Ordliste

Ordene her er dem, et softwarehus møder, når forordning (EU) 2024/2847 skal omsættes til arbejde i udviklingen, supporten og ledelsen. Hver forklaring er gjort kort og derfor forenklet. Står ordet i forordningens definitioner, bygger forklaringen på definitionen i artikel 3 eller på det bilag, ordet stammer fra; den præcise ordlyd står i forordningen. Har sitet en artikel om ordet, fører et link derhen.

Produktet og rollerne

• Cyber Resilience Act (CRA) · forordning (EU) 2024/2847 om horisontale cybersikkerhedskrav til produkter med digitale elementer. Gælder direkte i alle EU-lande.
• Produkt med digitale elementer · software eller hardware og dertil hørende fjerndatabehandling, der leveres til brugeren som et samlet hele eller som komponenter, der bringes i omsætning hver for sig. Læs mere.
• Fjerndatabehandling · databehandling på afstand, som fabrikanten har ansvaret for, og uden hvilken produktet ikke kan udføre en af sine funktioner. Læs mere.
• Fabrikant · den, der udvikler eller får udviklet et produkt og sælger det med sit eget navn eller varemærke på. Læs mere.
• Importør · en virksomhed i EU, der bringer et produkt fra en fabrikant uden for EU i omsætning. Læs mere.
• Distributør · en virksomhed i handelsleddet, der gør et produkt tilgængeligt uden at være fabrikant eller importør, fx en forhandler. Læs mere.
• Bemyndiget repræsentant · en person eller virksomhed i EU med skriftlig fuldmagt fra en fabrikant uden for EU til bestemte opgaver. Læs mere.
• Open source software-forvalter · en juridisk person, der vedvarende støtter udviklingen af open source beregnet til erhvervsmæssig brug uden selv at være fabrikant. Har lettere pligter efter artikel 24. Læs mere.
• Bringe i omsætning · første gang et produkt gøres tilgængeligt på EU-markedet. For software regnes det pr. version. Læs mere.
• Væsentlig ændring · en ændring efter omsætningen, der påvirker opfyldelsen af kravene eller ændrer det tilsigtede formål. Gør et ældre produkt omfattet. Læs mere.

Kravene til produktet

• Væsentlige cybersikkerhedskrav · kravene i bilag I: del I om produktets egenskaber og del II om sårbarhedshåndtering. Læs mere.
• Cybersikkerhedsrisikovurdering · fabrikantens dokumenterede vurdering af produktets risici, der afgør, hvordan hvert krav i bilag I anvendes. Læs mere.
• Tilsigtet formål · den brug, fabrikanten har beregnet produktet til, som den fremgår af anvisninger, salgsmateriale og teknisk dokumentation. Læs mere.
• Rimeligt forudsigelig anvendelse · brug, der ikke er den tilsigtede, men som kan forventes ud fra almindelig menneskelig adfærd eller tekniske systemer. Læs mere.
• Sikker som standard · at produktet leveres med en sikker konfiguration, uden at brugeren skal ændre noget. Læs mere.
• Angrebsflade · de steder, hvor nogen udefra kan forsøge at komme ind i eller påvirke softwaren. Læs mere.
• Restrisiko · den risiko, der er tilbage, når foranstaltningerne er gennemført. Skal være på et passende niveau. Læs mere.

Komponenter og sårbarheder

• Softwarekomponentliste (SBOM) · en maskinlæsbar oversigt over de komponenter og afhængigheder, produktet er bygget af. Læs mere.
• CycloneDX og SPDX · to udbredte formater til komponentlister. Forordningen kræver et almindeligt anvendt, maskinlæsbart format uden at nævne bestemte. Læs mere.
• Afhængighed · en komponent, produktet bygger på, enten direkte eller gennem en anden komponent.
• Sårbarhed · en svaghed i et produkt, som en trussel kan udnytte.
• Aktivt udnyttet sårbarhed · en sårbarhed, som der er pålidelige beviser for, at nogen har udnyttet uden ejerens tilladelse. Udløser indberetning efter artikel 14. Læs mere.
• CVE · et fælles nummersystem for offentligt kendte sårbarheder, der gør det muligt at tale om den samme sag.
• CSAF · et maskinlæsbart format til sikkerhedsmeddelelser, som fabrikanter kan bruge til oplysninger om rettede sårbarheder.
• Koordineret offentliggørelse af sårbarheder (CVD) · en fast proces for at modtage meldinger om sårbarheder, rette dem og offentliggøre dem i samarbejde med den, der fandt dem. Læs mere.
• Sikkerhedsopdatering · en opdatering, der retter en sårbarhed, og som efter forordningen skal stilles til rådighed uden betaling. Læs mere.
• Supportperiode · det tidsrum, hvor fabrikanten håndterer sårbarheder i produktet. Som udgangspunkt mindst fem år. Læs mere.

Indberetningen

• Tidlig varsling · den første indberetning af en aktivt udnyttet sårbarhed eller alvorlig hændelse, senest 24 timer efter kendskab. Læs mere.
• Alvorlig hændelse · en hændelse, der påvirker eller kan påvirke produktets beskyttelse af data eller funktioner, eller som har ført til ondsindet kode i produktet. Læs mere.
• Koordinerende CSIRT · den nationale enhed for håndtering af sikkerhedshændelser, som indberetningen går til via platformen. Læs mere.
• Fælles indberetningsplatform · den platform, ENISA driver, hvor fabrikanter indberetter efter artikel 14. Læs mere.
• ENISA · Den Europæiske Unions Agentur for Cybersikkerhed, der blandt andet driver platformen og en europæisk sårbarhedsdatabase.

Vurdering og dokumentation

• Vigtigt produkt · et produkt i bilag III, klasse I eller II, hvor vurderingsproceduren er strengere. Læs mere.
• Kritisk produkt · et produkt i bilag IV, der kan blive omfattet af krav om en europæisk cybersikkerhedscertificering.
• Overensstemmelsesvurdering · den procedure, der viser, om produktet opfylder kravene.
• Modul A · intern kontrol, hvor fabrikanten selv vurderer produktet. Læs mere.
• Modul B og C · EU-typeafprøvning ved et bemyndiget organ efterfulgt af overensstemmelse med typen. Læs mere.
• Modul H · fuld kvalitetssikring, hvor et bemyndiget organ godkender fabrikantens kvalitetssystem. Læs mere.
• Bemyndiget organ · et organ, som en medlemsstat har udpeget til at foretage overensstemmelsesvurderinger efter forordningen. Læs mere.
• NANDO · Kommissionens database over bemyndigede organer.
• Harmoniseret standard · en europæisk standard, som Kommissionen har bragt en henvisning til i EU-Tidende, så den giver formodning om overensstemmelse. Ingen var offentliggjort under CRA pr. november 2026. Læs mere.
• Formodning om overensstemmelse · at et produkt, der følger en harmoniseret standard, antages at opfylde de krav, standarden dækker.
• Teknisk dokumentation · fabrikantens dokumentation efter bilag VII, der viser, hvordan kravene er opfyldt. Gemmes i ti år. Læs mere.
• Oplysninger til brugeren · de punkter i bilag II, brugeren skal have, fx kontaktpunkt for sårbarheder og supportperiodens slutdato. Læs mere.
• EU-overensstemmelseserklæring · fabrikantens egen erklæring om, at produktet opfylder kravene. Indholdet står i bilag V. Læs mere.
• CE-mærkning · mærket, der viser, at produktet er vurderet efter forordningen. For software kan det stå på erklæringen eller hjemmesiden. Læs mere.

Tilsyn og ansvar

• Markedsovervågningsmyndighed · den nationale myndighed, der kontrollerer produkter på markedet. I det danske lovudkast fra oktober 2026 er det Styrelsen for Samfundssikkerhed. Læs mere.
• Formel manglende overensstemmelse · fejl ved CE-mærke, erklæring eller dokumentation, som myndigheden kan påtale efter artikel 58. Læs mere.
• Produktansvar · fabrikantens objektive ansvar for skade forvoldt af et defekt produkt. Efter direktiv 2024/2853 omfatter det software. Læs mere.
• Uvildig gennemgang · en kontrol af produkt og proces udført af en part uden interesse i resultatet. Giver ingen formodning og erstatter ingen overensstemmelsesvurdering. Læs mere.

Senest gennemgået: november 2026.

Næste skridt

• Er softwaren et produkt efter forordningen?
• Spørgsmål om Cyber Resilience Act

Læs også: Krav til produktet · Indberetning efter artikel 14

→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT