajú a čo by mali zlepšiť.
Firma si vďaka takémuto modelu môže lepšie uvedomiť, či má zvládnuté základné oblasti kybernetickej odolnosti: bezpečný vývoj alebo používanie digitálnych produktov, riadenie zraniteľností, aktualizácie, incidenty, zodpovednosti, dodávateľov či dokumentáciu.
A hlavne — môže zistiť, kde má medzery ešte predtým, než sa z nich stane reálny problém.
Koho sa Cyber Resilience Act týka najviac?
Cyber Resilience Act sa zameriava najmä na produkty s digitálnymi prvkami. To môžu byť rôzne typy softvéru, hardvéru, aplikácií, zariadení, komponentov alebo produktov, ktoré sú pripojené k sieti či majú digitálnu funkcionalitu.
Najpriamejšie sa preto týka firiem, ktoré takéto produkty:
vyvíjajú,
vyrábajú,
dodávajú,
distribuujú,
uvádzajú na európsky trh.
Pre malé firmy to môže byť napríklad vývoj softvéru, aplikácie, pluginu, IoT zariadenia, digitálneho nástroja alebo technologického riešenia pre zákazníkov.
Nepriamo sa však téma dotýka aj ďalších firiem.
Ak firma používa digitálne produkty, spolupracuje s technologickými dodávateľmi alebo integruje softvér do svojich služieb, mala by rozumieť tomu, či jej dodávatelia riešia bezpečnosť, aktualizácie a zraniteľnosti zodpovedne.
Kybernetická odolnosť sa tak netýka len výrobcov technológií. Týka sa aj dôvery v digitálny dodávateľský reťazec.
Prečo ENISA rieši práve malé a stredné firmy?
Malé a stredné firmy často nemajú vlastné bezpečnostné oddelenie, interného compliance špecialistu ani veľký IT tím.
Zároveň však čoraz častejšie používajú alebo dodávajú digitálne produkty a služby.
ENISA preto už v júni 2026 publikovala aj SME CRA Survey Report, ktorý skúmal, ako sú SME oboznámené s Cyber Resilience Actom, ako sa cítia pripravené a akú podporu by potrebovali. Správa vychádzala z prieskumu realizovaného vo februári a marci 2026 (zdroj: https://www.enisa.europa.eu/publications/sme-cra-survey-report)
To je dôležitý signál.
EÚ si uvedomuje, že menšie firmy potrebujú iný typ podpory než veľké korporácie. Nie ďalší komplikovaný dokument, ale praktické nástroje, jednoduchšie vysvetlenia a primerané kroky, ktoré sa dajú zvládnuť aj s obmedzenými kapacitami.
Kybernetická odolnosť nie je len IT problém
Jednou z najčastejších chýb vo firmách je predstava, že kybernetická bezpečnosť je len vec IT dodávateľa.
Máme antivírus.
Máme hosting.
Máme niekoho, kto nám spravuje počítače.
Tým je to vyriešené.
Lenže digitálna odolnosť firmy je širšia téma.
Zahŕňa procesy, prístupy, zodpovednosti, aktualizácie, zálohy, reakciu na incidenty, správu dodávateľov, bezpečnosť produktov, prácu s dátami aj schopnosť zistiť, čo sa stalo, keď nastane problém.
Firma môže mať dobrý nástroj, ale slabý proces.
Môže mať technické riešenie, ale nejasnú zodpovednosť.
Môže mať dáta, ale nevie, kde sú uložené a kto k nim má prístup.
Môže mať dodávateľa, ale nevie, ako ten rieši bezpečnostné aktualizácie alebo nahlasovanie zraniteľností.
Práve preto je pojem kybernetická odolnosť užitočný. Nehovorí len o tom, či sa firma vie brániť. Hovorí aj o tom, či sa vie pripraviť, reagovať a obnoviť fungovanie po incidente.
Čo sa mení od septembra 2026?
Jedným z najbližších praktických míľnikov Cyber Resilience Actu je zavedenie jednotnej platformy na hlásenie incidentov a zraniteľností.
ENISA vysvetľuje, že Single Reporting Platform má slúžiť na hlásenie aktívne zneužívaných zraniteľností a incidentov, ktoré ovplyvňujú produkty s digitálnymi prvkami na jednotnom digitálnom trhu EÚ.
Pre firmy, ktoré vyvíjajú alebo dodávajú digitálne produkty, je preto dôležité sledovať, či sa ich budú týkať povinnosti súvisiace s hlásením zraniteľností a bezpečnostných incidentov.
Nie každá malá firma bude riešiť rovnaké povinnosti. Ale každá firma, ktorá dodáva digitálny produkt, by mala vedieť odpovedať na základné otázky:
Máme spôsob, ako zistiť zraniteľnosť v našom produkte?
Vieme, kto ju rieši?
Vieme, koho máme informovať?
Máme proces aktualizácie?
Vieme zákazníkom poskytnúť bezpečnostnú opravu?
Ak firma na tieto otázky nevie odpovedať, nie je to dôvod na paniku. Je to dôvod začať.
Čo by si mala firma skontrolovať už dnes?
Pre malé a stredné firmy môže byť najťažšie zistiť, kde vôbec začať.
Preto má zmysel začať jednoduchým checklistom.
1. Aké digitálne produkty a systémy používame alebo dodávame?
Firma by mala mať základný prehľad o softvéri, aplikáciách, cloudových službách, zariadeniach a digitálnych produktoch, ktoré používa alebo poskytuje zákazníkom.
2. Kto má k čomu prístup?
Nie je dôležité len to, aké systémy používame, ale aj kto ich môže spravovať, meniť alebo z nich exportovať dáta.
3. Ako riešime aktualizácie?
Zastaralý softvér, nepodporované pluginy alebo neaktualizované zariadenia patria medzi najčastejšie bezpečnostné riziká.
4. Máme zálohy a vieme ich obnoviť?
Záloha, ktorú nikto nikdy netestoval, je skôr nádej než plán.
5. Vieme, kde máme dáta?
Firemné dáta môžu byť v cloude, v e-mailoch, v účtovnom systéme, CRM, na diskoch, v zdieľaných priečinkoch alebo u dodávateľa. Bez prehľadu sa ťažko chránia.
6. Máme plán pri incidente?
Ak niekto klikne na podozrivý link, stratí notebook alebo sa zablokuje prístup k systému, firma by mala vedieť, komu to nahlásiť a čo urobiť ako prvé.
7. Vieme, ako bezpečne pracujú naši dodávatelia?
Aj malá firma je často súčasťou širšieho digitálneho reťazca. Bezpečnosť dodávateľov preto nie je detail.
8. Máme zodpovednú osobu?
Kybernetická bezpečnosť nemôže byť anonymná úloha typu „nejako to rieši IT“. Niekto musí byť vlastníkom témy.
9. Školíme ľudí?
Najlepšie pravidlá nepomôžu, ak zamestnanci nevedia rozpoznať phishing, podozrivú prílohu alebo rizikové správanie.
10. Sledujeme nové požiadavky?
Cyber Resilience Act, NIS2, AI Act a ďalšie pravidlá sa budú v najbližších rokoch postupne prejavovať v praxi. Firmy nemusia vedieť všetko, ale mali by vedieť, ktoré témy sa ich môžu týkať.
Prečo je to príležitosť, nie len povinnosť
Regulácie často pôsobia ako ďalšia administratívna záťaž.
A áno, pre niektoré firmy Cyber Resilience Act prinesie nové povinnosti, dokumentáciu, procesy a zodpovednosti.
Zároveň však môže byť dobrým impulzom upratať si digitálne fungovanie firmy.
Lepší prehľad o systémoch, prístupoch, dátach, produktoch a dodávateľoch nepomáha len pri compliance. Pomáha aj pri každodennom fungovaní.
Firma, ktorá vie, čo používa, čo chráni a kto za čo zodpovedá, reaguje rýchlejšie, robí menej chýb a dokáže lepšie zvládnuť nečakané situácie.
Kybernetická odolnosť teda nie je o dokonalosti.
Je o pripravenosti.
Menej paniky, viac digitálneho poriadku
Cyber Resilience Act netreba vnímať len ako ďalšiu európsku reguláciu.
Pre malé a stredné firmy môže byť najmä pripomienkou, že digitálna bezpečnosť sa nezačína až pri incidente.
Začína sa oveľa skôr.
Prehľadom systémov.
Jasnými prístupmi.
Aktualizáciami.
Zálohami.
Zodpovednosťami.
Dodávateľmi.
Procesmi.
A schopnosťou reagovať, keď niečo zlyhá.
Nový model ENISA môže firmám pomôcť zistiť, kde sa nachádzajú a ktoré oblasti potrebujú posilniť.
A to je dobrý prvý krok.
Pretože digitálne odolná firma nemusí byť tá, ktorá má najdrahšie bezpečnostné riešenie.
Je to firma, ktorá vie, čo používa, čo chráni a kto za to zodpovedá.