Artikel 23 i forordning (EU) 2024/2847 kræver, at alle erhvervsdrivende efter anmodning kan oplyse myndighederne om, hvem de har fået et produkt fra, og hvilke erhvervsdrivende de har leveret det til. Oplysningerne skal kunne forelægges i ti år efter leveringen, og pligten gælder fra 11. december 2027.
Sporbarhed for erhvervsdrivende er en kort bestemmelse med sit eget tal. Den overses let, fordi den ligner noget, man har i bogholderiet i forvejen. For en forhandler med abonnementer, licensnøgler og videresalg gennem andre forhandlere kan den alligevel kræve, at data gemmes på en ny måde.
Hvad artikel 23 siger
Stk. 1 kræver, at de erhvervsdrivende efter anmodning giver markedsovervågningsmyndighederne:
- navn og adresse på enhver erhvervsdrivende, der har leveret produktet til dem,
- navn og adresse på enhver erhvervsdrivende, de har leveret produktet til, hvis de oplysninger foreligger.
Stk. 2 kræver, at oplysningerne kan forelægges i ti år efter, at produktet er leveret til dem, eller de har leveret det.
Hvem er omfattet
Artikel 3, nr. 12, regner fabrikanten, den bemyndigede repræsentant, importøren og distributøren som erhvervsdrivende. Pligten i artikel 23 gælder dem alle.
Litra b handler om leverancer til erhvervsdrivende. Efter vores læsning af ordlyden er leverancer til forbrugere ikke omfattet, fordi forbrugere ikke er erhvervsdrivende efter definitionen. Det er en tolkning og ikke noget, forordningen siger med egne ord.
Litra b indeholder også forbeholdet “hvis de foreligger”. Det åbner efter vores tolkning for, at en virksomhed, der ikke kender sin kunde, ikke skal opfinde oplysningen. Efter samme læsning giver forbeholdet ingen ret til at slette oplysninger, man har haft.
Hvad det betyder for software
For fysiske produkter er sporbarheden ofte bygget ind i fragtpapirer og fakturaer. For software er billedet mere broget. Et tænkt eksempel viser, hvorfor.
Et dansk softwarehus sælger et program direkte til virksomheder, gennem tre forhandlere og via en markedsplads. Direkte salg står i faktureringssystemet med kundens navn og adresse. Salg gennem forhandlerne giver kun en ordre fra forhandleren, og slutkunden kendes ikke altid. Salg via markedspladsen giver en udbetaling og en liste over licensnøgler, men ingen kundenavne.
For softwarehuset som fabrikant er pligten efter litra b at kunne oplyse, hvilke erhvervsdrivende det har leveret til. Det er forhandlerne og markedspladsen, hvis den er erhvervsdrivende i forordningens forstand. Slutkunden er forhandlerens kunde, og det er forhandleren, der efter litra b skal kunne oplyse om den, hvis slutkunden er en virksomhed.
Abonnementer og licensnøgler
Hvordan oplysningerne holdes ved abonnementer, licensnøgler og videresalg gennem forhandlere, er ikke reguleret. Et par spørgsmål er dog værd at stille.
Hvornår er der leveret? Ved et abonnement kan levering ske løbende. Fristen på ti år løber efter stk. 2 fra leveringen. Om hver fornyelse tæller som en ny levering, er uafklaret.
Hvad skal gemmes? Artikel 23 nævner navn og adresse. En licensnøgle alene er ikke navn og adresse, men den kan være vejen til at finde dem, hvis koblingen er gemt.
Hvor længe? Ti år er længere end mange systemers levetid. Skiftes fakturerings- eller licenssystemet, skal oplysningerne flyttes med eller arkiveres, så de kan findes.
Et forslag til et register
Forordningen kræver ikke et bestemt register. En almindelig fremgangsmåde er at føre en oversigt pr. produkt med tre kolonner: hvem produktet er købt af (for importører og distributører), hvilke erhvervsdrivende det er solgt til, og hvornår. Oversigten kan ofte trækkes fra eksisterende systemer, hvis de rigtige felter er udfyldt.
Det centrale er, at oplysningerne kan forelægges, når myndigheden spørger. Det er en anmodning, der kan komme i forbindelse med en sag om et produkt, og den kan dreje sig om leverancer flere år tilbage.
Når fabrikanten selv sælger til forbrugere
Et softwarehus, der kun sælger direkte til private, har efter vores læsning af litra b få oplysninger at give om modtagere. Pligten efter litra a består stadig. Køber softwarehuset dele af produktet hos en anden erhvervsdrivende, kan det efter samme læsning blive spurgt om, hvem leverandøren var. Hvornår en komponentleverandør er en erhvervsdrivende, der har leveret produktet, er ikke afklaret i de læste kilder.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen ved, hvor oplysningerne ligger, og at de kan hentes frem for et bestemt produkt og en bestemt periode. Det kræver også en arkivplan, der rækker ti år frem.
Også artikel 23 er nævnt i bødereglen i artikel 64, stk. 3. En erhvervsdrivende, der ikke kan svare, kan heller ikke hjælpe myndigheden med at finde de produkter, der skal rettes eller trækkes tilbage, og det kan ramme kunderne.
Det skal I lade være med
- At slette kundeoplysninger, når kunden ophører · de skal kunne forelægges i ti år.
- At gemme licensnøgler uden kobling til køberen · nøglen alene er ikke navn og adresse.
- At glemme leverandørsiden · I skal også kunne sige, hvem I købte af.
Det skal auditten kunne vise
- ☐ En oversigt pr. produkt over leverandører og erhvervskunder.
- ☐ Datoer for leveringerne.
- ☐ En arkivplan, der dækker ti år, også ved systemskift.
- ☐ En prøve, hvor oplysningerne for et bestemt produkt er fundet frem.
Kilder
- Forordning (EU) 2024/2847 om cyberrobusthed, artikel 3, nr. 12, artikel 23 og 64, stk. 3, læst 13. november 2026 i Publikationskontorets udgave af EUT-teksten.
Senest gennemgået: november 2026.
Næste skridt
Vælg ét produkt, og prøv at finde alle erhvervskunder, det er solgt til i det seneste år. Notér, hvor lang tid det tog.
Læs også: Importør af software fra en producent uden for EU · Hvornår er softwaren bragt i omsætning?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
