Et softwarehus må efter Cyber Resilience Act nøjes med at rette sårbarheder i den seneste væsentligt ændrede version, når to betingelser er opfyldt. Brugerne af de tidligere versioner skal kunne få den nyeste version uden at betale, og de må ikke få yderligere omkostninger ved at tilpasse hardware- og softwaremiljøet.
Reglen står i artikel 13, stk. 10, med virkning fra 11. december 2027. Huse, der udgiver nye versioner ofte, bør kende den, fordi den afgør, hvor mange versioner der skal vedligeholdes samtidig.
Hvad stykket tillader
Artikel 13, stk. 10, siger i hovedtræk, at en fabrikant, som har udbudt flere på hinanden følgende versioner med væsentlige ændringer af samme softwareprodukt, kan vælge kun at sikre overholdelse af bilag I, del II, nr. 2, for den senest bragte version. Nr. 2 er pligten til straks at håndtere og afhjælpe sårbarheder.
Undtagelsen dækker altså kun afhjælpningen. Den fritager ikke for resten af del II.
De to betingelser
Adgang uden betaling. Brugerne af tidligere versioner skal have adgang til den seneste version uden at betale for den. Et opgraderingsgebyr eller et krav om at købe en ny licens falder uden for undtagelsen.
Ingen yderligere omkostninger ved tilpasning. Kommissionens vejledning (punkt 130) uddyber, hvad der ligger i det. Rimelig driftsindsats, der hører til en opdatering, tæller ikke med. Vejledningen nævner medarbejdertid, rutinetest, konfigurationsændringer og opgradering af underliggende afhængigheder for at fjerne udtjente komponenter eller kendte sårbarheder. Byrder ud over det normale tæller med, fx tvungne køb af ny hardware, udskiftning af infrastruktur eller grundlæggende ændringer af driftsmiljøet.
Grænsen er en vurdering. Kræver den nye version et styresystem, som en stor del af kunderne ikke har, ligger det tæt på det, vejledningen kalder grundlæggende ændringer. Det er vores tolkning, og vejledningen er ikke bindende.
Det, der gælder for alle versioner alligevel
Kommissionens vejledning (punkt 128 og 131) er tydelig her. Selv når afhjælpning stoppes for de tidligere versioner, gælder de øvrige krav i bilag I, del II, fortsat, og det samme gør indberetningspligten efter artikel 14. Det betyder blandt andet:
- Politikken for koordineret offentliggørelse og informationsdelingen gælder for alle efterfølgende væsentligt ændrede versioner.
- Aktivt udnyttede sårbarheder og alvorlige hændelser skal indberettes, også når de rammer en ældre version.
- Ved omsætningen skal hver version med væsentlige ændringer have sin egen supportperiode efter stk. 8.
Vejledningen tilføjer, at den effektive supportperiode for en tidligere version kan blive kortere, når fabrikanten bruger stk. 10. Fodnote 18 siger, at brugere, der ikke har opgraderet, forventes informeret, når afhjælpningen stopper, hvis det er teknisk muligt.
Det er vores tolkning, at brugere af en ældre version også bør kunne se, hvordan de kommer over på den nyeste, når rettelserne kun kommer dér. Ellers bliver betingelsen om adgang uden betaling svær at bruge i praksis.
Når I vil fortsætte med ældre versioner mod betaling
Fodnote 19 i vejledningen siger, at fabrikanten kan vælge at fortsætte afhjælpning i tidligere versioner, også mod betaling. Forordningen kræver ikke opdateringer uden betaling til de tidligere versioner, når betingelserne i stk. 10 er opfyldt.
En udvidet supportaftale for en ældre version er dermed forenelig med forordningen, så længe den seneste version kan fås uden betaling og uden de byrder, vejledningen beskriver.
Hyppige releases
Kommissionens eksempel 53 i vejledningen handler om virksomhedssoftware med væsentligt ændrede versioner med få måneders mellemrum. Hver af dem skal have sin supportperiode. Med stk. 10 kan fabrikanten koncentrere afhjælpningen om den nyeste.
Betragtning 40, citeret i Kommissionens FAQ (punkt 4.3.2), siger desuden, at mindre sikkerheds- eller funktionsopdateringer, der ikke er væsentlige ændringer, kan leveres alene til seneste version eller underversion.
For et hus med hyppige releases handler spørgsmålet derfor også om politik. Versionspolitikken skal skrives ned, så den kan holdes op mod de to betingelser.
Hvad gennemgangen ser efter
I gennemgangen er det naturligt at læse versionspolitikken og prøve den mod tre forhold. Er opgraderingen til seneste version faktisk uden betaling for alle brugere af tidligere versioner? Kræver den nye version noget af kundernes miljø, som går ud over almindelig driftsindsats? Og bliver de øvrige pligter i del II og artikel 14 fortsat opfyldt for de ældre versioner?
Hvad det kræver, og hvad det koster at lade være
Det kræver en skriftlig versionspolitik, en vurdering af, hvad den nye version forudsætter hos kunderne, og en plan for at informere brugere af versioner, der ikke længere får rettelser.
Bruges stk. 10 uden at betingelserne holder, gælder hovedreglen. Så skal sårbarheder afhjælpes i alle versioner i deres supportperiode, og det kan blive langt mere arbejde end forudset.
Det skal I lade være med
- At tage betaling for opgraderingen og samtidig stoppe rettelser i ældre versioner · betingelsen om adgang uden betaling er så ikke opfyldt.
- At glemme indberetning for ældre versioner · artikel 14 gælder fortsat for dem.
- At undervurdere kundernes miljø · en tvungen hardwareudskiftning er en yderligere omkostning.
Det skal auditten kunne vise
- ☐ En skriftlig versionspolitik, der henviser til artikel 13, stk. 10.
- ☐ Dokumentation for, at seneste version kan fås uden betaling.
- ☐ En vurdering af, hvad opgraderingen kræver af kundernes miljø.
- ☐ En supportperiode for hver version med væsentlige ændringer, erklæret ved omsætning, og besked til brugere, der ikke har opgraderet.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 13, stk. 8, 10 og 19, artikel 14, bilag I, del II, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252, punkt 128, 130 og 131 med fodnote 18 og 19, eksempel 53, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 4.3.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvilke versioner I retter i dag, og prøv om opgraderingen fra den ældste kræver betaling eller ny hardware.
Læs også: Overvågning af komponenter for hver understøttet version · Slutdatoen ved købet og beskeden i programmet
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
