Klar til det bemyndigede organ: forberedelse af typeafprøvning af et softwareprodukt

Ved EU-typeafprøvning efter modul B undersøger et bemyndiget organ produktets tekniske design og udvikling og de sårbarhedshåndteringsprocesser, I har indført. Organet læser dokumentationen og tester selv eller via et eksternt laboratorium. Forberedelsen handler om at levere en ansøgning, hvor dokumentation, prøveeksemplar og begrundelser hænger sammen.

Modul B og C er en af vejene for vigtige produkter i klasse I uden fuldt anvendt standard og for produkter i klasse II. Kravene gælder fra 11. december 2027.

Hvad organet undersøger

Efter bilag VIII, del II, punkt 1, undersøger organet det tekniske design og udviklingen af produktet og de indførte sårbarhedshåndteringsprocesser. Attesten bekræfter overensstemmelse med bilag I, del I, for produktet og med del II for processerne.

Vurderingen sker ved undersøgelse af den tekniske dokumentation og støttedokumentationen og af prøveeksemplarer af en eller flere kritiske dele af produktet (punkt 2).

Kommissionens FAQ (punkt 6.2) forklarer, at organet ud over dokumentgennemgangen også udfører de nødvendige test selv eller via et eksternt laboratorium, og fabrikanten kan blive bedt om at deltage. Produktionsfasen under modul C vurderer organet ikke.

Ansøgningen

Punkt 3 lader fabrikanten selv vælge det ene organ, ansøgningen sendes til. Den skal indeholde:

Navn og adresse på fabrikanten (punkt 3.1).
En skriftlig erklæring om, at samme ansøgning ligger hos intet andet organ (punkt 3.2).
Den tekniske dokumentation med en fyldestgørende analyse og vurdering af risiciene og mindst de elementer i bilag VII, der er relevante (punkt 3.3).
Støttedokumentation, der viser, at design, udvikling og sårbarhedshåndtering er egnede. Den skal nævne al anvendt dokumentation, særligt hvor harmoniserede standarder ikke er anvendt fuldt, og om nødvendigt testresultater fra fabrikantens eget eller et andet laboratorium (punkt 3.4).

Bilag VII og dokumentationens indhold er gennemgået i artiklen om softwarens tekniske dokumentation.

Det, organet gør

Bilag VIII, del II, punkt 4, beskriver organets arbejde i fem trin:

Organet undersøger den tekniske dokumentation og støttedokumentationen (4.1).
Det kontrollerer prøveeksemplarerne og finder de elementer, der følger standarder, og dem, der ikke gør (4.2).
Hvor standarder er valgt, undersøger og afprøver det, om de er anvendt korrekt (4.3).
Hvor standarder ikke er anvendt, undersøger og afprøver det, om fabrikantens egne løsninger opfylder kravene (4.4).
Det aftaler med fabrikanten, hvor undersøgelser og afprøvninger finder sted (4.5).

Organet udarbejder en evalueringsrapport, som kun offentliggøres med fabrikantens samtykke (punkt 5). Derefter udstedes en EU-typeafprøvningsattest eller et begrundet afslag (punkt 6).

Fjerde trin er det tunge, så længe der ikke er harmoniserede standarder. Hver egen løsning skal begrundes, og begrundelsen skal kunne efterprøves.

Hvor hullerne typisk er

Det følgende er praksis og bygger på, hvad bilagets punkter forudsætter. En uvildig forhåndsgennemgang kan finde hullerne, før organet gør det:

Risikovurderingen er ikke “fyldestgørende”. Punkt 3.3 bruger netop det ord. En risikovurdering, der ikke dækker alle funktioner, eller som ikke er knyttet til kravene i bilag I, står svagt.
Egne løsninger er ikke begrundet. Uden standarder skal hver løsning forklares, så organet kan afprøve den efter punkt 4.4.
Prøveeksemplaret svarer ikke til dokumentationen. Er det en anden version, eller mangler der funktioner, kan organet ikke koble de to.
Sårbarhedshåndteringen findes kun på papir. Organet undersøger processerne efter bilag I, del II, og kan bede om spor af, at de bruges.

Størrelse og hensyn

Efter artikel 47, stk. 2 og 3, skal organerne tage hensyn til virksomhedens størrelse og kompleksitet og undgå unødige byrder, men stadig respektere den nødvendige strenghed. Efter artikel 33, stk. 5, kan mikro- og små virksomheder bruge en forenklet teknisk dokumentation, når Kommissionen har fastlagt formularen, og organerne skal acceptere den. Vi har ikke set formularen vedtaget.

Er kravene ikke opfyldt, kræver organet afhjælpning og udsteder ikke attesten (artikel 47, stk. 4). Tiden til afhjælpning skal med i tidsplanen.

Efter attesten: modul C

Modul C er fabrikantens del. Efter bilag VIII, del III, sikrer fabrikanten, at produktionen svarer til den godkendte type, anbringer CE-mærket og udarbejder en EU-overensstemmelseserklæring pr. produktmodel. Erklæringen underskrives af fabrikanten. Hvad der sker med ændringer efter attesten, står i efter attesten.

Hvad det kræver, og hvad det koster at lade være

Det kræver en teknisk dokumentation efter bilag VII, en risikovurdering, der dækker hele produktet, begrundelser for egne løsninger og et prøveeksemplar, der svarer til dokumentationen.

Afviser organet, eller kræver det omfattende afhjælpning, rykker tidsplanen. Uden attest kan et produkt, der skal have den, ikke bringes i omsætning efter 11. december 2027. Vil I have dokumentationen gennemgået uvildigt, før den sendes til organet, kan Nielco IT stå for den gennemgang. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Det skal I lade være med

At sende en dokumentation uden begrundelser for egne løsninger · organet skal kunne afprøve dem.
At levere et prøveeksemplar fra en anden version · dokumentation og eksemplar skal passe sammen.
At regne organets arbejde for en ren dokumentlæsning · Kommissionen forklarer, at organet også tester.

Det skal auditten kunne vise

☐ En teknisk dokumentation med de relevante elementer fra bilag VII.
☐ En fyldestgørende risikovurdering knyttet til kravene i bilag I.
☐ Begrundelser for hver løsning, hvor standarder ikke er anvendt.
☐ Spor af sårbarhedshåndteringsprocesser i brug.

Kilder

Forordning (EU) 2024/2847, dansk udgave, artikel 33, stk. 5, artikel 47 og bilag VIII, del II og III, læst 13. november 2026.
Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 6.2, læst 13. november 2026.

Senest gennemgået: november 2026.

Næste skridt

Læg jeres risikovurdering ved siden af kravene i bilag I, og se, om hvert krav har en løsning og en begrundelse.

Læs også: Modul H for softwarehuse med mange produkter · EU-overensstemmelseserklæringen for software

→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

Skal jeres software gennemgås?

Skriv kort, hvilket produkt det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Gennemgangen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.