Bringer en virksomhed i EU software i omsætning, som bærer navnet eller varemærket fra en producent uden for EU, har den rollen som importør i forordning (EU) 2024/2847. Fra 11. december 2027 skal den før salget sikre sig, at producenten har gjort sit arbejde, og kunne fremlægge dokumenter, der viser det.
Det er en rolle, mange danske forhandlere og distributører af udenlandsk software ikke tænker over. Artiklen gennemgår pligterne i artikel 19 og viser en kontrol pr. produkt, som kan dokumenteres. Kontrollen er praksis. Pligterne står i forordningen.
Hvornår er I importør
Artikel 3, nr. 16, definerer importøren som en person etableret i Unionen, der bringer et produkt i omsætning, som bærer en uden for Unionen etableret fysisk eller juridisk persons navn eller varemærke. At bringe i omsætning er efter nr. 21 den første tilgængeliggørelse på EU-markedet.
Den, der sælger videre efter importøren, er distributør, og har en kortere kontrol, som er beskrevet i forhandler af andres software. Sætter I jeres eget navn på softwaren eller ændrer den væsentligt, bliver I efter artikel 21 selv fabrikant og får hele fabrikantens ansvar efter artikel 13 og 14.
Fire ting, I skal have sikret jer før salget
Artikel 19, stk. 2, opregner fire forhold, importøren skal sikre, før produktet bringes i omsætning:
- at fabrikanten har gennemført overensstemmelsesvurderingen efter artikel 32,
- at fabrikanten har udarbejdet den tekniske dokumentation,
- at produktet har CE-mærket og ledsages af erklæringen og oplysningerne efter bilag II på et letforståeligt sprog,
- at fabrikanten har opfyldt artikel 13, stk. 15, 16 og 19 om identifikation, kontaktoplysninger og slutdato for supporten.
Bestemmelsen slutter med en sætning, der gør kontrollen til et spørgsmål om bevis. Importøren skal kunne fremlægge de nødvendige dokumenter som bevis for, at kravene er opfyldt.
Artikel 19, stk. 1, går forud for de fire punkter. Importøren må kun bringe produkter i omsætning, der opfylder bilag I, del I, og hvor fabrikantens processer opfylder bilag I, del II.
Dokumentationen behøver I ikke selv at have
Importøren skal sikre, at fabrikanten har udarbejdet den tekniske dokumentation. Efter artikel 19, stk. 6, skal importøren sikre, at den kan stilles til rådighed for myndighederne på anmodning. Forordningen kræver ikke, at importøren har dokumentationen liggende.
I praksis taler det for en aftale med producenten om, at dokumentationen udleveres til myndigheden, når der spørges. Hvordan aftalen skrives, er ikke reguleret.
Det, der skal stå med jeres navn
Artikel 19, stk. 4, kræver, at importøren selv kan identificeres og kontaktes. Navn eller varemærke, postadresse og en digital kontaktvej skal stå på produktet, emballagen eller et dokument, der følger med. For software kan det efter vores tolkning være i programmets om-dialog, i installationsguiden eller på en side, der følger med leverancen.
Ti års opbevaring og samarbejde
Efter artikel 19, stk. 6, gemmer importøren en kopi af erklæringen i ti år fra omsætningen, og længere, hvis supportperioden rækker videre. Stk. 7 pålægger en oplysnings- og samarbejdspligt over for myndigheden. Bliver importøren efter stk. 8 bekendt med, at fabrikanten har indstillet driften, underrettes myndighederne og så vidt muligt brugerne.
En kontrol pr. produkt
En almindelig måde at organisere pligterne på er en fil pr. produkt med beviser for de fire punkter i stk. 2. Ingen regel kræver filen. Den gør det bare lettere at fremlægge dokumenterne, når nogen spørger.
- Overensstemmelsesvurdering · (Producentens skriftlige oplysning om, hvilken procedure der er brugt, og evt. attest fra bemyndiget organ)
- Teknisk dokumentation · (Producentens bekræftelse af, at dokumentationen findes, og aftale om udlevering til myndigheden)
- CE-mærke, erklæring og bilag II · (Skærmbillede af mærket, kopi af erklæringen og link til brugeroplysningerne)
- Identifikation, kontakt og supportperiode · (Versionsnummer, producentens kontaktoplysninger og den oplyste slutdato)
Hvad importøren kan kontrollere hos producenten, afhænger af aftalen. Nogle producenter giver adgang til et resumé af dokumentationen. Andre bekræfter kun skriftligt. Begge dele kan efter vores tolkning indgå, men jo tyndere beviset er, desto sværere bliver det at vise, at importøren har sikret sig.
Er I køber af software til eget brug og vil stille krav til leverandøren, er det en anden situation, som er beskrevet i kundens kontrol af en IT-leverandør.
Hvad det kræver, og hvad det koster at lade være
Det kræver en indkøbsproces, hvor ingen udenlandsk software kommer i salg, før filen er komplet. For en forhandler med mange producenter er det et løbende arbejde, fordi hver ny version kan ændre billedet.
Brud på artikel 19 kan give bøde efter artikel 64, stk. 3, fra 11. december 2027. Endnu vigtigere er det, at en importør uden beviser ikke kan vise, at salget var lovligt.
Det skal I lade være med
- At antage, at producentens ord er nok · I skal kunne fremlægge dokumenter.
- At sætte jeres eget navn på softwaren · så bliver I fabrikant efter artikel 21.
- At glemme jeres egne kontaktoplysninger · artikel 19, stk. 4, kræver dem.
Det skal auditten kunne vise
- ☐ En fil pr. produkt med beviser for de fire punkter i artikel 19, stk. 2.
- ☐ En aftale med producenten om udlevering af dokumentationen til myndigheden.
- ☐ Importørens kontaktoplysninger ved produktet.
- ☐ Kopi af erklæringen opbevaret i ti år eller supportperioden.
- ☐ En procedure for, hvad der sker, hvis producenten lukker.
Kilder
- Forordning (EU) 2024/2847 om cyberrobusthed, artikel 3, nr. 16 og 21, artikel 19, 21 og 64, stk. 3, læst 13. november 2026 i Publikationskontorets udgave af EUT-teksten.
Senest gennemgået: november 2026.
Næste skridt
Vælg det udenlandske produkt, I sælger mest af, og se, om I i dag kan fremlægge bevis for de fire punkter.
Læs også: Bemyndiget repræsentant for en softwareproducent uden for EU · Importør eller forhandler hører om en sårbarhed
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
