Forholdet til det bemyndigede organ fortsætter, efter at EU-typeafprøvningsattesten er udstedt. Fabrikanten skal melde ændringer, der kan påvirke overensstemmelsen eller betingelserne for attestens gyldighed, og organet aflægger regelmæssigt kontrolbesøg for at se, om sårbarhedshåndteringen fungerer.
For et softwarehus, der udgiver nye versioner ofte, er det spørgsmålet om, hvilke releases der skal meldes, der fylder. Forordningen giver kun en del af svaret. Kravene gælder fra 11. december 2027.
Pligten til at melde ændringer
Bilag VIII, del II, punkt 7, har to dele. Første afsnit siger, at organet holder sig ajour med det generelt anerkendte tekniske niveau og underretter fabrikanten, hvis ændringer i det kræver yderligere undersøgelse.
Andet afsnit pålægger fabrikanten at underrette organet om enhver ændring af den godkendte type og af sårbarhedshåndteringsprocesserne, som kan påvirke overensstemmelsen med de væsentlige krav eller betingelserne for attestens gyldighed. Sådanne ændringer kræver en tillægsgodkendelse, som tilføjes den oprindelige attest.
Ordene “kan påvirke” er afgørende. Pligten er udløst, før det er afgjort, at overensstemmelsen er påvirket.
Kontrolbesøgene
Efter punkt 8 aflægger organet regelmæssigt kontrolbesøg for at sikre, at fabrikanten gennemfører sårbarhedshåndteringsprocesserne i bilag I, del II, på en passende måde. Typeafprøvningen følges altså op af løbende kontrol af processerne.
Kontrolbesøgene vil efter vores læsning typisk se på de spor, processerne efterlader: registret over sårbarheder, vurderinger og beslutninger, sikkerhedsopdateringer og meddelelser til brugerne. Hvordan registret kan se ud, står i alle sårbarheder skal håndteres, ikke alle skal rettes.
Hvor længe attesten gælder
Forordningen fastsætter ingen gyldighedsperiode for EU-typeafprøvningsattesten. Kommissionen forklarer i sin FAQ (punkt 6.2), at attesten gælder i en periode, som det bemyndigede organ fastsætter. Væsentlige ændringer kræver en ny vurdering hos samme eller et andet organ. Andre ændringer, der ikke påvirker overensstemmelsen, bliver ifølge FAQ’en ikke vurderet igen.
Punkt 9 i bilaget siger, at organet opbevarer den tekniske dokumentation indtil udløbet af attestens gyldighedsperiode. Fabrikantens egen opbevaring løber i ti år, eller hele supportperioden, når den er længst (punkt 10).
Hyppige releases
Hvordan den enkelte release vurderes, står ikke i kilderne ud over ordene “ændringer, som kan påvirke overensstemmelsen”. Det følgende er vores tolkning og ikke en regel.
En praktisk tilgang er at give hver release en kort vurdering med tre mulige udfald:
- Ingen påvirkning. En rettelse af en tekst i brugerfladen eller en ydelsesforbedring uden betydning for sikkerheden. Vurderingen noteres, og der meldes ikke.
- Kan påvirke. En ny grænseflade udadtil, en ændret godkendelsesmekanisme, en ny kryptografisk komponent eller en ændring af processen for sårbarhedshåndtering. Organet underrettes.
- Væsentlig ændring. En ændring af produktets væsentligste funktionalitet eller sikkerhedsarkitektur. Efter FAQ’en kræver den en ny vurdering.
Forordningens begreb væsentlig ændring har sin egen betydning for, om et produkt anses for nyt. Hvordan den vurdering laves, står i væsentlig ændring. Det er en god idé at lade de to vurderinger ske i samme skridt, så hver release kun skal igennem én beslutning.
Sikkerhedsopdateringer er et særligt tilfælde. De ændrer produktet, men er netop den sårbarhedshåndtering, organet forventer. Om de kræver underretning, afhænger af, hvad de ændrer. Det må vurderes sag for sag, og organet kan have sin egen praksis.
Modul C og den godkendte type
Attesten hører sammen med modul C. Efter bilag VIII, del III, skal fabrikanten sikre, at produktionen svarer til den godkendte type, og udarbejde en EU-overensstemmelseserklæring pr. produktmodel. For software er hver ny version en ny produktion af produktet. En release, der afviger fra den godkendte type uden en tillægsgodkendelse, passer derfor dårligt med den erklæring, der skal følge den. Det er vores læsning af sammenhængen.
Aftalen med organet
Forordningen siger ikke, hvordan underretningerne sendes, eller hvor ofte kontrolbesøgene finder sted. Det fastlægger organet. Det er derfor praksis at aftale det tidligt, gerne allerede ved ansøgningen: Hvilke typer ændringer vil organet have besked om? Hvor hurtigt? I hvilken form? Og hvilken dokumentation forventer det at se ved et kontrolbesøg?
En skriftlig aftale om det gør vurderingen af den enkelte release lettere, fordi kriterierne er kendt. Den giver også et fælles grundlag, hvis organet og softwarehuset senere er uenige om, hvorvidt en ændring burde have været meldt.
Når organet finder mangler
Finder organet efter udstedelsen, at produktet ikke længere opfylder kravene, kræver det, at fabrikanten træffer korrigerende foranstaltninger. Om nødvendigt suspenderer eller inddrager organet attesten (artikel 47, stk. 5 og 6).
Medlemsstaterne skal efter artikel 48 have en procedure for klager over organernes afgørelser. Det danske lovudkast om supplerende bestemmelser lægger i § 15 klageadgangen hos Styrelsen for Samfundssikkerhed med en frist på fire uger. Udkastet er ikke vedtaget.
Hvad det kræver, og hvad det koster at lade være
Det kræver en vurdering af hver release mod attestens forudsætninger, et spor af vurderingerne og en aftale med organet om, hvordan underretninger sendes. Det kræver også, at sårbarhedshåndteringen er i brug hver dag og hele året.
Uden vurderingerne kan en ændring, der burde være meldt, slippe igennem. Opdager organet det ved et kontrolbesøg, kan det kræve afhjælpning og i yderste fald suspendere attesten.
Det skal I lade være med
- At regne attesten for permanent · organet fastsætter gyldighedsperioden.
- At melde kun det, der beviseligt har ændret overensstemmelsen · pligten gælder ændringer, der kan påvirke den.
- At lade sårbarhedshåndteringen hvile mellem kontrolbesøgene · organet ser på sporene.
Det skal auditten kunne vise
- ☐ En vurdering af hver release mod attestens forudsætninger.
- ☐ Kopier af underretninger til organet og eventuelle tillægsgodkendelser.
- ☐ Spor af sårbarhedshåndtering i hele perioden siden attesten.
- ☐ Kendskab til attestens gyldighedsperiode og datoen for ny vurdering.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 47, stk. 5-6, artikel 48 og bilag VIII, del II, punkt 7-10, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 6.2, læst 13. november 2026.
- Høringsportalen, udkast til lov om supplerende bestemmelser til forordningen om cyberrobusthed, § 15, høringsversion 5. oktober 2026, ikke vedtaget, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres sidste fem releases og vurdér, om nogen af dem kunne påvirke overensstemmelsen med en godkendt type.
Læs også: Teknisk dokumentation, når softwaren udkommer hver uge · Sikkerhedsopdateringer adskilt fra funktionsopdateringer
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
