Når supportperioden for en version er udløbet, siger Cyber Resilience Act to ting om den gamle beholdning. Kommissionen skriver, at produkter kan gøres tilgængelige efter udløbet, men at nye enheder, der bringes i omsætning, skal have deres egen supportperiode. Og fabrikanten må holde offentlige arkiver med historiske versioner, hvis brugerne tydeligt får at vide, hvad risikoen er.
Reglerne gælder fra 11. december 2027. Den første bygger på et eksempel om hardware, og overførslen til software kræver et forbehold, som vi gør rede for nedenfor.
Kommissionens svar om salg efter udløb
Kommissionens FAQ (punkt 4.5.3) siger, at der skal fastsættes en supportperiode for alle produkter, der bringes i omsætning efter 11. december 2027. Produkterne kan fortsat gøres tilgængelige på markedet, efter at supportperioden er udløbet. Men for nye enheder, der bringes i omsætning, skal der fastsættes en supportperiode.
FAQ’ens eksempel er hardware. En distributør kan sælge de resterende enheder, efter at supportperioden er udløbet. Nye enheder, som fabrikanten bringer i omsætning senere, skal have deres egen supportperiode.
Kommissionens tjenestegrene kalder selv svarene foreløbige.
Forbeholdet for software
Eksemplet handler om fysiske enheder, hvor hver enhed bringes i omsætning for sig. Software fungerer anderledes. Det er vores tolkning, og den bør læses med forbehold, at alle kopier af samme version anses for bragt i omsætning samtidig, når versionen første gang udbydes. Hvis det holder, er der ingen “nye enheder” af en softwareversion i samme forstand som for hardware.
Hvordan FAQ’ens svar så skal forstås for software, siger kilderne ikke direkte. To læsninger er mulige, og vi kan ikke afgøre, hvilken der er rigtig:
- Salg af en version efter udløbet af dens supportperiode er tilgængeliggørelse af et produkt, som er bragt i omsætning tidligere, og det er tilladt, som det er for de resterende hardwareenheder.
- Salg af en version efter udløbet er reelt et tilbud om et produkt uden support, og det bør undgås, fordi brugeren ikke får den supportperiode, forordningen forudsætter.
Indtil Kommissionen eller en myndighed har sagt mere, er den forsigtige vej at stoppe salget af en version, når dens supportperiode udløber, og henvise til en understøttet version. Det er et råd. Forordningen siger det ikke.
Distributørens restlager
For software, der sælges gennem distributører, fx som licensnøgler eller bokse, ligner situationen mere hardwareeksemplet. Kommissionens svar siger, at en distributør kan sælge resterende enheder efter udløbet. Det er vores tolkning, at det samme kan gælde licenser til en version, der er bragt i omsætning før udløbet. Fabrikanten bør i den situation overveje, om køberen får tydelig besked om, at supporten er udløbet, men kilderne kræver det ikke udtrykkeligt i den sammenhæng.
Offentlige arkiver med historiske versioner
Den anden regel er lovtekst. Artikel 13, stk. 11, siger, at fabrikanten kan opretholde offentlige softwarearkiver med historiske versioner. Brugerne skal da på en lettilgængelig måde informeres klart om risiciene ved at bruge software, der ikke længere understøttes.
Kommissionens FAQ (punkt 1.7) beskriver sådanne arkiver som arkiver for historiske versioner, der ikke længere gøres tilgængelige på markedet. Arkivet er altså noget andet end et salg.
En advarsel, der opfylder kravet, skal være klar og let at finde. Et tænkt eksempel er en tekst øverst på arkivsiden og ved hvert downloadlink, der siger, at versionen ikke længere får sikkerhedsopdateringer, at kendte sårbarheder ikke rettes, og hvilken version der understøttes i dag.
Forskellen på arkivet og opdateringsarkivet
Det offentlige arkiv med historiske versioner må ikke forveksles med kravet i artikel 13, stk. 9, om, at hver sikkerhedsopdatering skal ligge klar til download i ti år som minimum, eller supportperioden ud, hvis den varer længere. Arkivet efter stk. 11 er en mulighed, fabrikanten kan vælge, mens stk. 9 er en pligt. Det kan være praktisk at have dem i samme system, men advarslen efter stk. 11 hører til de historiske versioner uden support.
Sådan ser gennemgangen på beholdningen
Gennemgangen ser på, hvilke versioner der stadig kan købes eller hentes, og holder dem op mod deres supportperioder. Metoden er praksis. Sælges der versioner, hvis supportperiode er udløbet? Er der i så fald taget stilling til forbeholdet ovenfor? Findes der et offentligt arkiv, og er advarslen klar og let at finde ved hver version?
Hvad det kræver, og hvad det koster at lade være
Det kræver et overblik over alle versioner, der kan købes eller hentes, med deres supportperioder, og en beslutning om, hvad der sker med en version, når perioden udløber. Et arkiv kræver en advarsel, som brugeren ikke kan overse.
Uden overblikket kan versioner uden support blive ved med at blive solgt og installeret. Uden advarslen i arkivet opfylder I ikke artikel 13, stk. 11.
Det skal I lade være med
- At læse hardwareeksemplet som en sikker regel for software · overførslen er tolkning.
- At lægge gamle versioner frem uden advarsel · stk. 11 kræver klar information om risikoen.
- At blande arkivet sammen med opdateringsarkivet · de bygger på to forskellige stykker.
Det skal auditten kunne vise
- ☐ En liste over versioner, der kan købes eller hentes, med supportperiode.
- ☐ En beslutning om salg af versioner efter udløb, med henvisning til forbeholdet.
- ☐ En klar advarsel ved hver historisk version i et offentligt arkiv.
- ☐ Adskillelse mellem arkivet og de sikkerhedsopdateringer, stk. 9 kræver.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 13, stk. 9 og 11, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 1.7 og 4.5.3, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over alle versioner, der i dag kan købes eller hentes, og skriv supportperiodens slutdato ud for hver.
Læs også: Hver sikkerhedsopdatering skal kunne hentes i ti år · Udfasning før 2027
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
