Alle, der arbejder med forordningen, har tavshedspligt efter artikel 63 og skal beskytte forretningshemmeligheder, herunder kildekode. Det danske lovudkast foreslår desuden, at indberetninger efter artikel 14 undtages fra aktindsigt, og et bemyndiget organ må ikke offentliggøre sin evalueringsrapport efter modul B uden fabrikantens samtykke.
Tre regler svarer altså på den bekymring, mange softwarehuse har, når en myndighed eller et organ beder om materiale. Tavshedspligten i artikel 63 begynder at gælde i december 2027. Indberetningerne efter artikel 14 har været pligt siden september 2026, og den danske del er et udkast, der ikke var fremsat 13. november 2026.
Artikel 63: tavshedspligt for alle involverede
Artikel 63, stk. 1, lægger tavshedspligt på enhver part, som har en rolle, når forordningen bringes i anvendelse. De skal navnlig beskytte “intellektuelle ejendomsrettigheder og fysiske eller juridiske personers fortrolige forretningsoplysninger eller forretningshemmeligheder, herunder kildekode”. Undtaget er tilfældene i artikel 5 i direktiv (EU) 2016/943 om forretningshemmeligheder.
Bestemmelsen nævner også andre hensyn, der skal beskyttes: effektiv gennemførelse af forordningen, offentlige og nationale sikkerhedsinteresser og integriteten af procedurer.
Efter stk. 2 må fortrolige oplysninger, der udveksles mellem myndigheder, ikke videregives uden tilladelse fra den myndighed, de kom fra. Efter stk. 3 berører tavshedspligten ikke udveksling af oplysninger og advarsler mellem myndighederne.
Kildekode er altså nævnt med ordet her, selv om de bestemmelser, der giver myndigheden adgang, ikke nævner den. Hvad myndigheden kan bede om, står i tilsyn hos et softwarehus.
Indberetninger og aktindsigt i udkastet
Det danske udkast foreslår i § 13, at to slags materiale undtages: de underretninger, fabrikanter giver CSIRT’en efter den pligtige ordning i artikel 14, og de indberetninger, der gives frivilligt efter artikel 15. Begge undtages fra aktindsigt efter offentlighedsloven og fra partsaktindsigt efter forvaltningsloven.
Bemærkningerne til udkastet afgrænser undtagelsen:
- den omfatter ikke personers adgang til oplysninger om egne forhold,
- aktindsigt i miljøoplysninger beror på en konkret vurdering,
- Center for Cybersikkerhed er i forvejen undtaget fra offentlighedsloven, bortset fra dens § 13, og fra forvaltningslovens kapitel 4.
Paragraffen er et forslag. Den kan ændre sig, før et lovforslag fremsættes. Hvordan en indberetning bliver behandlet efter forordningen, er beskrevet i efter indberetningen.
Myndighederne må dele med hinanden
Udkastets § 11 foreslår, at Styrelsen for Samfundssikkerhed, de øvrige myndigheder og CSIRT’en kan videregive oplysninger til andre myndigheder og virksomheder, også i andre lande, og til EU-institutioner, når det sker for at varetage myndighedsopgaver.
Efter forordningens artikel 52, stk. 7, kan databeskyttelsesmyndighederne få adgang til al dokumentation efter forordningen, når det er nødvendigt for deres opgaver.
Det, I udleverer til én myndighed, kan altså nå andre myndigheder. Tavshedspligten i artikel 63 følger med, og stk. 2 kræver tilladelse fra den oprindelige myndighed, før fortrolige oplysninger går videre.
Det bemyndigede organs rapport
Vælger I en overensstemmelsesvurdering med et bemyndiget organ efter modul B, udarbejder organet en evalueringsrapport. Efter bilag VIII, del II, pkt. 5, offentliggør organet “ikke indholdet af denne rapport, hverken helt eller delvist, uden fabrikantens samtykke”.
Reglen er læst for modul B. Om modul H har en tilsvarende regel, er ikke undersøgt i de kilder, artiklen bygger på.
Det, der kan blive offentligt
Nogle oplysninger kan blive offentlige efter forordningen selv. Aftaler om fælles aktiviteter offentliggøres med parternes navne efter artikel 59, stk. 5. De samlede resultater af kontrolaktioner kan gøres offentligt tilgængelige efter artikel 60, stk. 2. Mere om de aktioner står i koordinerede kontrolaktioner.
Sådan udleverer I med omtanke
Reglerne beskytter materialet hos modtageren. De ændrer ikke, hvad I selv bør overveje, før I sender det. Det følgende er praksis.
- Markér materiale, der indeholder forretningshemmeligheder, som fortroligt, når I sender det.
- Send det, der er bedt om, og hold styr på, hvad der er sendt til hvem og hvornår.
- Overvej, om en adgang under opsyn kan dække behovet, før kildekode sendes ud af huset.
- Gem kopi af anmodningen og jeres svar.
Mærkningen gør det tydeligt for modtageren, hvad I betragter som fortroligt. Om mærkningen har retlig betydning, siger de læste kilder intet om.
Hvad det kræver, og hvad det koster at lade være
Det kræver en enkel arbejdsgang for udlevering: hvem der godkender, hvordan materialet mærkes, og hvor kvitteringen gemmes. Det kræver også, at I ved, hvilke dele af koden og dokumentationen I betragter som forretningshemmeligheder.
Lader I være, mister I overblikket over, hvad der er sendt, og står svagere, hvis I senere vil påberåbe jer beskyttelsen.
Det skal I lade være med
- At afvise en begrundet anmodning af frygt for kildekoden · artikel 63 pålægger modtageren tavshedspligt.
- At regne undtagelsen fra aktindsigt for vedtaget · § 13 er et forslag.
- At gå ud fra, at organets rapport altid er beskyttet · reglen er læst for modul B.
Det skal auditten kunne vise
- ☐ En arbejdsgang for udlevering af materiale til myndigheder og organer.
- ☐ En liste over materiale, I betragter som forretningshemmeligheder.
- ☐ En log over, hvad der er udleveret, til hvem og hvornår.
- ☐ Kopi af anmodninger og svar.
Kilder
- Forordning (EU) 2024/2847, artikel 52, stk. 7, 59, stk. 5, 60, stk. 2, og 63 samt bilag VIII, del II, pkt. 5, læst 13. november 2026.
- Ministeriet for Samfundssikkerhed og Beredskab, udkast til lov om supplerende bestemmelser til forordningen om cyberrobusthed, høringsversion 5. oktober 2026, §§ 11 og 13 med bemærkninger, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Beslut, hvem der godkender udlevering af kildekode og dokumentation, og hvordan materialet mærkes og logges.
Læs også: Klar til det bemyndigede organ · Bøder og straf
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
