En mobilapp, som I selv udgiver og stiller til rådighed som led i forretningen, er et produkt efter Cyber Resilience Act. Er appen derimod nødvendig for at betjene en andens udstyr, regner Kommissionen den som en del af det udstyr, og så er det udstyrets fabrikant, der skal have dokumentationen på plads.
Forskellen afgør, hvem der står med fabrikantens pligter, og hvad et udviklingshus bliver bedt om at levere. Kravene gælder fra 11. december 2027.
Appen som selvstændigt produkt
Vejledningen fra Kommissionen (C(2026) 5252) er kun vejledende, men den bruger i eksempel 3 netop mobilappen. En app, der hentes i en appbutik og installeres på telefonen, er et produkt med digitale elementer, og bringes den i omsætning som led i erhvervsvirksomhed, kan den være omfattet. Det passer med den generelle prøve i punkt 20. Koden leveres til brugeren og kører på brugerens enhed.
Er appen jeres egen, er I fabrikant. I laver risikovurderingen efter artikel 13, opfylder bilag I og udarbejder den tekniske dokumentation efter bilag VII. Bruger appen et API eller en database, I selv har udviklet, er den del af backend fjerndatabehandling og hører med til produktet (betragtning 11). Grænsen står i artiklen om fjerndatabehandling.
Appen som en del af udstyret
Punkt 25 i vejledningen handler om software, der er nødvendig for at betjene, konfigurere, styre eller bruge et produkt efter dets formål. Sådan software regnes som en del af produktet, også når den hentes gennem en anden kanal end hardwaren, fx en appbutik eller et downloadlink, og først efter at hardwaren er købt. Den anses for bragt i omsætning samtidig med hardwareenhederne.
Det afgørende er efter vejledningen, om softwaren i lyset af formålet er nødvendig for produktets funktioner. Hvordan og hvornår den leveres, betyder ikke noget. Vejledningen knytter det til hardware, der er designet til at virke med en bestemt software leveret af samme fabrikant.
To tænkte eksempler fra vejledningen viser det. En netværksprinter og driverne fra fabrikantens websted er ét produkt (eksempel 8). Et fitnessarmbånd og fabrikantens app til visning og konfiguration er ét produkt (eksempel 9). FAQ 1.2 fra Kommissionens tjenestegrene peger i samme retning for drivere og anden software, der følger med hardware.
Når et udviklingshus har lavet appen
Mange apps til udstyr bliver udviklet af et udviklingshus på opdrag fra udstyrets fabrikant. Fabrikant efter artikel 3, nr. 13, er den, der udvikler produktet eller får det designet, udviklet eller fremstillet og markedsfører det under eget navn eller varemærke. Udgiver udstyrsfabrikanten appen under sit navn, er det derfor vores læsning, at udstyrsfabrikanten er fabrikant af det samlede produkt, og at udviklingshuset ikke selv får fabrikantens pligter for appen.
Forordningen regulerer ikke, hvad udviklingshuset skal levere til fabrikanten. Det er aftaleret og praksis. Fordelingen nedenfor er derfor en tolkning af fabrikantens egne pligter i artikel 13, bilag I og bilag VII.
- Beskrivelse af appens arkitektur og grænseflader · Bilag VII, nr. 2, kræver systemarkitekturen beskrevet
- Softwarekomponentliste for appen · Bilag VII, nr. 2, nævner softwarekomponentlisten
- Resultater af afprøvninger · Bilag VII, nr. 6
- Besked om sårbarheder og rettelser i supportperioden · Bilag I, del II
- Oplysninger til brugervejledningen · Bilag II
Hvordan rollerne ser ud fra udviklingshusets side, uddybes i I udvikler, kunden sælger under eget navn.
Grænsetilfælde
Ikke alle apps til udstyr er nødvendige for udstyret. En app fra en tredjepart, der kan læse data fra et armbånd, men som armbåndet ikke er designet til, falder efter vores læsning uden for punkt 25 og er tredjepartens eget produkt. Vejledningens kriterium er, at udstyret er designet til at virke med softwaren fra samme fabrikant.
Omvendt kan en app, der bliver udgivet under jeres eget navn, og som både styrer en andens udstyr og har egne funktioner, rejse spørgsmål, som ingen kilde besvarer direkte. Her bør begrundelsen skrives ned med henvisning til punkt 25 og artikel 3, nr. 13, og vurderingen bør tages med forbehold.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I for hver app kan sige, om den står alene eller hører til et stykke udstyr, og hvem der markedsfører den. Har I mange apps, er det en opgørelse med et par kolonner, men den skal være rigtig.
Er fordelingen uklar, risikerer begge parter at gå ud fra, at den anden har styr på risikovurderingen og komponentlisten. Når kravene gælder, står ingen så med beviset.
Det skal I lade være med
- At lade leveringskanalen afgøre rollen · en app i appbutikken kan stadig være en del af udstyret.
- At gå ud fra, at udviklingshuset er fabrikant · det afgøres af, hvem der markedsfører produktet.
- At skrive aftalen uden de leverancer, fabrikanten selv har brug for · komponentliste og sårbarhedsbesked er de oftest glemte.
Det skal auditten kunne vise
- ☐ En liste over apps med angivelse af, om hver står alene eller hører til udstyr.
- ☐ Hvem der er fabrikant for hver app, med henvisning til artikel 3, nr. 13.
- ☐ For apps til udstyr, hvilke leverancer fabrikanten får fra udviklingen.
- ☐ Begrundelse for grænsetilfælde med henvisning til vejledningens punkt 25.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 3, nr. 13, betragtning 11, bilag I, II og VII, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens vejledning C(2026) 5252, punkt 20 og 25 og eksempel 3, 8 og 9, ikke bindende, læst 13. november 2026.
- Kommissionens tjenestegrenes FAQ om CRA, version 1.4, FAQ 1.2, vejledende, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres apps op, og angiv for hver, om den står alene, og hvem der markedsfører den.
Læs også: Leveret til brugeren og kørt hos brugeren · Biblioteker, SDK’er og komponenter solgt særskilt
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
