En forhandler, der sælger andres software videre uden at ændre den, har rollen som distributør i CRA. Fra 11. december 2027 skal distributøren før salget kontrollere nogle få synlige forhold og handle med fornøden omhu. Den tekniske dokumentation hører ikke med til kontrollen.
Forhandlerens pligter efter CRA er lettere end importørens og langt lettere end fabrikantens. De kan stadig være tunge, hvis sortimentet er stort. Artiklen gennemgår artikel 20, overgangen for ældre produkter og de situationer, hvor en forhandler uden at vide det bliver fabrikant.
Hvem er distributør
Artikel 3, nr. 17, definerer distributøren som en person i forsyningskæden, bortset fra fabrikanten eller importøren, der gør et produkt tilgængeligt på markedet uden at have indflydelse på dets egenskaber. At gøre tilgængelig er efter nr. 22 levering som led i erhvervsvirksomhed, mod eller uden vederlag.
Er producenten etableret uden for EU, og er I de første, der sætter produktet på EU-markedet, er I importør og ikke distributør. Den rolle har sin egen artikel om importørens kontrol før salg.
Kontrollen i artikel 20
Artikel 20, stk. 1, kræver, at distributøren handler med fornøden omhu. Stk. 2 siger, hvad der konkret skal kontrolleres, før produktet gøres tilgængeligt:
- at produktet er CE-mærket,
- at fabrikanten og importøren har opfyldt artikel 13, stk. 15, 16, 18, 19 og 20, og artikel 19, stk. 4,
- at de har afgivet alle nødvendige dokumenter til distributøren.
Bestemmelserne, der henvises til, handler om identifikation af produktet, kontaktoplysninger, oplysningerne til brugeren efter bilag II, slutdatoen for supporten, erklæringen og importørens navn. Det er altså oplysninger, distributøren kan se eller få udleveret.
Distributøren skal ikke kontrollere den tekniske dokumentation eller selve overensstemmelsesvurderingen. Det følger af en sammenligning af artikel 19, stk. 2, og artikel 20, stk. 2, hvor kun importørens liste nævner dem. Det er en forenkling, og den fornødne omhu i stk. 1 kan efter vores tolkning kræve mere, hvis forhandleren har konkret grund til tvivl.
En gennemgang af sortimentet
For en forhandler med mange produkter er det praktiske spørgsmål, hvordan kontrollen gøres for hele sortimentet. En almindelig fremgangsmåde er en liste med en linje pr. produkt og version og en kolonne for hvert punkt i stk. 2. Listen er praksis og ikke et krav.
Et tænkt eksempel. En dansk forhandler har 40 programmer fra 12 producenter i sortimentet. Listen viser, at seks programmer mangler en oplyst slutdato for supporten, og at to producenter ikke har sendt erklæringen. De otte linjer går tilbage til producenterne med en frist, og produkterne sælges ikke i den nye version, før dokumenterne er der.
Produkter fra før 11. december 2027
Kommissionens FAQ siger i afsnit 7.5, at distributører ikke behøver at bringe ældre produkter, som kom på markedet inden skæringsdatoen, i overensstemmelse med forordningen bagefter, medmindre de foretager en væsentlig ændring. Det bygger på artikel 69, stk. 2.
Det betyder, at et lager af licenser eller installationsmedier fra før datoen ikke skal gennemgås igen, alene fordi datoen passeres. Om en ny download eller licens til et ældre program tæller som et nyt produkt bragt i omsætning, giver de læste kilder ikke svar på.
FAQ’en har også et eksempel i afsnit 4.5.3, hvor enheder bragt i omsætning med en supportperiode fortsat kan gøres tilgængelige efter periodens udløb. Eksemplet handler om hardwareenheder. Om det kan overføres til software, er ikke afklaret, og det bør ikke bruges om software uden forbehold.
Når forhandleren bliver fabrikant
Artikel 21 gør en distributør til fabrikant med pligterne i artikel 13 og 14, når den bringer produktet i omsætning under eget navn eller varemærke, eller når den foretager en væsentlig ændring af et produkt, der allerede er bragt i omsætning. En væsentlig ændring er efter artikel 3, nr. 30, en ændring, der har indvirkning på overensstemmelsen med bilag I, del I, eller ændrer det tilsigtede formål.
For en forhandler, der også tilpasser, pakker eller sammensætter software til kunderne, er grænsen vigtig. En tilpasning, der ændrer sikkerhedsegenskaberne, kan flytte hele fabrikantens ansvar over på forhandleren. Hvor grænsen går i det konkrete tilfælde, er en vurdering.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kontrolliste og en aftale med producenterne om, at dokumenterne følger med hver ny version. For en forhandler med et stort sortiment er det et løbende arbejde.
En distributør, der sælger et produkt uden CE-mærke eller uden de nødvendige oplysninger, overtræder artikel 20. Bøderammen for artikel 20 findes i artikel 64, stk. 3.
Det skal I lade være med
- At sætte eget navn på andres software uden at overveje følgen · artikel 21 gør jer til fabrikant.
- At bruge FAQ’ens hardwareeksempel om salg efter supportperioden på software · det er ikke afklaret.
- At lade nye versioner gå i salg uden kontrol · kontrollen i artikel 20 ligger før tilgængeliggørelsen.
Det skal auditten kunne vise
- ☐ En liste over sortimentet med kontrol af punkterne i artikel 20, stk. 2.
- ☐ Modtagne erklæringer og bilag II-oplysninger for hvert produkt.
- ☐ En vurdering af, om nogen tilpasning er en væsentlig ændring.
- ☐ En markering af de produkter i sortimentet, der kom på markedet før skæringsdatoen.
Kilder
- Forordning (EU) 2024/2847 om cyberrobusthed, artikel 3, nr. 17, 22 og 30, artikel 19, 20, 21, 64, stk. 3, og 69, stk. 2, læst 13. november 2026 i Publikationskontorets udgave af EUT-teksten.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, afsnit 4.5.3 og 7.5, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk en liste over jeres sortiment, og markér for hvert produkt, om I har erklæringen og en oplyst slutdato for supporten.
Læs også: Versioner fra før 11. december 2027 · Hvem købte I af, og hvem solgte I til?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
