Et softwarehus kan være omfattet af NIS2 som organisation og samtidig være fabrikant efter forordning (EU) 2024/2847. Et ISO/IEC 27001-certifikat eller et NIS2-bevis siger noget om organisationen, men det giver ikke formodning for, at produktet opfylder bilag I. Hvad der kan genbruges, er et spørgsmål om tolkning.
Har et softwarehus et ledelsessystem for informationssikkerhed, er det naturligt at spørge, hvor meget af det der tæller under CRA. Artiklen skiller organisationens foranstaltninger fra produktets egenskaber. Hvem der er omfattet af NIS2, behandles ikke her. Den almene NIS2-audit af en organisation er beskrevet i sikkerhedsaudit og NIS2 for virksomheden.
CRA måler produktet og processen bag det
Artikel 13, stk. 1, kræver, at produktet er designet, udviklet og fremstillet efter bilag I, del I. Stk. 8 kræver, at sårbarheder håndteres efter bilag I, del II, i supportperioden. Begge krav er knyttet til det enkelte produkt. Det er produktets egenskaber og fabrikantens processer for netop det produkt, der vurderes.
NIS2-arbejdet retter sig mod organisationen og dens foranstaltninger. Selv om meget af arbejdet ligner hinanden, er genstanden en anden.
Hvorfor certifikatet ikke giver formodning
Artikel 27 nævner de veje, der giver formodning om overensstemmelse. Det er harmoniserede standarder med reference i EUT (stk. 1), fælles specifikationer vedtaget af Kommissionen (stk. 5) og certifikater efter den europæiske cybersikkerhedsforordning, forordning (EU) 2019/881 (stk. 8).
Et ISO/IEC 27001-certifikat er ingen af delene. Det er ikke en harmoniseret standard under CRA, ikke en fælles specifikation og ikke et certifikat efter forordning 2019/881. Konklusionen er vores tolkning af artikel 27, men den følger af opregningen.
Certifikatet kan stadig have værdi som en del af grundlaget for processerne. Fabrikanten kan blot ikke henvise til det i stedet for at vise, at produktet opfylder bilag I.
Det, vejledningens liste faktisk handler om
Kommissionens vejledning fra juli 2026 har i punkt 207 en liste over beviser, der kan bruges. Listen nævner bevis for opfyldelse af gennemførelsesforordning (EU) 2024/2690, bevis efter DORA, forordning (EU) 2022/2554, en erklæring eller et certifikat efter en europæisk certificeringsordning og bevis for, at udbyderen lever op til de to ISO/IEC-standarder 27017 fra 2015 og 27001 fra 2022.
Listen er let at læse forkert. Den handler om fabrikantens kontrol af tredjeparters fjerntjenester, fx en cloududbyder, som produktets fjerndatabehandling bygger på. Den siger, hvilke beviser fabrikanten kan modtage fra en sådan udbyder. Den handler ikke om fabrikantens eget NIS2- eller ISO-arbejde og kan ikke bruges som belæg for, at fabrikantens egne beviser dækker CRA.
Vejledningen nævner i punkt 183, at cloudtjenester er omfattet af NIS2 og gennemførelsesforordning 2024/2690. Det forklarer, hvorfor NIS2-beviser fra en cloududbyder kan indgå i fabrikantens vurdering af den udbyder. Hvordan fjerndatabehandling hører til produktet, er beskrevet i fjerndatabehandling.
Hvad der måske kan genbruges
Hvordan organisationens NIS2-foranstaltninger hænger sammen med produktets egenskaber, beskriver de læste kilder ikke. Det følgende er derfor tolkning og ikke en regel.
Det er nærliggende, at dele af NIS2-arbejdet kan bruges som byggesten i sårbarhedshåndteringen efter bilag I, del II:
- Hændelseshåndtering. En organisation med en fungerende proces for hændelser har et udgangspunkt for at håndtere sårbarheder i produktet og indberette efter artikel 14.
- Leverandørstyring. Kontrollen af leverandører kan udvides til kontrol af tredjeparters fjerntjenester og komponenter.
- Adgangsstyring og logning. Styringen af adgang til udviklings- og byggemiljøer kan understøtte integriteten af det, der frigives.
Byggestenene erstatter ikke en vurdering af produktet. De gør den lettere at lave. En gennemgang vil typisk spørge, hvordan den organisatoriske proces konkret er koblet til det enkelte produkt.
Der er én nuance. Det tyske BSI har i retningslinjen TR-03183-H fra maj 2026 beskrevet, hvordan et ledelsessystem efter ISO/IEC 27001 kan udvides, så det kan bære overensstemmelsesvurdering efter modul H. Udvidelsen omfatter produkternes design, udvikling og sårbarhedshåndtering og krav fra ISO 9001. Et eksisterende ISO/IEC 27001-system kan altså være fundamentet for modul H. Selve certifikatet giver stadig ikke formodning, og modul H kræver et bemyndiget organ. Mere om vejen står i modul H for softwarehuse med mange produkter.
Et tænkt eksempel
Et softwarehus er ISO/IEC 27001-certificeret og omfattet af NIS2. Ledelsen spørger, om certifikatet kan vedlægges den tekniske dokumentation som bevis for bilag I. Gennemgangen viser, at certifikatet dækker organisationens systemer og ikke beskriver produktets standardkonfiguration, adgangskontrol eller opdateringsmekanisme. Certifikatet nævnes i dokumentationen som en del af grundlaget for processerne, og produktets egenskaber beskrives for sig.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen kortlægger, hvilke dele af det eksisterende arbejde der bruges hvor, og at kortet viser produktet som genstand. Arbejdet kan spare tid, fordi meget allerede findes.
Den, der henviser til et ISO-certifikat som bevis for produktets overensstemmelse, står uden formodning den dag, en myndighed beder om dokumentationen efter artikel 13, stk. 22.
Det skal I lade være med
- At henvise til ISO/IEC 27001 som bevis for bilag I · certifikatet giver ikke formodning efter artikel 27.
- At bruge vejledningens liste om jeres egne beviser · den gælder tredjeparters fjerntjenester.
- At antage, at NIS2-arbejdet dækker produktet · sammenhængen er tolkning.
Det skal auditten kunne vise
- ☐ En adskillelse mellem organisationens foranstaltninger og produktets egenskaber.
- ☐ En vurdering af produktet mod bilag I, del I og II.
- ☐ Beviser fra cloududbydere bag produktets fjerndatabehandling.
- ☐ Et kort over, hvilke dele af NIS2- og ISO-arbejdet der indgår hvor.
Kilder
- Forordning (EU) 2024/2847 om cyberrobusthed, artikel 13, stk. 1, 8 og 22, og artikel 27, læst 13. november 2026 i Publikationskontorets udgave af EUT-teksten.
- Europa-Kommissionen, Commission guidance on the application of Regulation (EU) 2024/2847, C(2026) 5252, afsnit 8.2, punkt 183 og 207-208, læst 13. november 2026.
- BSI, Technical Guideline TR-03183-H, version 1.1.0, 30. maj 2026, afsnit 1 og 2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv for jeres vigtigste produkt to lister ved siden af hinanden: det, ISO- og NIS2-arbejdet dækker, og det, bilag I kræver af produktet.
Læs også: Tredjeparts-SaaS, platform og infrastruktur i produktet · Cybersikkerhedsrisikovurderingen for et softwareprodukt
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
