Importør, forhandler og kundernes krav

Ikke kun fabrikanten har pligter efter Cyber Resilience Act. Importøren, der bringer software fra en producent uden for EU ind, og forhandleren, der sælger andres produkter videre, skal også kontrollere og dokumentere. Samtidig begynder kunderne at spørge efter CRA-dokumentation, før kravene gælder. Artiklerne her er skrevet til handelsleddet og til softwarehuset, der får spørgsmålene, og viser, hvad der kan siges og vises nu.

Handelsleddet

• Importør af software fra en producent uden for EU: kontrollen, før I sælger Pligterne i artikel 19 pr. produkt.
• Forhandler af andres software: distributørens kontrol, og hvad der gælder for produkter fra før 2027 Hvornår forhandleren bliver fabrikant.
• Importør eller forhandler hører om en sårbarhed: stop salget, underret, dokumentér Hvem der skal vide det, og hvornår.
• Bemyndiget repræsentant for en softwareproducent uden for EU Fuldmagtens grænser.
• Hvem købte I af, og hvem solgte I til? Sporbarhed i handelsleddet i ti år Abonnementer og licensnøgler med.

Kunderne spørger

• Kunden beder om CRA-dokumentation før december 2027: hvad kan I ærligt sige? Det, der kan vises, og det, der må vente.
• NIS2-enhed og fabrikant på samme tid: hvorfor et ISO 27001-certifikat ikke dækker produktet, og hvad der måske kan genbruges Organisation og produkt holdt adskilt.

Sådan kommer I i gang

Er I importør eller forhandler, så lav en liste over de softwareprodukter, I sælger, med producent, land og den dokumentation, I har modtaget. Fra december 2027 skal I kunne vise, at I har kontrolleret CE-mærke, erklæring og brugeroplysninger, før produktet blev solgt. Er I softwarehuset, der får spørgsmål fra kunder, så skriv et kort svar, der skiller det, der gælder i dag, fra det, der er under arbejde. Kundens side af sagen, hvor leverandøren kontrolleres, har sitet om leverandøraudit, mens organisationens NIS2-arbejde hører til sitet om sikkerhedsaudit.

Hvad det kræver, og hvad det koster at lade være

Handelsleddet kræver en indkøbskontrol pr. produkt og et register over køb og salg, der kan holde i ti år. For softwarehuset kræver det en ansvarlig for kundesvarene. Lover et svar overensstemmelse, før kravene gælder, eller blander det organisationens certifikat sammen med produktet, kan det blive brugt imod jer senere.

Det skal I lade være med

• At sælge importeret software uden at have set dokumentationen · importøren hæfter selv.
• At svare kunden, at produktet “er CRA-godkendt” · en sådan godkendelse findes ikke.
• At lade et ISO 27001-certifikat stå som bevis for produktet · det dækker organisationen.

Det skal auditten kunne vise

• ☐ For importører og forhandlere: kontrollen pr. produkt med dato.
• ☐ Et register over leverandører og kunder i handelsleddet.
• ☐ En skrevet procedure, når en sårbarhed bliver kendt i handelsleddet.
• ☐ For softwarehuset: et godkendt standardsvar til kunder om CRA-status.

Senest gennemgået: november 2026.

Næste skridt

• Importør af software fra en producent uden for EU
• Kunden beder om CRA-dokumentation før december 2027

Læs også: Dokumentation, erklæring og mærkning · Dansk tilsyn og sanktioner

→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT