Software er et produkt efter Cyber Resilience Act, når den leveres til en bruger, modtages af brugeren og kører på brugerens eget system. Kører den et andet sted og tilgås kun på afstand, er den som udgangspunkt ikke selv et produkt, og så skal I kunne vise, hvorfor.
Prøven skal tages for hvert produkt. Et softwarehus med en installeret klient, en webportal og en app kan få tre forskellige svar, og hvert svar skal kunne begrundes.
Lovens udgangspunkt
Artikel 2, stk. 1, i forordning (EU) 2024/2847 lader forordningen gælde for produkter, som bliver gjort tilgængelige på markedet, når formålet eller den brug, der med rimelighed kan forudses, indebærer, at produktet kobler sig logisk eller fysisk, direkte eller indirekte, til en enhed eller et net.
Kommissionens tjenestegrenes FAQ (1.1, vejledende) deler det op i tre led, der alle skal være opfyldt. Produktet skal opfylde definitionen af et produkt med digitale elementer. Det skal gøres tilgængeligt på markedet. Og formålet eller den forudsigelige anvendelse skal omfatte en dataforbindelse.
Vejledningens prøve for software
Kommissionens vejledning C(2026) 5252, som ikke er bindende, uddyber det første led for software i punkt 20. Softwaren skal leveres til en bruger, modtages af brugeren og køre på eller som en del af et elektronisk informationssystem hos brugeren.
Det rammer software, der downloades og installeres, og det rammer også en browserudvidelse og et program, der er bygget med webteknologi, men pakket til lokal kørsel. Det afgørende er stedet, hvor koden kører.
Punkt 21 tager den anden side. Når koden kører på fabrikantens eller en anden parts servere, og brugeren blot har adgang til den, bliver den ikke af den grund et produkt. Det gælder typisk webapplikationer, også progressive webapps, når de alene bruges gennem en browser, og almindelige websteder. Sådan software kan kun komme ind som fjerndatabehandling for et produkt (betragtning 11 og 12).
Fire eksempler fra vejledningen
Vejledningen bruger fire tænkte eksempler, som er nyttige at holde jeres egne produkter op imod.
- Mobilapp hentet i en appbutik og installeret på telefonen · Et produkt (eksempel 3)
- Skrivebordsprogram med webteknologi, pakket til lokal installation · Et produkt (eksempel 4)
- Webapplikation, der alene bruges i browseren · Ikke et produkt, medmindre den understøtter et produkts funktion (eksempel 5)
- Websted, der kun informerer · Ikke omfattet (eksempel 6)
Eksemplerne erstatter ikke en konkret vurdering, og vejledningen siger det selv (punkt 8).
Dataforbindelsen er sjældent det svære led
Det tredje led opfylder næsten al software. FAQ 1.3 forklarer, at forbindelsen kan være indirekte. Et regneark eller en lommeregner uden egen netadgang kører på et værtssystem, der har forbindelse, og det er nok. Et softwarehus kommer sjældent uden om forordningen ad den vej.
Det, der ikke tæller
FAQ 1.5 holder værktøjer uden for, som fabrikanten udvikler til eget brug, fx udviklings- og konfigurationsværktøjer, medmindre de bringes i omsætning som særskilte produkter. Et internt byggeværktøj er derfor ikke et produkt. Begynder I at sælge det eller give det til kunder som led i forretningen, ændrer billedet sig.
Det andet led, at produktet gøres tilgængeligt på markedet, har sine egne spørgsmål om forretningsmodeller og versioner. De står i hvornår softwaren er bragt i omsætning og i artiklen om software uden licensbetaling.
Den skriftlige begrundelse
Forordningen kræver intet særskilt notat om, hvorvidt et produkt er omfattet. Det tætteste lovkrav er, at den tekniske dokumentation skal beskrive det tilsigtede formål (bilag VII, nr. 1, litra a). En gennemgang beder alligevel typisk om en kort begrundelse pr. produkt, og det er praksis.
En brugbar begrundelse kan have disse felter, her med tænkte eksempler.
- Produkt og versioner · (Lagerklient 4.x til skrivebordet)
- Hvor koden kører · (Installeres på kundens pc’er)
- Hvordan den leveres · (Downloadlink fra kundeportal)
- Dataforbindelse · (Synkroniserer med fabrikantens server)
- Konklusion og grundlag · (Produkt efter artikel 2, stk. 1, vejledningens punkt 20)
- Hvem der har vurderet, og hvornår · (Produktchef, dato)
Når konklusionen er, at noget ikke er et produkt, er begrundelsen lige så vigtig. Det er netop den, en myndighed eller en kunde vil spørge til. Ren SaaS har sine egne faldgruber, som står i ren SaaS er uden for CRA.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over alle produkter og udgaver, som de faktisk leveres, og nogen, der kender arkitekturen godt nok til at sige, hvor hver del kører.
Uden prøven risikerer I to fejl. Enten bruger I kræfter på et produkt, der ikke er omfattet, eller også overser I et, der er. Den sidste fejl viser sig først, når kravene gælder fra 11. december 2027, eller tidligere, hvis en aktivt udnyttet sårbarhed skal indberettes efter artikel 14, som gælder fra 11. september 2026.
Det skal I lade være med
- At afgøre spørgsmålet for hele virksomheden på én gang · prøven tages produkt for produkt.
- At lade teknologien afgøre det · en app bygget med webteknologi kan sagtens være et produkt.
- At skrive “ikke omfattet” uden grundlag · den negative konklusion er den, der bliver efterprøvet.
Det skal auditten kunne vise
- ☐ En opgørelse over produkter og udgaver, som de leveres til kunderne.
- ☐ For hvert produkt, hvor koden kører, og hvordan den når brugeren.
- ☐ En begrundet konklusion med henvisning til artikel 2 og vejledningens punkt 20 og 21.
- ☐ Navn og dato på den, der har truffet vurderingen.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 2, stk. 1, betragtning 11 og 12 og bilag VII, nr. 1, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens vejledning C(2026) 5252, punkt 8, 20 og 21 og eksempel 3 til 6, ikke bindende, læst 13. november 2026.
- Kommissionens tjenestegrenes FAQ om CRA, version 1.4, FAQ 1.1, 1.3 og 1.5, vejledende, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres produkter op, som kunderne modtager dem, og tag prøven for hvert enkelt.
- Er softwaren et produkt efter forordningen?
- Mobilapps: eget produkt eller en del af en andens udstyr?
Læs også: Fjerndatabehandling · Hvad er en CRA-gennemgang?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
