Et elektronisk patientjournalsystem kan på samme tid være et produkt med digitale elementer efter forordning (EU) 2024/2847 og et EHR-system efter forordningen om det europæiske sundhedsdataområde. Efter Kommissionens FAQ skal det så opfylde begge, men vurderes efter én procedure og have én samlet erklæring.
Artiklen bygger på fire svar i Kommissionens FAQ om forholdet mellem CRA og EHDS, afsnit 2.7.1 til 2.7.4. Sundhedsdataforordningen, forordning (EU) 2025/327, er ikke selv læst til denne artikel. Det, der står om den, er derfor gengivet gennem FAQ’en og skal læses med det forbehold. FAQ’en er Kommissionens tjenestegrenes svar og ikke Kommissionens officielle holdning.
Svar 1 og 2: begge forordninger gælder
Efter FAQ’en kan et produkt være omfattet af begge regelsæt. Når det er tilfældet, skal det opfylde begge, og opfyldelse af den ene dækker ikke fuldt den anden. FAQ’en henviser til betragtning 112 i forordning 2025/327.
Det betyder for et softwarehus, der udvikler journalsoftware, at bilag I i CRA ikke kan erstattes af de krav, sundhedsdataforordningen selv stiller, og omvendt. Der kan være overlap i indholdet, men det skal vises for hvert regelsæt.
FAQ’en siger også, at risikovurderingen efter CRA må indgå i den risikovurdering, sundhedsdataforordningen kræver. FAQ’en henviser her til artikel 13, stk. 4, i CRA. Én samlet vurdering er altså en mulighed, så længe den dækker kravene i begge.
Svar 3: én vurderingsprocedure
Det tredje svar er det, der har størst praktisk betydning. FAQ’en skriver, at artikel 32, stk. 5a, som blev indført ved sundhedsdataforordningen, fastsætter, at sundhedsdataforordningens procedure for overensstemmelsesvurdering anvendes i stedet for CRA’s.
Artikel 32, stk. 5a, findes ikke i den oprindelige EUT-tekst af CRA, som er læst til denne artikel. Bestemmelsen er indsat ved forordning 2025/327, og den tekst er ikke læst. Vi gengiver derfor kun FAQ’ens beskrivelse. Før en virksomhed planlægger efter den, bør den konsoliderede tekst af CRA og selve sundhedsdataforordningen læses.
Konsekvensen er efter FAQ’en, at sundhedsdataforordningens procedure træder i stedet for vurderingsprocedurerne i CRA’s artikel 32. Kravene i bilag I i CRA skal stadig opfyldes. Det er proceduren, der skifter.
Svar 4: én samlet erklæring
FAQ’en peger på artikel 39, stk. 2, i sundhedsdataforordningen og artikel 28, stk. 3, i CRA. CRA-bestemmelsen samler erklæringerne i ét dokument, når flere retsakter hver for sig kræver en erklæring for produktet. For journalsoftware betyder det ét dokument, der dækker begge regelsæt.
Hvad en gennemgang af et journalsystem måler mod
Med de fire svar som udgangspunkt kan en gennemgang af et journalsystem efter vores tolkning se sådan ud:
- Målestokken for produktets egenskaber er bilag I, del I, i CRA, ved siden af de krav, sundhedsdataforordningen stiller.
- Sårbarhedshåndteringen måles mod bilag I, del II, i CRA og artikel 14 om indberetning, der allerede gælder fra 11. september 2026.
- Risikovurderingen kan være samlet, men gennemgangen prøver, om hvert af CRA’s væsentlige krav til produktet er behandlet i den.
- Vurderingsproceduren og erklæringen følger sundhedsdataforordningen efter FAQ’en, og gennemgangen kontrollerer derfor, om procedurevalget er dokumenteret.
Et tænkt eksempel. Et dansk softwarehus leverer et journalsystem til private klinikker og har allerede en risikovurdering skrevet til sundhedsområdet. Gennemgangen lægger bilag I, del I, ved siden af og finder, at krav om sikker standardkonfiguration og begrænsning af angrebsflader ikke er nævnt. Vurderingen udvides med de to punkter og bliver dermed den samlede vurdering, FAQ’en åbner for.
En gennemgang efter CRA kan ikke sige noget om, hvorvidt journalsystemet opfylder sundhedsdataforordningens øvrige krav. De krav er ikke læst til denne artikel og ligger uden for dens kilder.
Software, der også er medicinsk udstyr
Nogle sundhedsprodukter er medicinsk udstyr, og det er en anden afgrænsning end den, FAQ’ens fire svar handler om. Den er behandlet i software, der selv er medicinsk udstyr. Afgrænsningen bør afgøres først, fordi den bestemmer, hvilke regler der overhovedet gælder for produktet.
Datoerne
For CRA er datoerne 11. september 2026 for indberetningen i artikel 14 og 11. december 2027 for resten. Hvornår sundhedsdataforordningens regler for EHR-systemer gælder, er ikke læst til denne artikel. Datoerne skal derfor slås op i forordning 2025/327, før der planlægges efter dem.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser begge forordninger sammen og skriver ned, hvilke krav der dækkes hvor. Arbejdet er større end for en almindelig softwarevirksomhed, fordi to regelsæt skal kunne spores i samme dokumentation.
Den, der behandler CRA og sundhedsdataforordningen som to adskilte projekter, risikerer to risikovurderinger, der ikke stemmer, og to erklæringer, hvor reglerne efter FAQ’en forventer én.
Det skal I lade være med
- At tro, at opfyldelse af EHDS dækker CRA · FAQ’en siger, at begge skal opfyldes.
- At planlægge efter artikel 32, stk. 5a, uden at have læst den · den er indsat ved en anden forordning.
- At udarbejde to erklæringer · artikel 28, stk. 3, kræver én samlet.
Det skal auditten kunne vise
- ☐ En dokumenteret afgrænsning af, hvilke forordninger produktet hører under.
- ☐ En samlet eller separat risikovurdering, hvor CRA’s krav til produktets egenskaber kan genfindes.
- ☐ Den vurderingsprocedure, der er valgt, og dens hjemmel.
- ☐ Én samlet EU-overensstemmelseserklæring.
- ☐ En indberetningsprocedure efter artikel 14.
Kilder
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, afsnit 2.7.1-2.7.4, læst 13. november 2026.
- Forordning (EU) 2024/2847 om cyberrobusthed, artikel 13, stk. 4, og artikel 28, stk. 3, læst 13. november 2026 i Publikationskontorets udgave af den oprindelige EUT-tekst.
Senest gennemgået: november 2026.
Næste skridt
Skriv for jeres journalsoftware ned, hvilke forordninger I mener, den hører under, og hvorfor. Læs derefter den konsoliderede tekst.
Læs også: EU-overensstemmelseserklæringen for software · AI-funktioner i softwaren
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
