Jak vybrat firmu na vývoj softwaru: 20 otázek před podpisem

01Jak vybrat dodavatele softwaru na míru: krátká odpověď

• Ověřte firmu za 10 minut v ARES, obchodním a insolvenčním rejstříku a v registru plátců DPH.
• Chtějte mluvit s klientem, kterému dodavatel dělal podobný projekt, a vidět systém, který běží.
• Trvejte na pevné ceně za jasný rozsah a na pravidlech pro změny, které se ocení předem.
• Nechte si zapsat práva ke kódu, účty na vaše jméno a zpracovatelskou smlouvu podle čl. 28 GDPR.
• Zeptejte se, co bude po spuštění: jak dlouho se opravuje zdarma, jaká je reakční doba a jak se dá spolupráce ukončit.

02Než začnete: ověřte firmu v rejstřících

Ověření v rejstřících zabere asi 10 minut, nic nestojí a vyřadí firmy, které by vám mohly zmizet uprostřed projektu. Stačí IČO z nabídky.

Mladá firma není sama o sobě špatná volba. Pokud ale vznikla před půl rokem a slibuje rozsáhlý systém, chtějte vidět lidi, kteří ho budou dělat, a jejich předchozí práci.

03Tým a reference: otázky 1 až 4

1. Kdo konkrétně bude na projektu pracovat?

Prezentaci často dělá obchodník nebo zakladatel, kód pak píše někdo jiný. Potřebujete vědět, kdo bude váš projekt vést, kdo navrhne obrazovky a kdo bude programovat.

Dobrá odpověď: Jména a role, odpovědná osoba na straně dodavatele a možnost poznat ji ještě před podpisem.

Varovný signál: „To se uvidí podle vytížení“ nebo tým, který se po podpisu vymění.

2. Mohu mluvit s klientem, pro kterého jste dělali podobný projekt?

Reference na webu vypadají vždy dobře. Krátký telefonát s klientem řekne víc: jestli se dodržel termín, jak se řešily změny a jestli systém běží i po letech.

Dobrá odpověď: Kontakt na jednoho nebo dva klienty a ukázka systému, který se reálně používá.

Varovný signál: Jen loga na webu, žádný kontakt a odvolávání se na mlčenlivost u všech projektů.

3. Kolik podobných projektů jste dokončili a kolik jich dodnes spravujete?

Dokončit projekt a starat se o něj roky po spuštění jsou dvě různé disciplíny. Firma, která své systémy dál spravuje, ví, co se v provozu pokazí.

Dobrá odpověď: Konkrétní projekty z vašeho nebo blízkého oboru a údaj, jak dlouho je dodavatel spravuje.

Varovný signál: Portfolio plné návrhů a prototypů, které se nikdy nedostaly do provozu.

4. Co děláte sami a co dáváte subdodavatelům?

Část práce často dělají externisté, třeba grafika nebo testování. Nevadí to, pokud o tom víte a pokud za ně dodavatel odpovídá stejně jako za sebe. U osobních údajů navíc platí, že další zpracovatel smí přibýt jen s vaším předchozím písemným povolením (GDPR, čl. 28 odst. 2).

Dobrá odpověď: Seznam subdodavatelů, jejich role a jasná odpovědnost hlavního dodavatele.

Varovný signál: Zjistíte až z faktury nebo z e-mailu cizí firmy, že na projektu pracuje někdo další.

04Postup a cena: otázky 5 až 9

5. Jak zjistíte, co přesně potřebujeme?

Bez analýzy se cena jen odhaduje. Dobrý dodavatel se nejdřív ptá: kdo bude systém používat, co dnes děláte v tabulkách, kde vznikají chyby a co se má automatizovat.

Dobrá odpověď: Úvodní workshopy nebo analýza, ze které vznikne specifikace, a klikací prototyp dřív, než se začne programovat.

Varovný signál: Pevná cena za celý systém po dvacetiminutovém hovoru, bez jediné otázky na vaše procesy.

6. Je cena pevná, nebo za odpracované hodiny? Co do ní patří?

Obě varianty mají smysl. Pevná cena chrání rozpočet, hodiny se hodí pro průběžný rozvoj. Překročení rozpočtu přitom není výjimka. Bent Flyvbjerg a Alexander Budzier ve studii 1 471 převážně velkých a veřejných IT projektů z roku 2011 zjistili průměrné překročení nákladů o 27 % a u každého šestého projektu v průměru o 200 % (Flyvbjerg a Budzier, HBR 2011, text na arXiv). Menší systém je jiné měřítko, praktické pravidlo ale platí stejně: co není v rozsahu, zaplatíte navíc.

Dobrá odpověď: Pevná cena za popsaný rozsah, platební plán po etapách a seznam toho, co v ceně není (licence, hosting, placené služby).

Varovný signál: Jedno číslo bez rozpisu nebo hodinová sazba bez odhadu a bez stropu.

7. Jak řešíte změny a vícepráce?

Změny přijdou vždy. Jakmile lidé systém uvidí, napadne je, co by mohl umět navíc. Rozhoduje, jestli o ceně změny víte dřív, než se udělá.

Dobrá odpověď: Každá změna se ocení předem, zapíše a začne se na ní pracovat až po vašem souhlasu.

Varovný signál: Vícepráce se objeví až na konečné faktuře.

8. Kdy uvidím první funkční verzi a jak často budu vidět pokrok?

Nejhorší chvíle projektu je půl roku ticha a pak velké odhalení. Když systém vidíte průběžně, chyby v zadání se najdou včas a levně.

Dobrá odpověď: Testovací verze s pravidelnými ukázkami, třeba každý týden, a první část systému v provozu do několika týdnů.

Varovný signál: Ukázka až při předání celého díla.

9. Co se stane, když nestihnete termín?

Termín bez důsledků je jen přání. Ptejte se, jak se počítá zpoždění dodavatele a jak vaše vlastní, třeba když nedodáte podklady.

Dobrá odpověď: Závazné termíny etap ve smlouvě a sleva nebo smluvní pokuta, když se zpozdí dodavatel z vlastních důvodů.

Varovný signál: Termíny jen „orientační“ a žádná odpovědnost za zpoždění.

05Kód, práva a data: otázky 10 až 13

10. Komu bude patřit kód a jaká práva k němu získám?

Zaplatit za vývoj ještě neznamená mít jistotu, že smíte kód upravovat nebo ho dát jiné firmě. Rozhoduje, co je ve smlouvě. Podrobně to rozebíráme v článku Vlastnictví zdrojového kódu a licence.

Dobrá odpověď: Výslovně zapsaná práva ke kódu (například postoupení výkonu majetkových práv nebo výhradní licence bez omezení), a od kdy platí, obvykle po zaplacení.

Varovný signál: „Kód je náš, vy máte licenci k užívání“ bez možnosti systém rozvíjet s jiným dodavatelem.

11. Na čí účty poběží kód, hosting, databáze a domény?

Když jsou účty vedené na dodavatele, jste na něm závislí, i když vám kód formálně patří. Při sporu nebo konci spolupráce se pak k vlastnímu systému těžko dostanete.

Dobrá odpověď: Repozitář s kódem, cloudové účty a domény na vaši firmu, dodavatel má jen přístup, který mu můžete odebrat.

Varovný signál: Všechno běží na serveru dodavatele a přístupy dostanete „na požádání“.

12. Jaké hotové knihovny a placené služby použijete a kolik budou stát?

Žádný moderní software nevzniká od nuly. Používají se open source knihovny a služby třetích stran, například platební brány, mapy nebo odesílání e-mailů. Každá má svou licenci a některé měsíční poplatky.

Dobrá odpověď: Seznam použitých služeb a licencí a odhad měsíčních nákladů provozu ještě v nabídce.

Varovný signál: Měsíční účty za služby, o kterých jste při podpisu nevěděli.

13. Jak dostanu data ven, když budu chtít odejít?

Data jsou vaše, ale potřebujete je i v použitelné podobě: kompletní export, popis databáze a zálohy.

Dobrá odpověď: Přímý přístup k databázi nebo kompletní export kdykoli, s dokumentací struktury dat.

Varovný signál: Export jen jako PDF nebo za zvláštní poplatek.

06Bezpečnost a zákony: otázky 14 až 17

14. Podepíšete s námi zpracovatelskou smlouvu podle GDPR?

Když dodavatel při vývoji, testování nebo správě pracuje s osobními údaji vašich zákazníků či zaměstnanců, třeba při testování na skutečných datech nebo při správě databáze, je jejich zpracovatelem. Podle čl. 28 GDPR smíte využít jen zpracovatele, který poskytuje dostatečné záruky, a zpracování se musí řídit smlouvou. Ta mimo jiné určuje, že zpracovatel pracuje jen podle vašich doložených pokynů a po skončení služeb údaje vymaže, nebo vám je vrátí (GDPR, čl. 28). Návrh systému z pohledu GDPR popisujeme v článku GDPR ve webové aplikaci.

Dobrá odpověď: Dodavatel se zeptá, jestli bude k osobním údajům mít přístup, a pokud ano, předloží vzor zpracovatelské smlouvy, seznam dalších zpracovatelů a lhůtu pro hlášení úniku dat.

Varovný signál: „GDPR řešit nemusíme, data máte vy.“

15. Jak testujete bezpečnost a jak hlásíte incidenty?

Zeptejte se na kontrolu kódu, správu hesel, zálohy a na to, kdo a do kdy vám ohlásí únik. Pokud vám dodavatel ukazuje certifikát ISO/IEC 27001, ověřte si verzi: certifikáty podle starší verze z roku 2013 po 31. 10. 2025 skončily (DQS). Kdy se certifikace vyplatí vám samotným, popisujeme v článku ISO 27001.

Dobrá odpověď: Popsaný postup: kontrola kódu, testování před spuštěním, zálohy mimo server se zkouškou obnovy a hlášení incidentu v řádu hodin.

Varovný signál: Obecné „bezpečnost bereme vážně“ bez jediného konkrétního kroku.

16. Týká se nás zákon o kybernetické bezpečnosti nebo CRA?

Nový zákon o kybernetické bezpečnosti č. 264/2025 Sb. je účinný od 1. 11. 2025. Pokud vaše firma poskytuje regulovanou službu a bezpečnostní opatření zavádí nebo provádí prostřednictvím dodavatele, musí ho vybírat podle požadavků bezpečnostních opatření a tyto požadavky zapsat do smlouvy s ním (§ 13 odst. 5, zákon 264/2025 Sb.). Opatření přitom stačí zavést nejpozději do 1 roku od doručení rozhodnutí o registraci služby (§ 13 odst. 4).

Dobrá odpověď: Dodavatel ví, jestli a jak se vás zákony týkají, a pomůže s technickou částí. Konečné právní posouzení přenechá právníkovi.

Varovný signál: „To se nás netýká“ bez jediné otázky na to, co vaše firma dělá.

Evropský Cyber Resilience Act (CRA) se týká softwaru, který se dodává na trh. Hlavní povinnosti nese výrobce, tedy ten, kdo produkt uvádí na trh pod svým jménem nebo ochrannou známkou. Tím může být i vaše firma, třeba u mobilní aplikace ke stažení. Interní systém, který nikomu nedodáváte, podle shrnutí Komise pod CRA nespadá (shrnutí CRA). Hlášení aktivně zneužívaných zranitelností a závažných incidentů platí od 11. 9. 2026, hlavní povinnosti od 11. 12. 2027 (Evropská komise).

Jak tyto povinnosti dopadají na vedení firmy, rozebíráme v článku Bezpečnost aplikace pro vedení.

17. Splní web nebo aplikace požadavky na přístupnost?

Od 28. 6. 2025 je účinný zákon č. 424/2023 Sb. o požadavcích na přístupnost. Týká se vybraných výrobků a služeb pro spotřebitele, například elektronického obchodování a finančních služeb. Na služby, které poskytuje mikropodnik, se nevztahuje (zákon 424/2023 Sb.). Pokud se na vás vztahuje, musí s přístupností počítat už návrh.

Dobrá odpověď: Dodavatel se zeptá, komu služba slouží, a přístupnost zahrne do návrhu i testování.

Varovný signál: Přístupnost jako „doplněk na konec“ za příplatek.

07Předání a provoz: otázky 18 až 20

18. Co přesně předáte a jak proběhne převzetí?

Převzetí je chvíle, kdy začínají běžet lhůty pro opravy. Měli byste přesně vědět, co dostanete a jak dlouho máte na kontrolu. Co si při předání zkontrolovat, shrnuje náš předávací protokol.

Dobrá odpověď: Předávací protokol, testovací scénáře, dokumentace, přístupy a zaškolení, lhůta na kontrolu v pracovních dnech.

Varovný signál: Předání e-mailem s odkazem a heslem v těle zprávy.

19. Jak dlouho opravujete chyby zdarma a co platí potom?

Po spuštění se vždy objeví chyby, které testy nenašly. Rozhoduje, jak dlouho je dodavatel opravuje bez dalších nákladů a co je oprava a co už nová funkce.

Dobrá odpověď: Jasná lhůta oprav zdarma od převzetí, způsob hlášení chyb a hranice mezi opravou a změnou.

Varovný signál: „Když něco nepůjde, ozvěte se“ bez lhůty a bez pravidel.

20. Jaká je reakční doba a jak se dá spolupráce ukončit?

Systém, na kterém stojí firma, potřebuje dohled i po spuštění. Zeptejte se, za jak dlouho dodavatel začne řešit výpadek a co dostanete, když odejdete. Pokud už se s dodavatelem nedomluvíte, pomůže článek Jak převzít web od dodavatele.

Dobrá odpověď: Reakční doba zapsaná ve smlouvě podle závažnosti, krátká výpovědní lhůta a předání kódu, přístupů, záloh a dokumentace při odchodu.

Varovný signál: Roční smlouva bez možnosti výpovědi a nejasné podmínky předání.

08Jak porovnat nabídky

Nabídky se špatně porovnávají, protože každá popisuje něco jiného. Pomůže jednoduchá tabulka: projděte s ní každou nabídku a chybějící údaje si vyžádejte.

Pokud ve firmě IT specialistu nemáte, nejste výjimka. Eurostat ukazuje, jak silně to závisí na velikosti firmy.

Najmout vlastního IT specialistu přitom není snadné. V roce 2024 hledalo IT specialistu 8,0 % českých podniků s aspoň 10 zaměstnanci a 5,7 % jich mělo místo, které se obsazovalo těžko. Podle našeho přepočtu jsou to zhruba sedm z deseti podniků, které specialistu hledaly (Eurostat). Pro malou firmu proto bývá externí dodavatel nejrychlejší cesta k vlastnímu systému.

09Kdy nás nevybírat

Systém na míru není řešení pro každého. V těchto situacích vám doporučíme jinou cestu.

• Hotový software pokryje skoro vše, co potřebujete. Pokud vám běžné CRM nebo fakturace sedí a licence za uživatele vás netíží, je hotové řešení levnější a rychlejší.
• Potřebujete drobnost za pár tisíc. Jednoduchý skript nebo úpravu šablony zvládne levněji freelancer. Naše nejmenší automatizace začíná kolem 60 000 Kč bez DPH.
• Chcete vlastní vývojový tým na plný úvazek. Pokud bude vývoj vaší hlavní dlouhodobou činností, vyplatí se postupně budovat vlastní tým. Kód, dokumentaci a přístupy vám předáme, takže váš tým může pokračovat sám.
• Potřebujete, aby dodavatel provozoval servery. Hosting ani servery neprovozujeme. Systémy běží na cloudových účtech vedených na vaši firmu.
• Nemáte na projekt čas. Bez vaší účasti systém na míru nevznikne. Počítejte se dvěma až třemi workshopy po dvou hodinách na začátku a s krátkou ukázkou každý týden, u webových aplikací zhruba 30 minut.

10Jak na těch 20 otázek odpovídáme my

Stejné otázky můžete položit i nám. Takhle na ně odpovídají naše obchodní podmínky a web:

Jak celý projekt probíhá krok za krokem, ukazujeme na stránce Jak to u nás probíhá. Pokud řešíte rozpočet, podívejte se i na článek o dotacích na digitalizaci v roce 2026 a na to, jak spočítat návratnost investice do softwaru. Kde začít s rozsahem první verze, radí článek Jak definovat MVP.

11Časté otázky

12Závěr

Dobrý dodavatel se nebojí konkrétních otázek a odpovědi vám dá písemně. Nejvíc problémů vzniká tam, kde chybí jasný rozsah, práva ke kódu a pravidla po spuštění, ne v samotném programování.

Vezměte si těchto 20 otázek na první schůzku. Rádi na ně odpovíme i my: pošlete nám pár vět o tom, co potřebujete, a do 2 pracovních dnů dostanete nabídku s pevnou cenou.

13Zdroje

• ARES, Administrativní registr ekonomických subjektů
• Veřejný rejstřík a Sbírka listin
• Insolvenční rejstřík
• Registr plátců DPH
• VIES: ověření DIČ v EU
• Nařízení (EU) 2016/679, GDPR
• Zákon č. 264/2025 Sb., o kybernetické bezpečnosti
• Evropská komise: Cyber Resilience Act
• Evropská komise: shrnutí Cyber Resilience Act
• Zákon č. 424/2023 Sb., o požadavcích na přístupnost
• DQS: přechod na ISO/IEC 27001:2022
• Eurostat: podniky zaměstnávající IT specialisty podle velikosti (isoc_ske_itspe)
• Eurostat: nábor IT specialistů (isoc_ske_itrcrn2)
• Flyvbjerg a Budzier: Why Your IT Project May Be Riskier Than You Think (2011)

Údaje a právní stav platí k 17. 10. 2026. Článek nenahrazuje právní radu, u konkrétní smlouvy se poraďte s advokátem.