Fra 11. december 2027 skal software kunne afhjælpe sårbarheder gennem sikkerhedsopdateringer, og hvor det er relevant, skal de installeres automatisk som standard. Litra c i bilag I, del I, nr. 2, rummer kravet, og der er to undtagelser, som I skal kunne begrunde, hvis I bruger dem.
Kravet til automatiske sikkerhedsopdateringer er et af de mest konkrete i bilag I. Det er også et af dem, hvor en begrundet afvigelse ofte er det rigtige svar.
Hvad litra c indeholder
Teksten har flere dele, og en gennemgang ser på dem hver for sig. Fabrikanten skal sikre, at sårbarheder kan afhjælpes gennem sikkerhedsopdateringer. Hvor det er relevant, skal det ske ved automatiske sikkerhedsopdateringer, der er installeret som standard og sker inden for en passende tidsramme. Dertil kommer tre funktioner for brugeren:
- en klar og brugervenlig mekanisme til at fravælge,
- underretning om tilgængelige opdateringer,
- mulighed for midlertidigt at udsætte dem.
Bilag II, nr. 8, litra c og e, kræver desuden, at brugeroplysningerne forklarer, hvordan sikkerhedsrelevante opdateringer installeres, og hvordan standardindstillingen om automatisk installation slås fra.
Forordningen sætter ingen tal på “passende tidsramme”. Den skal begrundes i risikovurderingen, og begrundelsen bør hænge sammen med, hvor alvorlige de sårbarheder typisk er, som opdateringerne retter. En tidsramme på flere uger kan være forsvarlig for ét produkt og for lang for et andet.
De to undtagelser
Betragtning 56, som Kommissionens FAQ gengiver, peger på to grupper, hvor kravet om automatiske opdateringer ikke gælder.
Den første er produkter, hvis hovedformål er at indgå som komponent i et andet produkt. Et bibliotek eller en SDK opdateres gennem det produkt, den indgår i.
Den anden er software, hvis brugere med rimelighed ikke regner med, at opdateringer installeres af sig selv. Betragtningen nævner produkter til professionelle IKT-netværk og især kritiske og industrielle miljøer, hvor en automatisk opdatering kan forstyrre driften.
Undtagelserne fritager ikke for resten. Fabrikanten skal stadig informere om sårbarheder og stille opdateringer til rådighed uden ophold. Det er kun den automatiske installation, der falder bort.
Hvor jeres ansvar slutter
FAQ’en svarer på et spørgsmål, mange softwarehuse stiller. Fabrikanten er ikke ansvarlig efter forordningen, hvis brugeren ikke installerer opdateringerne, for eksempel fordi automatiske opdateringer ikke er relevante for produktet, eller fordi brugeren har fravalgt dem.
Med andre ord stiller fabrikanten opdateringen til rådighed og gør det let at installere den. Selve installationen er brugerens. Det er Kommissionens læsning i en FAQ, der ikke er bindende, og den handler alene om forordningen. Hvordan det forholder sig til produktansvar, behandles ikke her.
Afvigelsen som auditpunkt
Et softwarehus, der leverer til professionelle driftsmiljøer, vil ofte vælge, at opdateringer hentes og installeres af kundens egen driftsafdeling. Det kan være helt i orden. Spørgsmålet i en gennemgang er, om valget står i risikovurderingen med en begrundelse, der passer til den beskrevne målgruppe.
Begrundelsen bør svare på nogle enkle spørgsmål. Hvem er brugerne, og hvorfor forventer de ikke automatik? Hvordan får de besked om nye sikkerhedsopdateringer? Hvordan sikrer I, at opdateringen er tilgængelig uden ophold? Står det i brugeroplysningerne?
Leverer I samme produkt til både forbrugere og virksomheder, kan svaret være forskelligt for de to grupper. Så skal risikovurderingen vise begge.
Prøven i en installeret kopi
En almindelig fremgangsmåde er at installere en ældre version og se, hvad der sker, når en nyere sikkerhedsopdatering ligger klar. Installeres den af sig selv? Får brugeren besked? Kan opdateringen udsættes midlertidigt og fravælges, og er fravalget let at finde? Bliver fravalget husket efter genstart?
Det er praksis og ikke noget, forordningen foreskriver. Indtil der er offentliggjort harmoniserede standarder, hvilket vi ikke har set pr. november 2026, er det jeres egen dokumenterede løsning, der skal bære kravet.
Når opdateringen hentes fra en butik eller pakkekilde
Meget software når brugeren gennem en appbutik, en pakkehåndtering i styresystemet eller et internt distributionssystem hos kunden. Her styres den automatiske installation ofte af platformen og af brugerens indstillinger dér. Forordningen tager ikke udtrykkeligt stilling til den situation i litra c. Vores læsning er, at fabrikanten stadig skal vise, at opdateringen bliver gjort tilgængelig i den kanal, brugeren henter fra, og at platformens indstilling til automatisk installation er beskrevet i brugeroplysningerne. Det er en tolkning, som en myndighed kan se anderledes på, og den bør stå som en antagelse i risikovurderingen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en opdateringsmekanisme med de tre brugerfunktioner, en brugervejledning, der forklarer dem, og en risikovurdering, der enten bruger automatikken eller begrunder, hvorfor den ikke passer til produktet.
Uden det har I en produktfunktion, der ikke følger kravet, eller en afvigelse, der ikke kan forsvares. Begge dele er lette at se for den, der installerer produktet og venter på næste sikkerhedsopdatering.
Det skal I lade være med
- At skjule fravalget i en konfigurationsfil · teksten kræver en klar og brugervenlig mekanisme.
- At bruge undtagelsen for professionelle miljøer uden at beskrive brugerne · undtagelsen hviler på brugernes rimelige forventning.
- At blande funktioner ind i den automatiske sikkerhedsopdatering · brugeren skal kunne stole på, hvad der installeres af sig selv.
Det skal auditten kunne vise
- ☐ En beskrivelse af opdateringsmekanismen og standardindstillingen for automatisk installation.
- ☐ Fravalg, underretning og midlertidig udsættelse, afprøvet i en installeret kopi.
- ☐ Brugeroplysninger efter bilag II, nr. 8, litra c og e.
- ☐ En begrundelse i risikovurderingen, hvis en af undtagelserne bruges.
- ☐ Den tidsramme, I har valgt, og hvorfor.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, bilag I, del I, nr. 2, litra c, og bilag II, nr. 8, litra c og e, læst 13. november 2026.
- Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4, afsnit 4.3.3, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Se efter, om jeres risikovurdering tager stilling til automatisk installation, og om fravalget står i brugeroplysningerne.
Læs også: Sikkerhedsopdateringer adskilt fra funktionsopdateringer · Sikkerhedsopdateringer uden betaling og uden unødigt ophold
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
