Bilag III, klasse I, har nitten kategorier. Otte af dem handler om software, der ikke er identitetsstyring, SIEM eller styresystemer: browsere, adgangskodeadministratorer, antimalware, VPN, netstyring, boot managers, PKI og netværksgrænseflader. Her står de tekniske beskrivelser fra gennemførelsesforordning (EU) 2025/2392 side om side.
Beskrivelserne afgør, hvad hver kategori dækker. Om jeres produkt hører til, afgøres af dets væsentligste funktionalitet, og eksemplerne i gennemførelsesforordningen er efter betragtning 7 kun illustrative. Kravene gælder fra 11. december 2027.
Punkt 2: enkeltstående og indlejrede browsere
Software, der lader slutbrugere tilgå, gengive og interagere med webindhold. Kategorien omfatter enkeltstående browsere, indlejrede browsere beregnet til at blive integreret i et andet system og browsere med integrerede AI-agenter.
At en app indeholder en indlejret browser, gør den ikke til en browser. Reglen er gennemgået i indlejret browser, VPN-bibliotek eller login-komponent. Udvikler I selv den indlejrede browserkomponent og sælger den til andre, er det en anden sag.
Punkt 3: adgangskodeadministratorer
Den danske overskrift i både forordningen og gennemførelsesforordningen er kort og godt “Adgangskoder”. Beskrivelsen gør det klart, at det er produkterne, der administrerer adgangskoder, der er tale om. Det er produkter, der lagrer adgangskoder lokalt eller på en fjernserver, eventuelt med funktioner til at generere, dele og integrere med applikationer.
Kategorien omfatter lokale adgangskodeadministratorer, adgangskodeadministratorer som hardware, browserudvidelser og virksomhedssoftware. Browserudvidelser står her som en form for adgangskodeadministrator. Gennemførelsesforordningen gør dem ikke til en kategori for sig. En browserudvidelse med et andet formål hører altså ikke hjemme her af den grund.
Punkt 4: antimalware
Software, der søger efter, fjerner eller sætter ondsindet software i karantæne. Beskrivelsen nævner antivirus og antimalware, realtids- og manuel scanning, detektion af rootkits og genopretningsdiske med den funktion.
For et softwarehus er spørgsmålet ofte, om scanningen er hovedsagen eller en hjælpefunktion. Et tænkt backupprogram, der scanner filer for ondsindet kode før gendannelse, har efter vores læsning backup som væsentligste funktionalitet og hører derfor ikke til punkt 4.
Punkt 5: VPN
Produkter, der etablerer en krypteret logisk tunnel. Kategorien omfatter VPN-klienter, VPN-servere og VPN-portaler. Et softwarehus, der udgiver sin egen VPN-klient til en tjeneste, ligger inden for beskrivelsen, hvis tunnelen er produktets væsentligste funktionalitet.
Punkt 6: netstyringssystemer
Systemer, der styrer forbundne netværkselementer ved at overvåge og kontrollere deres drift og konfiguration. Beskrivelsen nævner end-to-end-styring og konfigurationsstyring, herunder controllere til softwaredefinerede netværk.
Beskrivelsen nævner både overvågning og kontrol. Et værktøj, der kun viser netværkets tilstand uden at kunne ændre konfigurationen, ligger efter vores læsning i yderkanten af kategorien, og vurderingen bør skrives ned.
Punkt 8: boot managers
Software, der styrer opstartsprocessen. Kategorien omfatter UEFI-firmware og boot-loadere med et eller flere trin. Det er en kategori, der især rammer dem, der udgiver platforme og tilpassede distributioner.
Punkt 9: PKI og udstedelse af digitale certifikater
Software til validering, oprettelse, udstedelse, distribution, statusrapportering, fornyelse og tilbagekaldelse af certifikater og til nøglehåndtering. Beskrivelsen nævner forvaltningssystemer for nøgler og certifikater, OCSP-respondere, som i den danske tekst hedder “status protocol-respondere for online certifikater”, og samlede PKI-løsninger.
Et produkt, der har en lille certifikattjeneste indbygget til eget brug, er efter den generelle regel ikke en PKI-løsning. Sælges tjenesten derimod særskilt til kunder, der selv udsteder certifikater med den, skal punktet overvejes for den.
Punkt 10: fysiske og virtuelle netværksgrænseflader
Virtuelle grænseflader efterligner fysiske grænsefladers drivere. Beskrivelsen nævner bl.a. virtuelle netværkskort, containernetværksgrænseflader og VPN-grænseflader. Bemærk, at VPN dermed optræder i to kategorier. Punkt 5 handler om produktet, der laver tunnelen. Punkt 10 handler om den virtuelle grænseflade, som tunnelen bruger. Sådan læser vi forskellen mellem de to beskrivelser.
De øvrige punkter
Punkt 1 (identitetsstyring) står i identitetsstyring, fælles login og flerfaktorsoftware, punkt 7 (SIEM) i SIEM eller logværktøj? og punkt 11 (operativsystemer) i artiklen om styresystemer og hypervisorer. Punkt 12 til 19 handler om routere og afbrydere, chips, intelligente bygninger, legetøj og bærbart udstyr. De er hardware- eller forbrugerprodukter, og vi gennemgår dem ikke her.
Sådan bruges opslaget
For hver kategori, der kan passe, er det praktisk at skrive tre ting ned: hvad produktet først og fremmest gør, hvilken kategori og hvilket punkt der kunne passe, og hvorfor produktet ligger inden for eller uden for beskrivelsen. Det er praksis. Kommissionen forklarer (vejledningen punkt 144), at den væsentligste funktionalitet bør fremgå klart af den tekniske dokumentation, og et sådant notat er den naturlige begrundelse.
Hvordan VPN og certifikater kontrolleres hos den, der bruger dem i sin drift, er et andet emne og hører til den tekniske gennemgang af driften.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hvert produkt og hvert særskilt solgt modul er holdt op mod beskrivelserne, og at begrundelsen er skrevet ned. For produkter i klasse I kræver det også en plan for vurderingsproceduren efter artikel 32, stk. 2.
Uden opslaget risikerer et softwarehus at overse en kategori, fordi produktet internt kaldes noget andet. En netværkscontroller kan hedde en platform, og en adgangskodeboks kan hedde en samarbejdsapp.
Det skal I lade være med
- At læse “Adgangskoder” som en kategori for alt med et login · beskrivelsen handler om adgangskodeadministratorer.
- At gøre alle browserudvidelser til vigtige produkter · de nævnes kun som en form for adgangskodeadministrator.
- At klassificere efter produktets interne navn · beskrivelserne og den væsentligste funktionalitet afgør.
Det skal auditten kunne vise
- ☐ Et notat pr. produkt med de kategorier, der er overvejet.
- ☐ Henvisning til punkt i bilag III og gennemførelsesforordningen.
- ☐ Klassificering af moduler, der sælges særskilt.
- ☐ En valgt vurderingsprocedure for produkter i klasse I.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 7 og bilag III, klasse I, læst 13. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2025/2392, betragtning 7 og bilag I, klasse I, punkt 2-6 og 8-10, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252, punkt 144, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs beskrivelserne igennem med jeres produktliste ved siden af, og notér hvert sted, hvor et produkt kunne passe.
Læs også: Styresystemer, hypervisorer og firewalls · Tillægsmoduler solgt særskilt
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
