Kapitola 15: Na čem se software staví

Pět věcí, které musíte pohlídat

1. Převoditelnost. Kód, postup sestavení, dokumentace a práva k úpravám jsou průběžně u vás, ne „při ukončení spolupráce“ (kapitola 11).
2. Rozšířená technologie s dobou podpory. Běžný jazyk a framework, u každé klíčové součásti datum konce podpory.
3. Jednoduchá architektura z modulů. Moduly s popsanými rozhraními (API) a otevřené formáty dat.
4. Hosting s cestou ven. Účty, domény a cloud vedené na vás, plán odchodu s odhadem ceny.
5. Měřitelná bezpečnost a přístupnost. Konkrétní normy, nezávislý test a u AI zařazení podle AI Actu.

Převoditelnost řeší hlavně smlouva, další části kapitoly se věnují bodům 2–5.

Nudná technologie je výhoda

V nabídkách nejčastěji uvidíte tyto rozšířené technologie: jazyky Java (se Spring Boot), C# (.NET), Python, PHP a JavaScript nebo TypeScript s frameworky React či Next.js, databázi PostgreSQL, kontejnery Docker a Kubernetes a veřejné cloudy Azure, AWS nebo Google Cloud. Neberte to jako doporučení, jen jako orientaci. Rozšířenost je výhoda: snáze najdete vývojáře, technologie mají dlouhou podporu a systém na nich mohou převzít stovky firem. Exotická technologie, kterou u dodavatele ovládá jeden člověk, vás k němu připoutá. Data o počtu vývojářů podle jazyků v Česku neexistují, ptejte se proto dodavatele, které další české firmy technologii používají.

U každé součásti chtějte verzi a datum konce podpory. Po něm výrobce přestane vydávat opravy a čeká vás drahý přechod (kapitola 23).

Architektura: dům s pokoji, ne sídliště

Mikroslužby jsou módní, ale pro běžný firemní systém s jedním týmem spíš přítěž. Část složitosti přesouvají z vývoje do provozu a zdražují převzetí jiným dodavatelem. Poradenská firma Thoughtworks dávala „závist mikroslužeb“ v letech 2015–2018 do kategorie Hold, tedy nepoužívat Thoughtworks, 2018, a doporučuje začít dobře rozčleněným monolitem Thoughtworks, 2023.

Chtějte architektonický dokument s popisem modulů, rozhraní popsaná ve standardu OpenAPI a krátké záznamy technických rozhodnutí (ADR). Podle nich se nový dodavatel zorientuje za týdny, ne za měsíce.

U mobilní aplikace se nejdřív zeptejte, jestli ji vůbec potřebujete:

Účty v App Store a Google Play a podpisové klíče aplikace mají být vedené na vás.

Hosting: rozhoduje cesta ven, ne značka cloudu

Nezávislé srovnání cen cloudu a vlastních serverů v korunách neexistuje. Orientačně platí, že cloud se vyplatí při kolísající zátěži a malém IT týmu, vlastní provoz pak při stabilní zátěži a se stávajícím týmem. Důležitější než volba je cesta ven: aplikace v kontejnerech, standardní databáze, proprietární služby cloudu jen po zvážení důsledků, účty a domény na vás a plán odchodu s cenou.

Bezpečnost a přístupnost podle norem

Bezpečnost se dá zadat stejně přesně jako rozměry kuchyňské linky. Standard OWASP ASVS 5.0 má 345 ověřitelných požadavků ve třech úrovních OWASP ASVS 5.0, 2025. Pro běžný firemní systém se obvykle žádá úroveň 2. Shodu s ní nechte nezávisle ověřit, samotný penetrační test ji neprokáže. Penetrační test ale požadujte také, jako podmínku převzetí, spolu se seznamem všech součástí (SBOM) ke každému vydání. Selhání dodavatelského řetězce, například zranitelnost v cizí knihovně, je v žebříčku OWASP Top 10:2025 na 3. místě OWASP Top 10:2025.

Zákon o kybernetické bezpečnosti (č. 264/2025 Sb.) platí od 1. 11. 2025. Regulované subjekty musí bezpečnostní požadavky přenést do smluv s dodavateli. Systém musí zaznamenávat události tak, abyste stihli zákonné lhůty hlášení incidentů: prvotní hlášení do 24 h, oznámení do 72 h a závěrečná zpráva do 30 dnů Zákon č. 264/2025 Sb.. Které incidenty a v jakém režimu hlásíte, si ověřte s manažerem kybernetické bezpečnosti. Do února 2026 ohlásilo poskytování regulované služby 4 825 organizací NÚKIB, 2026. Ověřte, zda se povinnosti týkají i vaší organizace.

Evropské nařízení o kybernetické odolnosti (CRA) software na zakázku výslovně nevylučuje. Zda se na váš projekt vztahuje, záleží mimo jiné na tom, jestli se software „dodává na trh“ Nařízení (EU) 2024/2847. Závěr pro konkrétní projekt nechte na právníkovi (kapitola 11).

U přístupnosti platí tři vrstvy:

• Úřady ji mají povinnou podle zákona č. 99/2019 Sb. Zákon č. 99/2019 Sb.. Právní referencí je dnes norma EN 301 549 V3.2.1, tedy WCAG 2.1 AA DIA, pokyn k přístupnosti.
• Firmy ji od 28. 6. 2025 musí splnit u vyjmenovaných služeb pro spotřebitele, jako jsou e-shopy, bankovnictví nebo doprava (zákon č. 424/2023 Sb.) Zákon č. 424/2023 Sb..
• Nová norma EN 301 549 V4.1.1 přebírá WCAG 2.2 a vyšla 2. 9. 2026. Na zveřejnění v Úředním věstníku EU zatím čeká EN 301 549 V4.1.1, 2026.

Do zadání proto pište WCAG 2.2 AA W3C, WCAG 2.2, splníte současný i očekávaný stav. Plugin, který slibuje „100% přístupnost“ jedním skriptem, nestačí. Podmínkou převzetí má být audit včetně ručního testování se čtečkou obrazovky.

AI v aplikaci: zařazení a vyměnitelnost

Když má systém obsahovat umělou inteligenci, rozhodněte v zadání tři věci:

• kde přesně AI je a do jaké kategorie rizika podle AI Actu spadá,
• jak vyměníte poskytovatele modelu (vlastní mezivrstva a sada testů pro srovnání),
• že poskytovatel nesmí na vašich datech trénovat.

Podle stavu k říjnu 2026, po změně nařízením 2026/1744, platí povinnosti transparentnosti pro nové systémy od 2. 8. 2026. Patří k nim například informování lidí o tom, že mluví se strojem. AI, která rozhoduje o lidech v náboru, hodnocení nebo přístupu ke službám a úvěrům, je vysoce riziková a povinnosti pro ni platí od 2. 12. 2027 Nařízení (EU) 2026/1744. Termíny se už jednou posunuly, před podpisem smlouvy je ověřte.