Et softwareprodukt i klasse I kan kun vurderes ved egenkontrol efter modul A, hvis fabrikanten anvender en harmoniseret standard, en fælles specifikation eller en certificeringsordning fuldt. Findes den ikke, skal vurderingen ske med et bemyndiget organ efter modul B og C eller modul H.
I november 2026 har vi ikke fundet nogen offentliggjort reference til en harmoniseret CRA-standard i EU-Tidende. Kravene til klasse I-produkter gælder fra 11. december 2027. Tidsplanen for et klasse I-produkt skal derfor lægges, så den kan nås med et bemyndiget organ.
Reglen i artikel 32, stk. 2
Artikel 32, stk. 2, siger, at en fabrikant af et klasse I-produkt skal bruge modul B og C eller modul H for de krav, hvor fabrikanten ikke eller kun delvis har anvendt harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger på mindst niveauet “betydeligt”. Det samme gælder, hvis de ikke findes.
Kommissionen forklarer i sin vejledning (punkt 148 til 149), at to ting skal være opfyldt for at kunne bruge modul A. Alle relevante krav i standarden skal anvendes. Og standardens anvendelsesområde skal dække mindst alle de risici, der er forbundet med produktets væsentligste funktionalitet.
Hvor standarderne står
Kommissionen har med standardiseringsanmodningen M/606 bedt de europæiske standardiseringsorganisationer om 41 standarder til CRA. Kommissionens FAQ nævner, at de er fordelt på 15 horisontale standarder samlet i tre leverancer og 26 vertikale, produktspecifikke standarder i 31 leverancer.
Den 10. november 2026 blev anmodningen ændret. Ifølge Kommissionens side om standardisering, sidst opdateret 12. november 2026 og læst 13. november 2026, er fristen for at levere alle vertikale standarder og nogle af de horisontale forlænget med tre måneder. Siden siger ikke, hvilke horisontale standarder der er omfattet. FAQ’ens frister er dermed forældede for de vertikale standarder, og vi gengiver dem ikke.
Det er de vertikale standarder, der beskriver de enkelte produktkategorier i bilag III. Efter vores læsning er det typisk dem, et klasse I-produkt skal bruge for at nå modul A, fordi standarden skal dække risiciene ved den væsentligste funktionalitet.
En vedtaget standard er ikke nok
Efter artikel 27, stk. 1, giver en harmoniseret standard først formodning om overensstemmelse, når referencen er offentliggjort i Den Europæiske Unions Tidende. Kommissionens FAQ (punkt 6.10) gentager det. Der kan altså gå tid fra, at en standard er færdig hos standardiseringsorganisationen, til den kan bruges som grundlag for modul A.
Planlægger I at vente på en standard, skal I derfor regne med tre led: levering af standarden, offentliggørelse af referencen og jeres egen implementering af alle relevante krav. Hvornår de tre led er gennemført, kan ingen sige i dag.
Certificeringsordningen
Artikel 32, stk. 2, nævner også europæiske cybersikkerhedscertificeringsordninger. Kommissionens tidslinje for gennemførelsen nævner en delegeret retsakt om formodning for den europæiske ordning baseret på fælles kriterier (EUCC), planlagt til fjerde kvartal 2026. Vi har ikke set den vedtaget, og den er derfor kun planlagt.
Bemyndigede organer
Medlemsstaterne skal efter artikel 35, stk. 2, bestræbe sig på, at der er et tilstrækkeligt antal bemyndigede organer senest 11. december 2026. Reglerne om bemyndigede organer i kapitel IV har gældt siden 11. juni 2026. Om der i dag findes organer bemyndiget efter CRA, og hvilke, slås op i Kommissionens database NANDO. Hvordan det gøres, står i opslaget i NANDO.
En tidsplan, der kan holde
Forordningen siger intet om, hvordan tidsplanen lægges. Det følgende er praksis. En tidsplan for et klasse I-produkt mod 11. december 2027 kan regne baglæns fra datoen:
- Klassificeringen er afgjort. Produktet og modulerne er holdt op mod bilag III og gennemførelsesforordning (EU) 2025/2392.
- Proceduren er valgt. Modul B og C eller modul H, med modul A som mulighed, hvis en standard når frem i tide.
- Den tekniske dokumentation er klar. Bilag VII’s elementer og en fyldestgørende risikovurdering.
- Et bemyndiget organ er fundet og har tid. Ansøgning, undersøgelse, test og evalueringsrapport.
- Afhjælpning er gennemført. Fund fra organet er rettet, før attesten kan udstedes.
Det sidste punkt overses ofte. Er kravene ikke opfyldt, kræver organet efter artikel 47, stk. 4, afhjælpning og udsteder ikke attesten.
En tidsplan med begge spor, både en standard og et organ, giver mulighed for at skifte, hvis en standard alligevel bliver offentliggjort i tide. Det er en vurdering, hvor meget arbejde der skal lægges i hvert spor.
Hvad der kan bruges i mellemtiden
Uden harmoniserede standarder måler en vurdering direkte mod kravene i bilag I. Hvad en gennemgang kan måle efter, og hvad der ikke giver formodning om overensstemmelse, står i mens standarderne mangler.
Hvad det kræver, og hvad det koster at lade være
Det kræver en afgjort klassificering, en valgt procedure og en tidsplan, der regner baglæns fra 11. december 2027 med et bemyndiget organ som udgangspunkt.
Venter et softwarehus på en standard, der ikke når frem, kan klasse I-produktet stå uden en lovlig vej til markedet efter datoen. Et bemyndiget organ, der kontaktes sent, har måske ikke tid.
Det skal I lade være med
- At planlægge efter FAQ’ens frister for standarderne · fristerne er ændret den 10. november 2026.
- At regne en vedtaget standard for brugbar · referencen skal være offentliggjort i EU-Tidende.
- At gå ud fra, at et bemyndiget organ har tid i efteråret 2027 · ingen kilde lover det.
Det skal auditten kunne vise
- ☐ En afgjort klassificering af produktet i klasse I.
- ☐ En valgt procedure og en begrundelse for valget.
- ☐ En tidsplan, der regner baglæns fra 11. december 2027.
- ☐ Dokumentation for, hvordan status på standarder og organer følges.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 27, stk. 1, artikel 32, stk. 2, artikel 35, stk. 2, artikel 47, stk. 4, og artikel 71, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252, punkt 148-149, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 6.10, læst 13. november 2026.
- Europa-Kommissionen, Cyber Resilience Act: Standardisation, sidst opdateret 12. november 2026, læst 13. november 2026.
- Europa-Kommissionen, Cyber Resilience Act: implementation, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tæl måneder baglæns fra 11. december 2027 for jeres klasse I-produkt, og sæt en dato for kontakt til et bemyndiget organ.
Læs også: Standarden dækker kun kernefunktionen · Produktporteføljen
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
