EU-overensstemmelseserklæringen er det dokument, hvor fabrikanten med sin underskrift påtager sig ansvaret for, at produktet opfylder forordning (EU) 2024/2847. For software er det sværeste spørgsmål ofte, hvornår en ny version kræver en ny erklæring.
Erklæringen hører til de pligter, der gælder fra 11. december 2027. Den kan efter Kommissionens FAQ ikke underskrives, før en overensstemmelsesvurdering er gennemført med positivt resultat. Den er altså sidste trin i forløbet.
Hvad artikel 28 siger
Fabrikanten udfærdiger erklæringen efter artikel 13, stk. 12. Den følger modellen i bilag V, skal ajourføres i det omfang, det er relevant, og stilles til rådighed på de sprog, det enkelte land kræver. Kræver flere EU-retsakter en erklæring for samme produkt, bliver det efter stk. 3 til én fælles erklæring.
Stk. 4 er den sætning, ledelsen bør læse. Ved at udarbejde EU-overensstemmelseserklæringen påtager fabrikanten sig ansvaret. Det ansvar kan ikke lægges over på en rådgiver, et testhus eller en gennemgang. En uvildig gennemgang kan kontrollere grundlaget, men det er fabrikanten, der underskriver.
Bilag V punkt for punkt
Den fulde erklæring har otte punkter:
- Navn, type og entydig identifikation af produktet.
- Navn og adresse på fabrikanten eller den bemyndigede repræsentant.
- En erklæring om, at den udstedes på fabrikantens eget eksklusive ansvar.
- Erklæringens genstand, beskrevet så produktet kan spores.
- En erklæring om overensstemmelse med den relevante EU-harmoniseringslovgivning.
- Henvisning til anvendte harmoniserede standarder, fælles specifikationer eller certificering.
- Hvis relevant, det bemyndigede organs navn og nummer, proceduren og attesten.
- Yderligere oplysninger, underskrift, sted og dato samt navn og stilling.
For et softwareprodukt er punkt 1 og 4 dem, der kræver omtanke. Genstanden skal kunne spores, og for software betyder det i praksis et produktnavn og en versionsangivelse, der matcher det, brugeren ser i programmet. Punkt 6 vil foreløbig ofte være tomt eller henvise til andre tekniske specifikationer, fordi ingen standard under forordningen havde fået sin reference offentliggjort i EUT i november 2026.
Den forenklede udgave
Bilag VI giver en forenklet erklæring. Den består af én sætning om produkttypens overensstemmelse med forordningen og en henvisning til den adresse på nettet, hvor den fulde tekst ligger. Artikel 13, stk. 20, lader fabrikanten vælge, om produktet ledsages af den fulde eller den forenklede erklæring.
For software, der hentes eller installeres digitalt, er den forenklede udgave ofte praktisk. Den forudsætter, at den fulde tekst ligger på en stabil adresse. Ændres adressen ved en omlægning af hjemmesiden, peger den forenklede erklæring ud i ingenting.
Hvornår en ny version kræver en ny erklæring
Kommissionens FAQ i afsnit 6.8 siger, at erklæringen omfatter det enkelte produkt og dermed mere end typen. Den behøver dog ikke en unik identifikator. FAQ’en skriver også, at en ny version af produktet kan få brug for en ny erklæring, især ved en væsentlig ændring.
Vejledningen fra juli 2026 uddyber. Ved væsentlig ændring betragtes produktet som nyt og bragt i omsætning på ny. Dokumentation og test kan genbruges for de dele, der ikke er ændret. Den, der foretager ændringen, er ansvarlig for det ændrede produkts overensstemmelse og udarbejder en erklæring.
Hvornår er en opdatering så en væsentlig ændring? Efter vejledningen er sikkerhedsopdateringer som udgangspunkt ikke. Nye funktioner, der ikke var med i risikovurderingen og øger risikoen, kan være det, også når de er små. Vejledningen stiller fire spørgsmål om nye trusselsvektorer, nye angrebsscenarier, ændret sandsynlighed og ændret konsekvens. Svarene afgør, om erklæringen skal fornyes.
Varianter og produktfamilier
Vejledningen åbner for, at varianter med samme arkitektur, samme sikkerhedsrelevante design og samme formål kan dække én risikovurdering, én dokumentation, én vurdering og én erklæring, så længe erklæringen klart identificerer varianterne. En erklæring for en hel produktlinje uden liste over udgaver opfylder ikke den betingelse.
Sådan prøver en gennemgang erklæringen
En gennemgang ser typisk efter fire ting. Stemmer punkt 1 og 4 med den version, der faktisk sælges? Er der en registreret vurdering af, om hver release er en væsentlig ændring? Svarer henvisningerne i punkt 6 til det, der står i den tekniske dokumentation? Og har den, der underskriver, en stilling, der giver mening for ansvaret? Fremgangsmåden er praksis og står ikke i forordningen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kobling mellem versionsstyringen og erklæringen, så nogen tager stilling, hver gang en release går ud. Uden den kobling vil erklæringen enten pege på en gammel version eller blive fornyet uden grundlag.
Artikel 58, stk. 1, litra c og d, regner en manglende eller forkert udarbejdet erklæring for formel manglende overholdelse. Myndigheden kan kræve forholdet bragt i orden og i sidste ende begrænse salget.
Det skal I lade være med
- At underskrive, før vurderingen er afsluttet · FAQ’en siger, at erklæringen forudsætter et positivt resultat.
- At bruge én erklæring for en produktlinje uden at nævne varianterne · vejledningen kræver klar identifikation.
- At flytte den fulde erklæring til en ny adresse · den forenklede udgave henviser til den gamle.
Det skal auditten kunne vise
- ☐ En erklæring med alle otte punkter i bilag V.
- ☐ En versionsangivelse, der svarer til den software, der sælges.
- ☐ En stabil adresse til den fulde tekst, hvis den forenklede udgave bruges.
- ☐ En registreret vurdering af væsentlig ændring for hver release.
- ☐ En liste over varianter, hvis erklæringen dækker en produktfamilie.
Kilder
- Forordning (EU) 2024/2847 om cyberrobusthed, artikel 13, stk. 12 og 20, artikel 28 og 58 samt bilag V og VI, læst 13. november 2026 i Publikationskontorets udgave af EUT-teksten.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, afsnit 6.8, læst 13. november 2026.
- Europa-Kommissionen, Commission guidance on the application of Regulation (EU) 2024/2847, C(2026) 5252, afsnit 4.3, 4.4 og 7.4, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres seneste release, og skriv svarene på vejledningens fire spørgsmål ned. Så ved I, om den ville have krævet en ny erklæring.
Læs også: CE-mærket på software · Udgaver, varianter og produktfamilier
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
