Modul H er overensstemmelsesvurdering baseret på fuld kvalitetssikring. Et bemyndiget organ godkender fabrikantens kvalitetssystem for design, udvikling, afprøvning og sårbarhedshåndtering, og fabrikanten er derefter under organets overvågning. For et softwarehus med mange produkter eller hyppige releases kan det være en vej, der passer bedre end en typeafprøvning pr. produkt.
Bilag VIII, del IV, beskriver modulet. Det følgende går gennem bilagets punkter. Kravene gælder fra 11. december 2027, mens reglerne om bemyndigede organer har gældt siden 11. juni 2026.
Hvad modul H er
Efter bilag VIII, del IV, punkt 1 og 2, bruger fabrikanten et godkendt kvalitetsstyringssystem for design, udvikling, endelig produktinspektion og afprøvning og for sårbarhedshåndtering. Fabrikanten skal sikre systemets effektivitet i hele supportperioden og er under overvågning.
Kommissionens FAQ (punkt 6.3 og 6.4) forklarer, at modul H særligt kan overvejes af fabrikanter med mange produkttyper eller hyppige opdateringer. Nye produkter kan lægges ind efter en ny vurdering hos samme organ. Kommissionen beskriver modul A, B og C og H som stigende i kompleksitet og ekstern støtte. Ved modul H deltager ét bemyndiget organ.
Ansøgningen
Efter punkt 3.1 indgiver fabrikanten ansøgningen til ét bemyndiget organ efter eget valg. Ansøgningen skal indeholde:
- fabrikantens navn og adresse
- teknisk dokumentation for én model af hver produktkategori, fabrikanten vil fremstille eller udvikle
- dokumentationen for kvalitetsstyringssystemet
- en erklæring om, at samme ansøgning ikke er indgivet til et andet organ
Kvalitetssystemets otte elementer
Punkt 3.2 kræver, at alt dokumenteres systematisk i skriftlige politikker, procedurer og anvisninger. Dokumentationen skal især beskrive otte forhold, litra a til h:
- Kvalitetsmål og organisation, herunder ledelsens ansvar for design, udvikling, fremstilling, produktkvalitet og sårbarhedshåndtering.
- Tekniske design- og udviklingsspecifikationer, herunder standarder, og hvilke midler der bruges, hvor standarderne ikke anvendes fuldt.
- Proceduremæssige specifikationer for de væsentlige krav til sårbarhedshåndtering i bilag I, del II.
- Teknikker og systematiske foranstaltninger til kontrol og verifikation af design og udvikling.
- Teknikker til produktion, kvalitetskontrol og kvalitetssikring.
- Undersøgelser og afprøvninger før, under og efter produktionen og deres hyppighed.
- Kvalitetsregistreringer som inspektionsrapporter, afprøvningsdata, kalibreringsdata og rapporter om personalets kvalifikationer.
- Metoder til at kontrollere, at den krævede kvalitet nås, og at systemet fungerer effektivt.
For et softwarehus giver nogle af punkterne mening uden videre, fx design- og udviklingsspecifikationer og afprøvninger. Andre er skrevet til produktion af fysiske varer, fx kalibreringsdata. Hvordan de skal læses for software, beskriver hverken bilaget eller FAQ’en. Den vurdering ligger hos organet.
Organets vurdering
Efter punkt 3.3 skal kontrolholdet have mindst ét medlem med erfaring i det pågældende produktområde og den pågældende teknologi. Vurderingen omfatter et kontrolbesøg på fabrikantens eventuelle anlæg og en gennemgang af den tekniske dokumentation.
Påtænkte ændringer af kvalitetssystemet skal meldes til organet, som afgør, om en ny vurdering er nødvendig (punkt 3.5). Organet aflægger jævnligt kontrolbesøg og udsteder en kontrolrapport (punkt 4.3), og fabrikanten skal give adgang til faciliteter og oplysninger (punkt 4.2).
CE-mærket ledsages af organets identifikationsnummer (punkt 5.1). Fabrikanten opbevarer dokumentationen i mindst ti år, eller i supportperioden, hvis den er længere (punkt 6).
ISO 9000 og modul H
Kommissionens FAQ (punkt 6.4) siger, at kvalitetssystemet kan bygge på internationale standarder, fx ISO 9000-serien tilpasset CRA’s særlige krav. Den siger også, at det ikke automatisk giver ret til at bruge modul H, at fabrikanten er akkrediteret efter ISO 9000, fordi et bemyndiget organ efter CRA skal inddrages.
Det tyske BSI har udgivet den tekniske retningslinje TR-03183-H, version 1.1.0 af 30. maj 2026. Den beskriver en måde at bygge modul H på et ledelsessystem for informationssikkerhed efter ISO/IEC 27001. Retningslinjen er ifølge sin indledning ikke en ny ledelsessystemstandard. Den lægger CRA-krav oven på ISO/IEC 27001, så systemet også dækker design, udvikling og sårbarhedshåndtering for de omfattede produkter, og den bruger desuden krav fra ISO 9001. Retningslinjen er national vejledning. Den er ikke en harmoniseret standard og giver ikke formodning efter artikel 27.
Et eksisterende kvalitetssystem er altså et udgangspunkt. Det dækker ikke af sig selv litra c om sårbarhedshåndtering efter bilag I, del II, og det er ikke godkendt af et CRA-organ. Hvordan en organisation måler sin modenhed og forbereder et ledelsessystem generelt, hører til modenhed og forberedelse af ledelsessystemer.
Hvad en forhåndsgennemgang kan finde
En uvildig forhåndsgennemgang er praksis og erstatter ikke organets vurdering. Den kan holde kvalitetssystemet op mod de otte elementer og finde de steder, hvor dokumentationen mangler. Typiske spørgsmål er, om procedurerne for sårbarhedshåndtering er skrevet ned, om kvalitetsregistreringerne findes for alle produkter, og om ledelsens ansvar for sårbarhedshåndtering er placeret.
Vil I have kvalitetssystemet gennemgået mod bilag VIII, del IV, før et organ ser det, er det en gennemgang, Nielco IT laver. Vi er ikke bemyndiget organ, og gennemgangen godkender intet.
Hvad det kræver, og hvad det koster at lade være
Det kræver et skriftligt kvalitetssystem, der dækker de otte elementer, herunder sårbarhedshåndtering, og en organisation, der kan tåle jævnlige kontrolbesøg i hele supportperioden.
Vælges modul H uden et dækkende system, kan organet afvise ansøgningen. Et system, der kun findes på papir, viser sig ved første kontrolbesøg.
Det skal I lade være med
- At regne en ISO 9000-akkreditering for en godkendelse efter CRA · et CRA-organ skal inddrages.
- At udelade sårbarhedshåndteringen af kvalitetssystemet · punkt 3.2, litra c, kræver den.
- At ændre systemet uden at melde det · organet afgør, om en ny vurdering er nødvendig.
Det skal auditten kunne vise
- ☐ Skriftlige politikker og procedurer for alle otte elementer i punkt 3.2.
- ☐ Procedurer for sårbarhedshåndtering efter bilag I, del II.
- ☐ Kvalitetsregistreringer pr. produkt.
- ☐ En procedure for at melde ændringer af systemet til organet.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 32 og bilag VIII, del IV, punkt 1-6, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 6.1-6.4, læst 13. november 2026.
- BSI, Technical Guideline TR-03183-H, version 1.1.0, 30. maj 2026, afsnit 1 og 2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg jeres kvalitetssystem ved siden af de otte elementer i punkt 3.2, og marker de punkter, der mangler et skriftligt grundlag.
Læs også: Efter attesten · Teknisk dokumentation, når softwaren udkommer hver uge
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
