En CRA-gennemgang er en uvildig kontrol af ét softwareprodukt og af den udviklings- og sårbarhedsproces, der står bag det, målt mod kravene i forordning (EU) 2024/2847. Den viser fabrikanten, hvor langt produktet er fra kravene, og hvilket bevis der mangler, men den afgør intet om overensstemmelse.
Det lyder som en fin skelnen. I praksis betyder den, at rapporten kan bruges til at rette produktet og forberede dokumentationen, mens EU-overensstemmelseserklæringen og CE-mærket fortsat er fabrikantens egen sag.
Den vurdering, forordningen selv kender
Forordningen definerer en overensstemmelsesvurdering som en proces til verificering af, om de væsentlige cybersikkerhedskrav i bilag I er opfyldt (artikel 3, nr. 27). Fabrikanten vælger mellem fire procedurer i artikel 32. Intern kontrol (modul A), EU-typeafprøvning (modul B) efterfulgt af typeoverensstemmelse (modul C), fuld kvalitetssikring (modul H) eller en europæisk cybersikkerhedscertificeringsordning. For vigtige produkter i klasse I og II er valget snævrere.
Ved modul A kontrollerer fabrikanten selv og erklærer overensstemmelse på eget ansvar. Intet bemyndiget organ deltager. Kommissionens tjenestegrenes FAQ (6.1, vejledende) beskriver, at modul A kan bruges af alle produkter uden for de vigtige og kritiske kategorier, af klasse I, hvis en harmoniseret standard er anvendt, og af open source-produkter i klasse I og II, når den tekniske dokumentation gøres offentlig.
Et bemyndiget organ er et overensstemmelsesvurderingsorgan, som er udpeget efter artikel 43 (artikel 3, nr. 29). Det er kun i modul B, C og H, at et sådant organ har en rolle.
Hvem der skriver under
Artikel 13, stk. 12, lægger rækkefølgen fast. Før produktet bringes i omsætning, udarbejder fabrikanten den tekniske dokumentation og gennemfører den valgte procedure eller får den gennemført. Når overensstemmelse er dokumenteret, udarbejder fabrikanten selv EU-overensstemmelseserklæringen og anbringer CE-mærkningen.
Ingen ekstern part kan overtage den underskrift. En uvildig gennemgang giver derfor ingen formodning om overensstemmelse, den erstatter ingen af procedurerne, og den giver ikke ret til at sætte CE-mærket på.
Hvor gennemgangen passer ind
FAQ 6.5 oplyser, at forordningen ikke foreskriver en bestemt evalueringsmetode, at fabrikanten kan teste i egne eller eksterne laboratorier, og at fabrikanten bærer eneansvaret for vurderingen. Bilag VII, nr. 6, kræver, at den tekniske dokumentation indeholder rapporter fra de test, fabrikanten har kørt for at efterprøve både produktet og sårbarhedshåndteringen op mod del I og II af bilag I.
Vores læsning er, at en uvildig gennemgang kan indgå som en del af fabrikantens eget materiale, fx som en af de afprøvningsrapporter, bilag VII nævner. Det er en tolkning af FAQ 6.5 og bilag VII. Forordningen nævner ikke private gennemgange med et ord.
Hvad der bliver gennemgået
Auditobjektet er produktet og processen. Organisationens samlede sikkerhed er et andet emne, som hører til en audit af organisationens sikkerhed. Her ser gennemgangen typisk på fem ting.
- Om softwaren er et produkt efter forordningen · Artikel 2 og 3 samt vejledningens prøve
- Risikovurderingen · Artikel 13, stk. 2 til 4
- Produktets egenskaber · Bilag I, del I
- Sårbarhedshåndteringen · Bilag I, del II
- Den tekniske dokumentation og brugeroplysningerne · Bilag VII og bilag II
Det første spørgsmål afgør resten. Er softwaren slet ikke et produkt med digitale elementer, eller er den undtaget, skal en stor del af arbejdet ikke laves. Prøven står i leveret til brugeren og kørt hos brugeren. Selve risikovurderingen har sin egen artikel om cybersikkerhedsrisikovurderingen for et softwareprodukt.
Det, rapporten kan bruges til
En rapport fra en uvildig gennemgang kan pege på de krav, hvor beviset er tyndt, før en markedsovervågningsmyndighed, et bemyndiget organ eller en erhvervskunde spørger. Den kan give ledelsen et grundlag for at prioritere. Og den kan, efter vores tolkning, ligge i den tekniske dokumentation som et af de afprøvningsspor, fabrikanten selv har valgt.
Rapporten kan ikke vedlægges som bevis for overensstemmelse, og den kan ikke bruges over for kunder som et certifikat. Står der i salgsmaterialet, at produktet er godkendt efter CRA på grundlag af en gennemgang, er det forkert.
Datoerne, gennemgangen regner med
Artikel 71, stk. 2, lægger anvendelsesdatoen for forordningen som helhed på 11. december 2027. Artikel 14 om at indberette har dog virket siden 11. september 2026, også for produkter, der er bragt i omsætning tidligere. Kravene i bilag I og artikel 13 gælder først fra december 2027.
Kommissionens side om standardisering viste i november 2026 ingen harmoniseret CRA-standard, og et dansk lovforslag er endnu ikke fremsat. Kommissionens vejledning af 27. juli 2026 (C(2026) 5252) er det mest detaljerede materiale, men den er ikke bindende. Kun EU-Domstolen kan give den autoritative fortolkning. En gennemgang i dag måler derfor mod forordningens tekst og markerer, hvor den bygger på vejledningen.
Hvornår fabrikantens egen vurdering er nok
Mange softwareprodukter ligger i standardkategorien, hvor modul A er tilladt. Har udviklingsholdet overblik over risikovurderingen, bilag I og dokumentationen, kan egenkontrollen være tilstrækkelig, og en ekstern gennemgang er et valg, ingen regel kræver. Den giver mest mening, hvor holdet mangler et andet blik, hvor produktet er komplekst, eller hvor kunder beder om uafhængigt bevis.
Nielco IT laver gennemgangen uvildigt og uden forhandleraftaler, er ikke bemyndiget organ, udsteder hverken certifikater eller erklæringer og tester ikke hardware eller fysiske produkter. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Hvad det kræver, og hvad det koster at lade være
Det kræver adgang til risikovurderingen, arkitekturen, komponentlisten, processen for sårbarheder og de personer, der kan forklare dem. Uden den adgang bliver en gennemgang en læsning af papir.
Springer I kontrollen over, er der ingen, der stiller spørgsmålene, før en myndighed eller en kunde gør det. Fejlen opdages så på det tidspunkt, hvor den er dyrest at rette.
Det skal I lade være med
- At kalde rapporten et CRA-certifikat · forordningen kender kun certifikater fra bemyndigede organer og certificeringsordninger.
- At lade gennemgangen erstatte jeres egen overensstemmelsesvurdering · ansvaret for vurderingen ligger hos fabrikanten alene.
- At tro, at hele forordningen allerede gælder · for fabrikanten er det kun artikel 14, der gælder før december 2027.
Det skal auditten kunne vise
- ☐ En afgrænsning af, hvilke produkter og versioner gennemgangen dækker.
- ☐ Hvilken procedure efter artikel 32 fabrikanten har valgt eller planlægger.
- ☐ Fund ordnet efter krav i bilag I, del I og II, med henvisning til bevis.
- ☐ En tydelig markering af, hvor fundene bygger på vejledning frem for forordningens tekst.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 3, nr. 27 og 29, artikel 13, stk. 12, artikel 32, artikel 71 og bilag VII, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens tjenestegrenes FAQ om CRA, version 1.4, FAQ 6.1 og 6.5, vejledende, læst 13. november 2026.
- Kommissionens vejledning C(2026) 5252, punkt 8, ikke bindende, læst 13. november 2026.
- Kommissionen, Cyber Resilience Act, Standardisation, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, hvilke af jeres produkter der overhovedet er omfattet, før I planlægger en gennemgang.
Læs også: Ren SaaS er uden for CRA · Versioner fra før 11. december 2027
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
