Cyber Resilience Act udpeger ikke appbutikker eller markedspladser som distributører. Forordningen giver en regel for onlinemarkedspladser i betragtning 78 og en definition af distributør i artikel 3, nr. 17, og om en salgskanal er det ene eller det andet, beror på den rolle, den har i den konkrete sag.
For softwarehuset står én ting fast, uanset svaret. Fabrikantens pligter flytter ikke over på salgskanalen.
Hvad en distributør er
Artikel 3, nr. 17, i forordning (EU) 2024/2847 kalder den distributør, der gør et produkt tilgængeligt i EU uden at påvirke dets egenskaber, og som hverken er fabrikant eller importør.
Artikel 20 giver distributøren egne pligter. Den skal handle med fornøden omhu. Før den gør et produkt tilgængeligt, skal den kontrollere, at produktet har CE-mærkning, og at fabrikanten og en eventuel importør har opfyldt en række oplysnings- og identifikationspligter i artikel 13 og 19, som artikel 20 henviser til. Den må ikke gøre et produkt tilgængeligt, som den mener ikke overholder kravene. Og den skal underrette fabrikanten om sårbarheder, den bliver bekendt med, uden unødigt ophold. Pligterne gælder fra 11. december 2027.
Reglen for onlinemarkedspladser
Betragtning 78 skelner mellem roller. En enhed, der kun leverer onlineformidlingstjenester og blot er udbyder af en onlinemarkedsplads efter forordning (EU) 2023/988, artikel 3, nr. 14, er ikke en erhvervsdrivende efter CRA. Håndterer udbyderen også distributionen af et produkt, anses den for distributør for det produkt. Sælger den egne mærkevarer, er den fabrikant. Det vurderes fra sag til sag. Betragtningen tilføjer, at onlinemarkedspladser bør bestræbe sig på at samarbejde med markedsovervågningsmyndighederne.
Reglen er altså funktionel. Rollen afgøres af det, kanalen gør med det enkelte produkt.
Det, kilderne ikke siger
Appbutikker optræder i Kommissionens vejledning, som ikke er bindende, dog kun som en kanal, software leveres gennem, fx i eksempel 3 og 9 og punkt 25. Ingen af de læste kilder siger, om en bestemt appbutik er onlinemarkedsplads eller distributør, og ingen siger, hvad en appbutik kan forlange af et softwarehus efter CRA.
Den nærmeste parallel er open source. Betragtning 20 og vejledningens eksempel 34 siger, at hosting af open source i åbne databaser, pakkestyringssystemer og samarbejdsplatforme ikke i sig selv er tilgængeliggørelse, og at et pakkeregister i eksemplet ikke har pligter efter CRA. Udbyderne er kun distributører, hvis de gør softwaren tilgængelig som led i erhvervsvirksomhed. Parallellen viser igen, at rollen afgøres af, hvad kanalen faktisk gør.
Hvad der står fast for softwarehuset
Uanset hvordan en salgskanal skal kvalificeres, er det softwarehuset, der som fabrikant har pligterne i artikel 13 og 14. Risikovurderingen, opfyldelsen af bilag I, den tekniske dokumentation, EU-overensstemmelseserklæringen og CE-mærkningen ligger hos fabrikanten, og indberetning efter artikel 14 har gjaldt siden september 2026.
At produktet hentes gennem en appbutik, ændrer heller ikke, om det er et produkt. En app, der installeres på brugerens enhed, er et produkt efter vejledningens eksempel 3, som beskrevet i mobilapps.
Hvis kanalen er distributør
Er en salgskanal i en konkret sag distributør, vil den efter artikel 20 kontrollere bl.a. CE-mærkningen og en række af fabrikantens oplysninger, før den gør produktet tilgængeligt. Efter vores læsning er det derfor praktisk, at oplysningerne er lette at finde og ens, uanset hvilken kanal produktet sælges gennem. Det er en tolkning af artikel 20 og ikke en beskrivelse af, hvad nogen kanal kræver.
Den samme pligt for distributøren til at underrette fabrikanten om sårbarheder betyder, at et softwarehus kan modtage sådanne meldinger fra en kanal. Det er naturligt, at den kontaktadresse, fabrikanten i forvejen har til sårbarhedsrapporter, også kan bruges af salgskanaler. Forhandlerens egne pligter står i forhandler af andres software.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at softwarehuset ikke bygger sin CRA-plan på en antagelse om, at salgskanalen bærer en del af ansvaret. Det kræver også, at fabrikantens oplysninger er samlet, så de kan bruges i alle kanaler.
Går I ud fra, at appbutikken eller markedspladsen tager sig af kravene, står I uden dokumentation, når en myndighed spørger fabrikanten.
Det skal I lade være med
- At kalde en bestemt appbutik distributør i jeres dokumentation · rollen beror på den konkrete sag efter betragtning 78.
- At regne salgskanalens kontrol for jeres egen · fabrikantens pligter ligger hos jer.
- At have forskellige oplysninger om produktet i forskellige kanaler · uoverensstemmelser er svære at forklare.
Det skal auditten kunne vise
- ☐ En liste over de kanaler, produkterne sælges eller hentes gennem.
- ☐ Fabrikantens oplysninger og CE-mærkning, som de vises i hver kanal.
- ☐ En kontaktadresse, hvor også salgskanaler kan melde sårbarheder.
- ☐ At ingen af fabrikantens pligter er lagt over på en kanal i planerne.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 3, nr. 17, artikel 20 og betragtning 20 og 78, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens vejledning C(2026) 5252, punkt 25 og eksempel 3, 9 og 34, ikke bindende, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de kanaler op, jeres software når kunderne gennem, og kontrollér, at fabrikantens oplysninger er de samme alle steder.
Læs også: Mobilapps · White label
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
