Er jeres produkt både et produkt med digitale elementer efter Cyber Resilience Act og et forbundet produkt efter dataforordningen, skal den adgang til data, dataforordningen giver brugere og tredjeparter, med i CRA-risikovurderingen. Det skriver Kommissionens tjenestegrene i tre svar i deres FAQ, som også siger, at dataforordningen ikke kræver redesign, og at deling i visse tilfælde kan begrænses eller afslås.
Artiklen gengiver kun de tre svar. Dataforordningens egen tekst er ikke gennemgået, og dens betingelser for at afslå deling beskrives derfor ikke.
To forordninger på samme produkt
FAQ 2.9.1 (vejledende) forklarer, at CRA og dataforordningen, forordning (EU) 2023/2854, er af forskellig karakter. Et produkt kan samtidig være et produkt med digitale elementer efter CRA og et forbundet produkt efter dataforordningen. FAQ’en bruger et intelligent køleskab som eksempel.
For et softwarehus er den typiske situation en app eller en tjeneste, der hører til et forbundet produkt, eller et forbundet produkt, softwarehuset selv udvikler. Hvornår appen er en del af udstyret efter CRA, er beskrevet i mobilapps.
Datadeling er en forudsigelig anvendelse
FAQ 2.9.2 siger, at når produktet også er omfattet af dataforordningens krav om at gøre data tilgængelige for brugere eller tredjeparter (dataforordningens artikel 4 og 5), skal fabrikanten sikre, at disse krav indgår i risikovurderingen efter CRA.
Efter vores læsning hænger det sammen med, at risikovurderingen efter artikel 13, stk. 3, i forordning (EU) 2024/2847 skal tage udgangspunkt i både formålet og den brug, fabrikanten med rimelighed kan regne med. En lovpligtig adgang til data for brugere og tredjeparter er netop en anvendelse, fabrikanten kan forudse.
Konkret kan vurderingen med fordel beskrive, hvordan adgangen gives, hvem der kan få den, og hvilke risici adgangen indfører. Det kan fx være en ny grænseflade, en eksportfunktion eller en ordning for at give en tredjepart adgang på brugerens vegne. Eksemplerne er vores.
Begrænsning eller afslag
FAQ 2.9.2 nævner også, at dataforordningen giver mulighed for at begrænse eller afslå deling i visse tilfælde. FAQ’en henviser til forretningshemmeligheder (dataforordningens artikel 4, stk. 8, og artikel 5, stk. 11) og til sikkerhed (artikel 4, stk. 2).
Hvornår betingelserne er opfyldt, afgøres efter dataforordningen, som ikke er gennemgået her. Det, risikovurderingen efter CRA kan bidrage med, er en beskrivelse af de sikkerhedsrisici, der knytter sig til delingen. Om den beskrivelse også kan bære et afslag efter dataforordningen, er et spørgsmål til den forordnings regler.
Et tænkt eksempel
Et softwarehus udvikler appen til en serie varmepumper, som en dansk producent sælger. Producenten vurderer, at varmepumpen er et forbundet produkt efter dataforordningen, og at brugerne skal kunne hente deres driftsdata og give en installatør adgang til dem. Softwarehuset bygger en eksport i appen og en grænseflade, hvor brugeren kan give installatøren adgang. Efter FAQ 2.9.2 hører de to funktioner med i CRA-risikovurderingen for det samlede produkt. Vurderingen beskriver, hvordan installatøren identificeres, hvordan adgangen kan trækkes tilbage, og hvordan data beskyttes under overførslen. Om producenten i et konkret tilfælde kan afslå deling af sikkerhedshensyn, afgøres efter dataforordningen. Eksemplet er tænkt.
Intet krav om redesign
FAQ 2.9.3 siger, at dataforordningen ikke har en streng pligt til redesign. Svaret gentager også CRA’s egen overgangsregel. Ældre produkter rammes kun af CRA’s krav ved en væsentlig ændring efter skæringsdatoen i december 2027, mens artikel 14 gælder for dem alle.
En ny funktion til at dele data, som tilføjes et ældre produkt for at opfylde dataforordningen, kan derfor rejse spørgsmålet, om ændringen er væsentlig efter CRA. Vurderingen følger de fire spørgsmål om nye trusselsvektorer og angrebsscenarier, som er beskrevet i versioner fra før 11. december 2027. En ny grænseflade til datadeling er efter vores læsning netop den slags ændring, der skal vurderes.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen, der kender dataforordningens krav til produktet, og nogen, der ejer CRA-risikovurderingen, taler sammen. Funktionen til datadeling skal ind i vurderingen som enhver anden funktion. CRA’s krav gælder fra 11. december 2027.
Bygges en grænseflade til datadeling uden for risikovurderingen, får produktet en adgangsvej, som ingen har vurderet. Det er netop den situation, FAQ 2.9.2 peger på.
Det skal I lade være med
- At holde datadelingen uden for CRA-risikovurderingen · FAQ 2.9.2 beder om, at den indgår.
- At bruge CRA som begrundelse for at afslå deling uden at se på dataforordningen · betingelserne for afslag står i den anden forordning.
- At tilføje en delefunktion til et ældre produkt uden at vurdere, om ændringen er væsentlig · en ny grænseflade kan ændre risikoprofilen.
Det skal auditten kunne vise
- ☐ Svaret på, om produktet regnes som forbundet produkt efter dataforordningen.
- ☐ Funktionerne til datadeling beskrevet i risikovurderingen med deres risici.
- ☐ For ældre produkter en vurdering af, om delefunktionen er en væsentlig ændring.
- ☐ Hvem der ejer samspillet mellem de to forordninger i virksomheden.
Kilder
- Kommissionens tjenestegrenes FAQ om CRA, version 1.4, FAQ 2.9.1 til 2.9.3, vejledende, læst 13. november 2026.
- Forordning (EU) 2024/2847, dansk tekst, artikel 13, stk. 3, læst 13. november 2026 i Publikationskontorets kopi.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, om jeres produkter er forbundne produkter efter dataforordningen, og læg delefunktionerne ind i risikovurderingen.
Læs også: AI-funktioner i softwaren · Væsentlig ændring
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
