...
Anledninger og organisering
Et softwarehus med flere produkter skal beslutte, hvor CRA-arbejdet begynder, hvilke produkter der ikke skal videre efter december 2027, og hvem der ejer de pligter, forordningen lægger på fabrikanten. Forordningen fordeler ikke opgaverne internt og fastsætter ingen rækkefølge, men den giver kriterierne. Artiklerne her hjælper ledelsen med de tre beslutninger.
Beslutningerne
- Produktporteføljen: rækkefølgen efter forordningens egne kriterier Klasse, ændringer, supportperiode og fjerndatabehandling.
- Udfasning før 2027: ledelsens beslutning, og hvad der gælder for de solgte versioner Frosne produkter og indberetningspligten.
- Hvem ejer CRA i en produktvirksomhed? Produktchef, release-ansvarlig, support og den, der kan indberette om natten Pligterne fordelt på funktioner.
- Køreplan til 11. december 2027: det, et softwarehus skal have klar, og hvornår Datoerne i artikel 71, det, der endnu er usikkert, og rækkefølgen af arbejdet.
Sådan kommer I i gang
Tag produktlisten fra afgrænsningen, og marker for hvert produkt, om det er et vigtigt produkt, om der er planlagt større ændringer efter december 2027, og hvor lang supportperiode kunderne forventer. De produkter, der kræver et bemyndiget organ eller har mange releases foran sig, skal først. Beslut samtidig, om nogle produkter skal fryses eller udfases, og husk, at også de skal kunne indberettes. Skriv til sidst ned, hvem der ejer risikovurderingen, komponentlisten, sårbarhedshåndteringen, dokumentationen og indberetningen. Hvordan ansvar og modenhed følges over tid i hele organisationen, er nævnt under sitet om cybermodenhed, og den almene ledelsesdel på sitet om sikkerhedsaudit.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ledelsesbeslutning og et par møder med produktcheferne. Uden rækkefølge bliver arbejdet spredt tyndt over alle produkter, og uden ejere falder indberetningen og sårbarhedshåndteringen mellem udvikling og support, netop hvor fristerne er kortest.
Det skal I lade være med
- At begynde med det produkt, der er lettest · begynd med det, der tager længst tid.
- At udfase et produkt uden at tænke på de solgte kopier · indberetningspligten følger dem.
- At give én person alle pligterne · fordel dem efter funktion og stedfortræder.
Det skal auditten kunne vise
- ☐ En prioriteret produktliste med kriterierne skrevet ud.
- ☐ Ledelsens beslutning om udfasning med dato.
- ☐ En ansvarsfordeling for hver pligt med stedfortrædere.
- ☐ Hvornår ledelsen sidst har fulgt op på planen.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Er softwaren et produkt efter forordningen? · Indberetning efter artikel 14
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
Skal jeres software gennemgås?
Skriv kort, hvilket produkt det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Gennemgangen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
