Integrerer I et vigtigt produkt i jeres app, bliver appen ikke af den grund selv et vigtigt produkt. Artikel 7, stk. 1, siger det udtrykkeligt, og gennemførelsesforordning (EU) 2025/2392 bruger en nyhedsapp med en indlejret browser som eksempel.
Reglen fjerner proceduren for vigtige produkter fra appen. Pligten til at vurdere komponentens sikkerhed som en del af helheden består. Kravene gælder fra 11. december 2027.
Reglen i artikel 7, stk. 1
Første punktum gør et produkt vigtigt, når dets væsentligste funktionalitet falder ind under en kategori i bilag III. Andet punktum slår fast, at når et sådant produkt bygges ind i et andet, bliver det andet produkt ikke af den grund underlagt de særlige procedurer for vigtige produkter.
Det er appens egen væsentligste funktionalitet, der afgør appens klasse. En indlejret komponent ændrer ikke på den.
Kommissionens eksempel med nyhedsappen
Betragtning 3 i gennemførelsesforordningen tager en nyhedsapp til smartphones med en indlejret browser. Appen bliver ikke i sig selv omfattet af proceduren for kategorien “enkeltstående og indlejrede browsere”. Fabrikanten skal stadig sikre, at produktet som helhed opfylder kravene, og evaluere hele produktets sikkerhed under hensyn til de integrerede komponenter.
Kommissionens FAQ (punkt 3.2) bruger samme eksempel og nævner også et sikkert element i en bærbar computer. Vejledningens eksempel 58 og betragtning 5 handler om en smartphone med styresystem og indbygget adgangskodeadministrator. Den anses generelt ikke for et styresystem eller en adgangskodeadministrator.
VPN-bibliotek og login-komponent
Kommissionen nævner ikke VPN-biblioteker eller login-komponenter i sine eksempler. At samme logik gælder for dem, er vores anvendelse af artikel 7, stk. 1. Ordlyden skelner ikke mellem typer af integrerede produkter, så vi ser ingen grund til, at en indlejret VPN-klient eller en indbygget login-komponent skulle behandles anderledes end en indlejret browser.
To forbehold er vigtige.
VPN-grænseflader er selv en kategori. Bilag III, klasse I, punkt 10, omfatter fysiske og virtuelle netværksgrænseflader. Gennemførelsesforordningen nævner blandt andet virtuelle netværkskort, containernetværksgrænseflader og VPN-grænseflader. VPN-produkter står desuden i punkt 5. Kategorierne er gennemgået i de øvrige softwarekategorier i klasse I.
Komponenten kan selv være et vigtigt produkt. Sælger I komponenten som et selvstændigt bibliotek til andre udviklere, og er kategoriens funktion dens væsentligste funktionalitet, kan biblioteket selv være et vigtigt produkt. Reglen om integration gælder for den, der integrerer.
Hvad I stadig skal
En indlejret komponent skal også vurderes. Fabrikanten skal efter betragtning 3 evaluere hele produktets sikkerhed under hensyn til de integrerede komponenter. I praksis betyder det, at komponenten indgår i appens risikovurdering. Typiske spørgsmål er:
- Hvem har lavet komponenten, og hvordan følges den med sikkerhedsopdateringer?
- Hvilke data og funktioner i appen kan komponenten nå?
- Hvilke indstillinger er valgt, og er de sikre som standard?
- Hvordan opdateres komponenten, når dens fabrikant retter en sårbarhed?
Kommissionens FAQ (punkt 7.4) siger, at komponenter, der er vigtige eller kritiske produkter, må integreres, også uden harmoniserede standarder og uden CE-mærke. Den åbner altså for at bruge en komponent, der endnu ikke selv har gennemgået en overensstemmelsesvurdering. Den, der integrerer, skal stadig vurdere komponenten med omhu. Hvordan det gøres, står i valg af tredjepartskomponenter.
Et tænkt eksempel
Et softwarehus laver en app til montører, der henter arbejdsordrer fra kundens server. For at nå serveren sikkert har appen en indbygget VPN-klient, som softwarehuset har licenseret fra en anden fabrikant. Appens væsentligste funktionalitet er håndtering af arbejdsordrer, og efter vores læsning af artikel 7, stk. 1, er appen derfor ikke et vigtigt produkt.
VPN-klienten skal alligevel med i appens risikovurdering. Hvilken version er indbygget? Hvordan får appen rettelser, når VPN-fabrikanten udsender en sikkerhedsopdatering? Er krypteringsindstillingerne valgt af softwarehuset eller arvet fra fabrikantens standard? Og hvad sker der, hvis VPN-forbindelsen fejler: falder appen tilbage til en ukrypteret forbindelse, eller stopper den? Svarene hører hjemme i den tekniske dokumentation for appen.
Når komponenten bliver hovedsagen
Grænsen kan flytte sig. En app, der begynder som en nyhedsapp med en indlejret browser, kan over tid blive en app, hvis hovedformål er at browse. En app med en indbygget VPN kan blive solgt som VPN-tjeneste. Så er funktionen blevet produktets væsentligste funktionalitet. Kommissionen forklarer (vejledningen punkt 142), at det er produktets tekniske egenskaber, der afgør, og at misvisende beskrivelser ikke ændrer klassen. Hvordan prøven udføres, står i vigtigt produkt eller ej.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over indlejrede komponenter, der selv hører til en kategori i bilag III, en vurdering af hver i appens risikovurdering og en skrevet begrundelse for appens egen klasse.
Uden begrundelsen kan det se ud, som om I har overset kategorien. Uden vurderingen af komponenten mangler en del af risikovurderingen, og den mangel rammer appen uanset klassen.
Det skal I lade være med
- At klassificere appen efter dens komponenter · appens væsentligste funktionalitet afgør klassen.
- At springe komponenten over i risikovurderingen · hele produktets sikkerhed skal evalueres.
- At gå ud fra, at et bibliotek, I sælger, er uden for kategorierne · det kan selv være et vigtigt produkt.
Det skal auditten kunne vise
- ☐ En liste over indlejrede komponenter, der hører til en kategori i bilag III.
- ☐ En vurdering af hver komponent i appens risikovurdering.
- ☐ En skrevet begrundelse for appens egen klasse.
- ☐ En klassificering af komponenter, I selv sælger særskilt.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 7, stk. 1, og bilag III, læst 13. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2025/2392, betragtning 3 og 5 og bilag I, klasse I, punkt 5 og 10, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252, punkt 142 og eksempel 58, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 3.2 og 7.4, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gennemgå komponentlisten for jeres app, og markér de komponenter, der selv hører til en kategori i bilag III.
- Vigtige softwareklasser og vurdering med tredjepart
- Identitetsstyring og flerfaktorsoftware i klasse I
Læs også: Afhængigheder uden for produktet · Mobilapps
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
