Modul A er den interne kontrol, hvor fabrikanten selv vurderer, om softwaren opfylder forordning (EU) 2024/2847, og selv underskriver erklæringen. Ingen bemyndigede organer deltager, og fra 11. december 2027 er den vej åben for ethvert produkt, hvis kernefunktion ikke står i bilag III eller IV.
Fordi ingen udenforstående er med, hviler hele vurderingen på fabrikantens eget grundlag. Denne artikel følger bilag VIII, del I, og Kommissionens beskrivelse af trinene og viser, hvor en uvildig gennemgang kan kontrollere grundlaget, uden at den overtager fabrikantens rolle.
Hvem må bruge modul A
Artikel 32, stk. 1, litra a, nævner intern kontrol som én af procedurerne. Efter artikel 32 og Kommissionens FAQ i afsnit 6.1 kan modul A bruges af:
- produkter, hvis kernefunktion ikke står i bilag III eller IV,
- produkter i klasse I, når harmoniserede standarder er anvendt (artikel 32, stk. 2),
- open source uden betaling i klasse I eller II, hvor den tekniske dokumentation er offentlig (artikel 32, stk. 5).
Punkt to har en praktisk konsekvens lige nu. I november 2026 står der endnu ingen reference til en harmoniseret CRA-standard i EUT. Et klasse I-produkt kan derfor foreløbig ikke komme ind under modul A ad den vej. Om softwaren er et vigtigt produkt, er behandlet i vigtigt produkt eller ej.
Bilag VIII, del I, i fem punkter
Bilaget beskriver modul A sådan:
- Fabrikanten sikrer og erklærer på eget eksklusive ansvar, at produktet opfylder bilag I, del I, og at processerne opfylder del II.
- Fabrikanten udarbejder den tekniske dokumentation efter bilag VII.
- Fabrikanten træffer de nødvendige foranstaltninger i design, udvikling, produktion og sårbarhedshåndtering.
- Fabrikanten anbringer CE-mærket og skriver erklæringen, som gemmes sammen med dokumentationen i ti år, eller længere, hvis supportperioden varer længere.
- Pligterne i punkt 4 kan opfyldes af en bemyndiget repræsentant, hvis fuldmagten siger det.
Kommissionens trin
FAQ’en i afsnit 6.1 omsætter bilaget til en rækkefølge. Fabrikanten gennemfører foranstaltningerne ud fra risikovurderingen. Derefter verificeres det ved test eller en anden mekanisme, at kravene er opfyldt. Så udarbejdes dokumentationen. Når overensstemmelse kan påvises, anbringes CE-mærket, og erklæringen underskrives. Til sidst skal fabrikanten sikre, at produktionen af de enkelte enheder ikke ændrer overensstemmelsen.
For software svarer det sidste trin efter vores tolkning til, at bygge- og frigivelseskæden leverer det, der blev vurderet. En build fra en anden kilde eller med andre komponenter er ikke længere det samme produkt.
Ingen metode og intet laboratorium
FAQ’en siger i afsnit 6.5, at forordningen ikke kræver en bestemt evalueringsmetode og ikke stiller krav til laboratorier. Fabrikanten kan teste selv eller bruge en ekstern part og bærer under alle omstændigheder det fulde ansvar. FAQ’en bemærker også, at cybersikkerhedstest ikke er deterministisk på samme måde som afprøvning på andre områder.
Friheden er reel, men den flytter bevisbyrden over på fabrikanten. Når ingen metode er foreskrevet, skal fabrikanten selv kunne forklare, hvorfor den valgte metode er tilstrækkelig for netop dette produkt.
Hvor en uvildig gennemgang passer ind
En uvildig gennemgang er ikke en del af modul A. Den er et valg, fabrikanten kan træffe, før erklæringen underskrives. Det er almindelig praksis at bruge den som kontrol af grundlaget, og ikke som afprøvning eller godkendelse.
Gennemgangen kan typisk stille fire spørgsmål. Dækker risikovurderingen alle krav i bilag I, del I, eller er der en begrundelse, hvor et krav er fravalgt? Er der bevis for, at kravene er verificeret, og står beviset i dokumentationen? Følger processerne efter bilag I, del II, produktet efter frigivelsen? Og leverer byggekæden det, der blev vurderet?
Svarene giver fabrikanten et bedre grundlag at underskrive på. Gennemgangen kan aldrig erstatte fabrikantens egen vurdering, og den, der laver den, underskriver ikke noget. Nielco IT laver den slags gennemgange uvildigt og uden forhandleraftaler, men er ikke bemyndiget organ og udsteder hverken certifikater eller erklæringer. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Hvad det kræver, og hvad det koster at lade være
Modul A kræver, at nogen i virksomheden ejer vurderingen og har mandat til at sige nej til en release, der ikke er klar. Det kræver også, at dokumentationen kan stå alene, fordi ingen udenforstående har set den før markedsovervågningen.
Springes et trin over, bliver erklæringen et dokument uden dækning. Artikel 28, stk. 4, gør det klart, at fabrikanten ved at udarbejde erklæringen påtager sig ansvaret, og overtrædelse af artikel 32, stk. 1-3, er nævnt i bødebestemmelsen i artikel 64, stk. 3.
Det skal I lade være med
- At vælge modul A for et klasse I-produkt uden at kunne pege på grundlaget · artikel 32, stk. 2, knytter den vej til anvendte harmoniserede standarder.
- At kalde en ekstern gennemgang for en godkendelse · under modul A er der ingen godkendelse, kun fabrikantens egen erklæring.
- At underskrive uden verifikation · FAQ’ens trin forudsætter, at kravene er efterprøvet.
Det skal auditten kunne vise
- ☐ En begrundelse for, at produktet må vurderes efter modul A.
- ☐ Risikovurderingen med et svar på hvert væsentligt krav.
- ☐ Bevis for verifikation af kravene og en forklaring af den valgte metode.
- ☐ Teknisk dokumentation efter bilag VII og en underskrevet erklæring.
- ☐ Et spor fra den vurderede version til den build, der blev frigivet.
Kilder
- Forordning (EU) 2024/2847 om cyberrobusthed, artikel 28, stk. 4, artikel 32 og 64 samt bilag VIII, del I, læst 13. november 2026 i Publikationskontorets udgave af EUT-teksten.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, afsnit 6.1 og 6.5, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvem der hos jer har mandat til at underskrive erklæringen, og hvad vedkommende vil se, før det sker.
Læs også: Hvad er en CRA-gennemgang af et softwareprodukt? · Den tekniske dokumentation efter bilag VII
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
