Európske sídlo dodávateľa alebo distribútora ešte nemusí dokazovať európsky pôvod hardvéru, firmvéru a zdrojového kódu.
Pojem digitálna suverenita dostáva na Slovensku konkrétne obrysy. Téma sa týka množstva zariadení, ktoré nakupuje verejný aj súkromný sektor.
Ochrana štátnych systémov, kritickej infraštruktúry a utajovaných informácií musí zostať funkčná aj v prípade geopolitického konfliktu, sankcií, zmeny vlastníka dodávateľa alebo prerušenia dodávateľských vzťahov. Preto má otázka nezávislých európskych kyberbezpečnostných technológií pre členské štáty EÚ najvyššiu strategickú naliehavosť.
Dodávateľský reťazec sa stal súčasťou kybernetického rizika a EÚ vo februári 2026 prijala ICT Supply Chain Security Toolbox. Tento spoločný, hoci nezáväzný rámec odporúča identifikovať a hodnotiť kritických dodávateľov, využívať viacdodávateľské stratégie a obmedzovať závislosť od vysokorizikových subjektov.
Je to významný posun v chápaní bezpečnosti. Posudzovať sa už nemajú iba technické vlastnosti produktu, ale aj vlastníctvo dodávateľa, jeho jurisdikcia, subdodávateľský reťazec, možnosť zahraničného zasahovania a dlhodobá dostupnosť technológie.
V nasledujúcich rokoch budú členské štáty modernizovať obrannú a policajnú komunikáciu, cloudové prostredia verejnej správy, systémy digitálnej identity, hraničné a biometrické systémy, energetické a dopravné riadenie, prepojené senzory a edge zariadenia. Samostatnú kapitolu predstavuje ochrana AI infraštruktúry a prechod na postkvantovú kryptografiu.
Technológie implementované v súčasnosti môžu zostať v prevádzke 10 až 20 rokov. Budú vyžadovať pravidelné bezpečnostné aktualizácie, servis, nové integrácie a postupné prispôsobovanie regulácii. Dnešné rozhodnutie predstavuje dlhodobý bezpečnostný aj finančný záväzok.
Európa vytvorila rozsiahly regulačný rámec pre kybernetickú bezpečnosť, ale zariadenia, prostredníctvom ktorých to má plniť, sú v drvivej väčšine mimo EU.
Smernica NIS2 vyžaduje riadenie kybernetických rizík vrátane bezpečnosti dodávateľského reťazca. DORA stanovuje finančným subjektom podmienky kontroly externých poskytovateľov ICT služieb. Cyber Resilience Act zavádza povinné požiadavky na bezpečnosť hardvéru a softvéru počas ich životného cyklu. Cybersecurity Act vytvoril rámec európskej kybernetickej certifikácie a Cyber Solidarity Act posilňuje spoločné európske kapacity detekcie a reakcie.
Ak sú však základné bezpečnostné vrstvy dodávané a spravované subjektmi mimo EÚ, vzniká závislosť od cudzej legislatívy, vlastníkov zdrojového kódu a kryptografických technológií, obchodných rozhodnutí zahraničných dodávateľov aj geopolitických záujmov iných štátov.
Okrem ochrany údajov je dôležité aj to, či Európa dokáže kritický systém udržiavať, opravovať a bezpečne prevádzkovať v situácii, keď sa pôvodný výrobca stane nedostupným, politicky rizikovým alebo prestane poskytovať podporu.
Bezpečnostná architektúra musí vzniknúť už pri návrhu systému. Ochrana sa nemá pridávať až po nákupe a inštalácii technológie.
Aj pri obstarávaní hardvéru musia byť vopred definované povolené dátové toky, spôsob autentifikácie zariadenia, šifrovanie komunikácie, podpisovanie záznamov a aktualizácií, pravidlá vzdialeného servisu, správa kryptografických kľúčov, audit firmvéru, postup pri zistení zraniteľnosti a bezpečný spôsob vyradenia zariadenia.
Európsky pôvod a technologická suverenita musia byť právne aj technicky preukázateľné. Pred nákupom kritickej technológie by mal zákazník poznať odpovede na desať otázok:
Pri kritických bezpečnostných produktoch je nezávislé posúdenie mimoriadne dôležité. Certifikácia umožňuje overiť deklarované bezpečnostné vlastnosti podľa transparentných metodík a kritérií.
Certifikácia je proces, v rámci ktorého dochádza v renomovaných organizáciách a akreditovaných laboratóriách k dôkladnému overeniu bezpečnostných vlastností zariadení na základe štandardizovaných metodík a kritérií.
Používateľ certifikovaného produktu získava nezávislý dôkaz, že stanovené vlastnosti boli overené podľa známych a reprodukovateľných postupov.
EÚ zároveň rozvíja európske certifikačné schémy. Prvou prijatou schémou je EUCC založená na Common Criteria a určená na certifikáciu ICT hardvéru, softvéru a komponentov.
V tejto súvislosti upozorňujeme na aktuálne nariadenie Cyber Resilience Act. Je priamo uplatniteľné a zavádza povinné požiadavky pre produkty s digitálnymi prvkami a presúva časť zodpovednosti za bezpečnosť priamo na výrobcu.
Dôležité je ešte pripomenúť, že ani certifikácia nie je absolútnou zárukou neexistencie zraniteľností. Platí pre konkrétnu verziu produktu, konfiguráciu, bezpečnostné funkcie a rozsah hodnotenia. Nemôže nahradiť bezpečnú implementáciu, priebežné aktualizácie, monitorovanie ani riadenie incidentov.
CRA tak mení doterajší model, v ktorom sa bezpečnostné nedostatky často prenášali na zákazníka alebo integrátora. Bezpečnosť už nemá byť voliteľnou vlastnosťou ani doplnkovou službou. Je súčasťou zákonnej zodpovednosti výrobcu počas stanoveného obdobia podpory.
Výrobca musí kybernetické riziká zohľadniť pri návrhu a vývoji, riešiť zraniteľnosti, poskytovať bezpečnostné aktualizácie, dokumentovať vlastnosti produktu a zabezpečiť jeho zhodu s príslušnými požiadavkami. Pri dôležitých a kritických produktoch sa uplatňuje prísnejší režim posudzovania zhody.
Hlavné povinnosti nariadenia CRA sa uplatňujú od 11. decembra 2027, pričom oznamovacie povinnosti sa už uplatňujú od 11. septembra 2026. Usmernenie a ďalšie informácie nájdete na web Európskej komisie.
Pre štatutárov organizácií všetkých typov je digitálna suverenita otázkou kontinuity podnikania a schopnosti organizácie konať počas krízy. Pre finančných riaditeľov predstavuje ochranu investícií pred nepredvídaným rastom cien, ukončením podpory, sankciami, zmenou vlastníka výrobcu alebo nákladnou migráciou z uzavretej platformy.
Rozhodujúca otázka znie: Dokážeme túto technológiu bezpečne prevádzkovať, aktualizovať, kontrolovať alebo nahradiť aj vtedy, keď sa dodávateľské, vlastnícke alebo geopolitické podmienky zásadne zmenia?
Pri hodnotení ponuky preto nestačí porovnať cenu licencií, cenu hardvéru a zoznam funkcií. Potrebné je počítať aj s celkovou cenou závislosti: nákladmi na integráciu, aktualizácie, obnovu po incidente, zmenu dodávateľa, prenos dát a bezpečné vyradenie systému.
Kybernetická bezpečnosť je globálny ekosystém a európske organizácie budú aj naďalej používať americké, izraelské, japonské a ďalšie technológie. Úplná technologická sebestačnosť EÚ nie je realistická ani potrebná, cieľom v únii je selektívna strategická autonómia.
