...
Open source
Open source er ikke undtaget fra Cyber Resilience Act, men forordningen skelner skarpt mellem den, der stiller kode frit til rådighed, og den, der tjener penge på den. Et softwarehus kan derfor være fabrikant for ét projekt, open source-forvalter for et andet og helt uden pligter for et tredje. Artiklerne her viser, hvordan rollen afgøres projekt for projekt, og hvad hver rolle kræver at kunne dokumentere, når pligterne gælder fra 11. december 2027.
Rollen projekt for projekt
- Open source i jeres forretning: fabrikant, forvalter eller ingen af delene? Tre spørgsmål stillet i fast rækkefølge.
- Community-udgave og betalt udgave: to produkter og to roller i samme virksomhed Open core med adskilte pligter.
- Betalt support til open source uden licensbetaling: sådan læses tilbud og aftaler Klausulerne, der kan vippe rollen.
Når I selv udgiver eller tilpasser
- I udgiver et bibliotek uden at tjene på det og bruger det selv i produktet: forvalter af egen kode Biblioteket for sig, produktet for sig.
- Forvalterens pligter: cybersikkerhedspolitik, samarbejde med myndigheden og indberetning efter støttens art Artikel 24 og den lettere byrde.
- I installerer og tilpasser open source hos kunden: hvornår bliver I fabrikant? Rådgivning er én ting, en væsentlig ændring en anden.
Sådan kommer I i gang
Lav en oversigt over de open source-projekter, jeres virksomhed udgiver, bidrager til eller sælger ydelser omkring. Skriv for hvert projekt, hvem der bestemmer over udgivelserne, hvordan virksomheden tjener penge i forbindelse med projektet, og om koden indgår i et af jeres betalte produkter. Stil så de tre spørgsmål fra open source i forretningen i den rækkefølge, de står, og notér svaret. Kommissionens vejledning fra juli 2026 er ikke bindende, men den er det mest udførlige bud på, hvordan grænsen skal trækkes.
Husk, at open source-komponenter, I bygger ind i jeres eget produkt, hører under jeres pligter som fabrikant uanset projektets egen rolle. Det er beskrevet under SBOM og komponenter.
Hvad det kræver, og hvad det koster at lade være
Oversigten kræver en samtale mellem ledelsen, der kender forretningsmodellen, og de udviklere, der står for projekterne. Uden den kan en betalt supportaftale eller en kommerciel udgave gøre virksomheden til fabrikant, uden at nogen har lagt en supportperiode, en komponentliste eller en sårbarhedsproces til rette for det.
Det skal I lade være med
- At læse licensen som svaret · det er pengestrømmen og kontrollen, der afgør rollen.
- At behandle community- og betalt udgave som ét produkt · de kan have hver sin rolle.
- At regne forvalterens pligter for ingenting · politikken skal findes og kunne vises.
Det skal auditten kunne vise
- ☐ En liste over projekter med den rolle, virksomheden har for hvert.
- ☐ Begrundelsen for rollen, bygget på forretningsmodel og beslutningsret.
- ☐ For forvalterprojekter: den dokumenterede cybersikkerhedspolitik.
- ☐ For fabrikantprojekter: de samme beviser som for et betalt produkt.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Er softwaren et produkt efter forordningen? · SBOM og komponenter
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
Skal jeres software gennemgås?
Skriv kort, hvilket produkt det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Gennemgangen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
