Et softwareprodukt kan opfylde alle krav i forordningen og alligevel blive mødt med et påbud. Artikel 57 giver myndigheden mulighed for det, når produktet efter en evaluering viser sig at udgøre en væsentlig cybersikkerhedsrisiko og oven i det truer menneskers sundhed, deres rettigheder eller tjenester, samfundet er afhængigt af.
Artikel 57 finder anvendelse fra 11. december 2027. Ingen sag er afgjort efter den, og de kilder, der er læst, giver ingen liste over, hvilke forhold der konkret vil blive lagt vægt på. Artiklen gennemgår derfor teksten og forudsiger intet.
Teksten i artikel 57
Efter artikel 57, stk. 1, kan myndigheden gribe ind, når den efter en evaluering efter artikel 54 finder, at produktet og fabrikantens processer overholder forordningen, men at produktet udgør en væsentlig cybersikkerhedsrisiko og desuden en risiko for
- a) menneskers sundhed eller sikkerhed,
- b) overholdelse af regler om grundlæggende rettigheder,
- c) tilgængelighed, autenticitet, integritet eller fortrolighed af tjenester leveret af væsentlige enheder efter NIS 2-direktivets artikel 3, stk. 1,
- d) andre aspekter af den offentlige interesse.
Myndigheden pålægger da den erhvervsdrivende passende foranstaltninger, herunder tilbagetrækning eller tilbagekaldelse, “i et rimeligt forhold” til risiciene. Efter stk. 2 sikrer fabrikanten, at de korrigerende foranstaltninger gennemføres i hele Unionen inden for fristen. Efter stk. 4-5 evaluerer Kommissionen og træffer afgørelse om, hvorvidt foranstaltningen er berettiget.
Vejen ind går gennem artikel 54
Artikel 57 står ikke alene. Den forudsætter en evaluering efter artikel 54, som kun indledes, når myndigheden har god grund til at mistænke en væsentlig cybersikkerhedsrisiko. Forløbet i artikel 54 er gennemgået i væsentlig cybersikkerhedsrisiko.
Forskellen ligger i resultatet. Finder evalueringen mangler, er det artikel 54, der bruges. Finder den ingen mangler, men en risiko af den slags, stk. 1 nævner, kan artikel 57 bruges.
Ikke-tekniske risikofaktorer
Artikel 54, stk. 2, siger, at vurderingen af, om en risiko er væsentlig, også tager hensyn til ikke-tekniske risikofaktorer. Bestemmelsen nævner navnlig dem, der kommer fra koordinerede risikovurderinger af kritiske forsyningskæder efter NIS 2-direktivets artikel 22.
Det er et skifte i forhold til resten af forordningen. Bilag I handler om produktets egenskaber og fabrikantens processer. Ikke-tekniske faktorer handler om forhold uden for koden. Hvilke faktorer der konkret indgår, beskriver de læste kilder ikke, og vi nævner derfor ingen eksempler.
Forordningen bruger samme tanke over for importøren. Efter artikel 19, stk. 3, andet afsnit, går importøren til myndighederne, hvis ikke-tekniske forhold giver den grund til at mistænke, at et produkt rummer en betydelig risiko. Hvordan importøren og forhandleren i øvrigt reagerer på en sårbarhed, står i når importør eller forhandler hører om en sårbarhed.
Kommissionen kan også handle
Efter artikel 56, stk. 2, og artikel 57, stk. 6-9, kan Kommissionen bede om en evaluering og i hastende tilfælde træffe foranstaltninger på EU-plan. En sag efter artikel 57 kan altså ende som et spørgsmål for hele Unionen, selv om den begynder i ét land.
Hvad betyder det for et softwarehus?
Det følgende er tolkning.
For de fleste softwarehuse vil artikel 57 sandsynligvis aldrig blive aktuel. Bestemmelsen kræver både en væsentlig cybersikkerhedsrisiko og en af de særlige risici i stk. 1. Den bliver mest relevant for produkter, der bruges af væsentlige enheder efter NIS 2, eller som har betydning for sundhed og sikkerhed.
Artikel 57 er samtidig en påmindelse om, at et produkt i overensstemmelse med bilag I stadig kan blive genstand for et indgreb. En fabrikant, der kender sine kunders sektorer og sin egen forsyningskæde, står bedre, hvis spørgsmålet kommer. Det gælder fx viden om, hvor udvikling, drift og fjerndatabehandling foregår, og hvilke komponenter produktet bygger på.
Det, en gennemgang kan se på
En gennemgang kan ikke måle produktet efter artikel 57, for der findes ingen målestok. Den kan derimod se på, om fabrikanten har det overblik, en dialog med myndigheden vil kræve. Det er praksis:
- en oversigt over, hvilke kundesektorer produktet bruges i, så vidt fabrikanten kender dem,
- en beskrivelse af, hvor udvikling, byggekæde og fjerndatabehandling foregår,
- komponentlisten for de understøttede versioner,
- en plan for, hvordan korrigerende foranstaltninger kan gennemføres i hele Unionen.
Det sidste punkt følger af artikel 57, stk. 2, og er det samme, artikel 54 kræver.
Hvad det kræver, og hvad det koster at lade være
Det kræver et overblik over kunder, forsyningskæde og versioner, som de fleste softwarehuse allerede har brug for af andre grunde. Ekstra arbejde opstår især, hvis produktet bruges i sektorer, som artikel 57 nævner.
Lader I være, står I uden svar, hvis en myndighed spørger, og et påbud skal kunne gennemføres i alle lande inden for en frist.
Det skal I lade være med
- At tro, at overensstemmelse med bilag I udelukker et indgreb · artikel 57 gælder netop produkter, der overholder.
- At gætte på, hvilke ikke-tekniske faktorer der tæller · kilderne giver ingen liste, og der er ingen praksis.
- At glemme EU-dimensionen · korrigerende foranstaltninger efter stk. 2 gælder i hele Unionen.
Det skal auditten kunne vise
- ☐ En oversigt over kundesektorer, så vidt de kendes.
- ☐ En beskrivelse af, hvor udvikling, byggekæde og fjerndatabehandling foregår.
- ☐ Komponentlister for de understøttede versioner.
- ☐ En plan for korrigerende foranstaltninger i hele Unionen.
Kilder
- Forordning (EU) 2024/2847, artikel 19, stk. 3, 54, stk. 2, 56 og 57, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvilke af jeres kunder der er væsentlige enheder efter NIS 2, eller hvor produktet har betydning for sundhed og sikkerhed.
Læs også: Koordinerede kontrolaktioner · Fjerndatabehandling og jeres backend
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
