Lægger I udviklingsprocessen om, skifter byggekæde eller ændrer den standard, I måler produktet mod, skal I efter artikel 13, stk. 14, have procedurer, der sikrer, at produktet fortsat overholder forordningen. Ændringen skal tages i betragtning, og sporet efter det er det, en gennemgang beder om at se.
Bestemmelsen i forordning (EU) 2024/2847 anvendes fra 11. december 2027. Ordlyden har fysiske produkter i tankerne, og hvordan den rammer software, er ikke behandlet i det kildemateriale, vi har gennemgået. Det, der står her om software, er derfor tolkning.
Ordlyden
Artikel 13, stk. 14, lyder sådan: “Fabrikanten sikrer, at der findes procedurer til sikring af, at produkter med digitale elementer, der er del af en produktionsserie, fortsat er i overensstemmelse med denne forordning. Fabrikanten tager behørigt hensyn til ændringer i udviklings- og produktionsprocessen eller i designet eller egenskaberne af produktet med digitale elementer og til ændringer i de harmoniserede standarder, europæiske cybersikkerhedscertificeringsordninger eller fælles specifikationer som omhandlet i artikel 27, som der henvises til for at dokumentere overensstemmelsen af produktet med digitale elementer med de gældende krav, eller som anvendes til at kontrollere produktets overensstemmelse.”
Pligten kan ikke lægges over på en bemyndiget repræsentant (artikel 18, stk. 2). Den bliver hos fabrikanten.
Produktionsserie og software
Ordet produktionsserie passer bedst på hardware, der fremstilles i mange ens eksemplarer. Software produceres ikke i serier på samme måde. Hver kopi af en version er ens, og nye versioner kommer løbende.
Vores læsning er, at bestemmelsen for software rammer det, der svarer til produktionen: den proces, der omsætter kildekode til den version, kunderne får. Byggekæden, signering, pakning og distribution er softwarens produktion. Det er en tolkning, og den bør tages op igen, når der kommer vejledning eller praksis.
Bilag VII, nr. 2, litra c, støtter læsningen. Den tekniske dokumentation skal beskrive, hvordan produktion og overvågning foregår, og hvordan de to processer er valideret.
Tre slags ændringer
Stk. 14 nævner tre slags ændringer, der skal tages behørigt hensyn til.
Ændringer i udviklings- og produktionsprocessen. For et softwarehus kan det være en ny byggekæde, en ny platform til versionsstyring, et nyt værktøj til signering eller en ny måde at frigive på. Tænkt eksempel: et softwarehus flytter bygning og signering fra egne servere til en hostet tjeneste.
Ændringer i design eller egenskaber. Dem fanger reglerne om væsentlig ændring og ajourføring af risikovurderingen i forvejen. Stk. 14 lægger en procedure ovenpå.
Ændringer i standarder og specifikationer. Har I henvist til en harmoniseret standard, en certificeringsordning eller en fælles specifikation, og ændres den, skal I tage stilling til, om produktet stadig opfylder den. Så vidt vi har kunnet se pr. november 2026, er ingen harmoniseret standard til CRA offentliggjort endnu, så punktet bliver først rigtig aktuelt, når de kommer. Det kan også gælde andre tekniske specifikationer, I har listet i bilag VII, nr. 5, men det er vores udvidelse og ikke ordlyden.
En ny byggekæde er ikke i sig selv en væsentlig ændring
Kommissionens vejledning C(2026) 5252 siger i punkt 182, at CI/CD-pipelines ikke er fjerndatabehandling. Byggekæden hører altså ikke til produktet. En ny byggekæde ændrer heller ikke nødvendigvis produktet. Om en release bygget i den nye kæde er en væsentlig ændring, afgøres som for enhver anden release, efter virkningen på risikoprofilen. Stk. 14 kræver derimod, at selve omlægningen håndteres efter en procedure.
Sporet, en gennemgang beder om
Ingen kilde beskriver sporet. Det, der følger, er praksis.
- Ændringen · (byggekæden flyttet til hostet tjeneste)
- Berørte produkter og versioner · (alle produkter fra version 6.0)
- Vurdering af virkningen · (signeringsnøgler flyttet, nye adgangsrettigheder i kæden)
- Validering · (byggede pakker sammenlignet med pakker fra den gamle kæde, signering kontrolleret)
- Opdateret dokumentation · (bilag VII, nr. 2, litra c, rettet)
- Godkendelse · (navn, dato)
Rettigheder i selve udrulningskæden, set fra driften, er et emne for teknisk gennemgang af systemerne.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skrevet procedure for ændringer i udviklings- og produktionsprocessen, og at proceduren faktisk bruges, når kæden lægges om. Har I allerede ændringsstyring for produktet, kan den samme ordning bruges på processen.
Uden sporet kan I ikke vise, at produktet bygget i den nye kæde svarer til det, der blev vurderet. Den tekniske dokumentation beskriver så en proces, der ikke længere findes.
Det skal I lade være med
- At skifte byggekæde uden at opdatere den tekniske dokumentation · bilag VII, nr. 2, litra c, beskriver produktionsprocessen.
- At kalde en ny byggekæde en væsentlig ændring af produktet uden vurdering · det afgøres efter virkningen på risikoprofilen.
- At glemme validering af de første pakker fra den nye kæde · ellers kan ingen vise, at produktet er det samme.
Det skal auditten kunne vise
- ☐ En procedure for ændringer i udviklings- og produktionsprocessen.
- ☐ Et spor for hver omlægning med vurdering, validering og godkendelse.
- ☐ Opdateret beskrivelse af produktions- og overvågningsprocesserne i dokumentationen.
- ☐ En stillingtagen, når en anvendt standard eller specifikation ændres.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 13, stk. 14, artikel 18, stk. 2, og bilag VII, nr. 2, litra c, og nr. 5, læst 13. november 2026.
- Europa-Kommissionen, C(2026) 5252, vejledning om anvendelsen af forordningen, punkt 182, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find den seneste ændring i jeres byggekæde, og se, om der findes et spor af vurdering og validering.
Læs også: Væsentlig ændring · Sikker distribution af opdateringer
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
