En open source software-forvalter skal fra 11. december 2027 have en cybersikkerhedspolitik, der er dokumenteret på en verificerbar måde, og samarbejde med markedsovervågningsmyndigheden. Hvor meget forvalteren skal indberette, afhænger af, hvilken støtte den giver projektet, og det gælder også først fra samme dato.
Pligterne står i artikel 24 i forordning (EU) 2024/2847. Datoen er værd at holde fast i. Artikel 14 om indberetning gælder for fabrikanter fra 11. september 2026, men forvalterens indberetning efter artikel 24, stk. 3, gælder først fra 11. december 2027. Det bekræfter Kommissionens tjenestegrenes FAQ i svar 5.5.
Hvem er forvalter?
Artikel 3, nr. 14, beskriver forvalteren som en juridisk person, der uden at bringe softwaren i omsætning giver den systematisk støtte over tid, holder den levedygtig og har kommerciel brug som sigte. Betragtning 19 nævner fonde og enheder, der udvikler og offentliggør open source i en forretningssammenhæng, også almennyttige. Vedvarende støtte kan være hosting af kildekode og samarbejdsplatforme, styring af projekter og styring af udviklingen.
Hvordan rollen afgøres, er beskrevet i artiklen om fabrikant, forvalter eller ingen af delene.
Stk. 1: politikken
Forvalteren skal indføre og dokumentere en cybersikkerhedspolitik på en verificerbar måde. Politikken skal ifølge artikel 24, stk. 1:
- fremme udvikling af et sikkert produkt og effektiv sårbarhedshåndtering hos udviklerne,
- fremme frivillig indberetning af sårbarheder efter artikel 15,
- tage højde for forvalterens særlige karakter og de ordninger, den er underlagt,
- navnlig omfatte dokumentation, håndtering og afhjælpning af sårbarheder,
- fremme udveksling af oplysninger om opdagede sårbarheder i open source-samfundet.
Forordningen siger ikke, hvordan politikken skal se ud, eller hvor den skal ligge. Ordet verificerbar peger på, at en udenforstående skal kunne se, at politikken findes, og hvad den indeholder. Det er vores læsning.
Stk. 2: samarbejde med myndigheden
Forvalteren samarbejder på anmodning med markedsovervågningsmyndighederne om at afbøde cybersikkerhedsrisici. På en begrundet anmodning skal forvalteren udlevere dokumentationen efter stk. 1 på et sprog, myndigheden let kan forstå. Hvilken dansk myndighed der får opgaven, har vi ikke set fastlagt pr. november 2026.
Stk. 3: indberetning efter støttens art
Stk. 3 henviser til to dele af artikel 14. Pligten til at indberette aktivt udnyttede sårbarheder gælder, i det omfang forvalteren er involveret i udviklingen. Pligten om alvorlige hændelser og underretning af brugerne gælder, i det omfang hændelserne påvirker net- og informationssystemer, som forvalteren stiller til rådighed for udviklingen.
Kommissionens vejledning C(2026) 5252 omsætter det til tre trin (punkt 79-82). Vejledningen er ikke bindende.
- Kun ikke-teknisk støtte (branding, styringsregler, arrangementer, donationer) · Ingen indberetningspligt. Bør dele oplysninger med vedligeholderne og overveje frivillig indberetning
- IT-infrastruktur (repositorier, versionsstyring, signeringsnøgler) · Indberetter alvorlige hændelser i infrastrukturen efter artikel 14, stk. 3, og informerer brugerne, hvor det er relevant
- Udviklingsressourcer (ansætter udviklere, gennemgår og fletter kode, styrer releases, håndterer sårbarhedsrapporter) · Indberetter aktivt udnyttede sårbarheder efter artikel 14, stk. 1, og informerer brugerne direkte efter stk. 8, hvor der er en direkte relation
Alle forvaltere skal opfylde stk. 1 og 2, uanset trin. En forvalter kan godt stå på mere end ét trin, fx når den både driver infrastrukturen og har ansatte udviklere i projektet.
Bøder og CE-mærkning
Forordningen fritager forvaltere for administrative bøder (artikel 64, stk. 10, litra b, og betragtning 120). Ordlyden i artikel 64, stk. 10, henviser til bøderne i stk. 3-9; at fritagelsen er fuld, bæres af betragtning 120, der siger, at medlemsstaterne ikke bør pålægge disse enheder andre former for bøder. Fritagelsen ændrer ikke pligterne. Myndigheden kan stadig bede om dokumentationen.
Forvaltere må ikke anbringe CE-mærkning på de produkter, de støtter (betragtning 19).
Artikel 25 giver Kommissionen mulighed for at indføre frivillige sikkerhedscertificeringsprogrammer for open source ved delegerede retsakter. Vi har ikke set en sådan retsakt pr. november 2026.
Det, en gennemgang kan efterprøve
Ingen kilde beskriver, hvordan en forvalters overholdelse kontrolleres. Det, der følger, er praksis udledt af ordlyden i artikel 24.
En gennemgang kan se, om politikken findes og er tilgængelig, om den dækker hvert punkt i stk. 1, og om den passer til den støtte, forvalteren faktisk giver. Den kan sammenholde trinnet i tabellen med, hvad forvalteren gør i projektet. Og den kan prøve, om der er en vej til at finde og udlevere dokumentationen, hvis myndigheden spørger.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skrevet politik, en klar beskrivelse af støtten pr. projekt og en ansvarlig, der kan modtage og videresende meldinger. For en forvalter med udviklere i projektet kræver det også en arbejdsgang for indberetning fra 11. december 2027.
Uden en verificerbar politik har forvalteren ikke noget at vise myndigheden. Bødefritagelsen ændrer ikke på, at pligten er overtrådt, og at myndigheden stadig kan bede forvalteren om at samarbejde om at afbøde risici.
Det skal I lade være med
- At planlægge forvalterens indberetning fra september 2026 · artikel 24, stk. 3, gælder først fra 11. december 2027.
- At tro, at fritagelsen for bøder også fjerner pligterne · stk. 1 og 2 gælder fuldt ud.
- At sætte CE-mærket på et projekt, I forvalter · det er forvalteren afskåret fra.
Det skal auditten kunne vise
- ☐ En dokumenteret cybersikkerhedspolitik, der dækker hvert punkt i artikel 24, stk. 1.
- ☐ En beskrivelse af støtten pr. projekt og det trin, den svarer til.
- ☐ En arbejdsgang for indberetning, hvis forvalteren leverer infrastruktur eller udviklingsressourcer.
- ☐ En navngiven ansvarlig for kontakten til markedsovervågningsmyndigheden.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 3, nr. 14, artikel 14, artikel 24, 25, artikel 64, stk. 10, artikel 71, stk. 2, og betragtning 19 og 120, læst 13. november 2026.
- Europa-Kommissionen, C(2026) 5252, vejledning om anvendelsen af forordningen, punkt 75 og 79-82, læst 13. november 2026.
- Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4, svar 5.5, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv for hvert projekt, I forvalter, hvilken støtte I giver, og find det trin i tabellen, den svarer til.
Læs også: Community-udgave og betalt udgave · Fabrikant, forvalter eller ingen af delene?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
