Et softwarehus med mange produkter kan ikke gøre alle klar på én gang. Forordningen fastsætter ingen prioritering, men den indeholder kriterier, der afgør, hvor meget arbejde et produkt kræver, og hvor tidligt det skal begynde: klassen, planlagte væsentlige ændringer, supportperioden og fjerndatabehandlingen.
Rækkefølgen nedenfor er praksis og en tolkning af, hvad der tager tid. Kriterierne under den er forordningens. CRA’s krav til produkterne gælder fra 11. december 2027, og indberetningspligten i artikel 14 har gældt siden september 2026 for alle omfattede produkter.
Kriterium 1: klassen afgør, om I skal have et organ med
Klassen bestemmer, hvilken vej til overensstemmelse der er åben:
- Uden kernefunktionalitet i bilag III eller IV · Intern kontrol (modul A)
- Vigtigt produkt i klasse I, hvor harmoniserede standarder, fælles specifikationer eller certificering er anvendt fuldt · Modul A (stk. 2)
- Vigtigt produkt i klasse I uden fuld anvendelse af dem · Et bemyndiget organ deltager, enten ved typeafprøvning med typeoverensstemmelse (B og C) eller ved fuld kvalitetssikring (H), stk. 2
- Vigtigt produkt i klasse II · Modul B og C, modul H eller certificering (stk. 3)
- Kritisk produkt · Certificering eller procedurerne i stk. 3 (stk. 4)
Et produkt, der skal have et bemyndiget organ med, tager typisk længst, fordi organet skal findes, aftales og have tid. Det er en vurdering.
Hvor organerne står, er usikkert. Kommissionens tidslinje angiver 11. december 2026 som dato for anmeldelse af tilstrækkeligt med overensstemmelsesvurderingsorganer i medlemsstaterne. Det er en plan, og ingen kilde bekræfter, at der er organer nok. Kommissionens register NANDO viser de bemyndigede organer. Mere om opslaget står i artiklen om at finde et organ.
Ingen harmoniserede standarder under forordningen var set offentliggjort i november 2026. Så længe det varer, må flere klasse I-produkter efter artikel 32, stk. 2, regne med et organ. Det er en tolkning af, hvordan reglen virker i praksis.
Kriterium 2: væsentlige ændringer efter 2027
Artikel 69, stk. 2, holder den software, der allerede er på markedet ved skæringsdatoen, uden for kravene. Den kommer først ind, når den ændres væsentligt efter datoen. Efter Kommissionens vejledning betragtes et væsentligt ændret produkt som nyt, og der skal erklæres en supportperiode for hver væsentligt ændret version.
Et ældre produkt med en stor ny version planlagt i 2028 kommer altså ind under forordningen med den version. Et ældre produkt, der kun vedligeholdes, gør det ikke på samme måde. Produktplanen er derfor et af de vigtigste input til rækkefølgen. Hvordan en release vurderes, står i væsentlig ændring.
Kriterium 3: supportperioden
Artikel 13, stk. 8, kræver en supportperiode på mindst fem år, medmindre den forventede brugstid er kortere. Kommissionens vejledning siger, at fem år ikke skal betragtes som standarden.
Et produkt med lang forventet brugstid binder virksomheden længe. Jo længere supportperiode, desto vigtigere er det at få sårbarhedshåndteringen og opdateringsarkivet på plads fra første version. Det er tolkning, men det følger af, at forpligtelsen løber i hele perioden.
Kriterium 4: fjerndatabehandling
Efter vejledningen hører fjerndatabehandling med til produktet og skal med i risikovurderingen og den tekniske dokumentation. Et produkt med en stor backend, der er nødvendig for dets funktioner, har derfor et større omfang end et rent lokalt program.
En fælles backend, der understøtter flere produkter, skal stå i hvert produkts dokumentation, men beskrivelsen kan genbruges. Det kan tale for at tage produkter med samme backend i sammenhæng.
Kriterium 5: produktfamilier
Varianter med samme arkitektur, sikkerhedsrelevante design og formål kan efter vejledningen dele risikovurdering, dokumentation, vurdering og erklæring, når forskellene ikke er sikkerhedsrelevante. Det kan spare tid at tage en hel familie på én gang.
En mulig rækkefølge
Kriterierne kan sættes sammen sådan. Rækkefølgen er praksis:
- Produkter, der skal have et bemyndiget organ med, og som skal på markedet efter 11. december 2027.
- Nye produkter og væsentligt ændrede versioner planlagt efter datoen, med lang supportperiode.
- Produkter med stor fjerndatabehandling, især hvor backenden er fælles.
- Ældre produkter, der kun vedligeholdes, hvor artikel 14 er den pligt, der gælder.
Den almene metode til at prioritere sikkerhedsarbejde på tværs af en organisation hører til modenhedsarbejdet over tid. Her er kriterierne knyttet til det enkelte produkt.
Listen følger produktplanen
Rækkefølgen er et øjebliksbillede. Den kan med fordel tages op igen, når produktplanen ændres, når en kernefunktion ændrer klassen, når harmoniserede standarder bliver offentliggjort, eller når der kommer flere bemyndigede organer. Hver af de hændelser kan flytte et produkt op eller ned. En kort, dateret note om, hvorfor listen ser ud, som den gør, gør det lettere for ledelsen at se, hvornår den skal ændres. Det er praksis.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over alle produkter med klasse, planlagte væsentlige ændringer, supportperiode og fjerndatabehandling. Listen er grundlaget for en realistisk plan og for samtalen med ledelsen om, hvad der skal ske hvornår.
Uden den risikerer I at bruge de første måneder på et produkt, der kunne vente, mens et produkt, der skal have et organ med, står i kø.
Det skal I lade være med
- At prioritere efter omsætning alene · forordningens kriterier siger mere om, hvor arbejdet ligger.
- At regne med, at der er bemyndigede organer nok · datoen i tidslinjen er en plan.
- At glemme ældre produkter helt · artikel 14 gælder også for dem.
Det skal auditten kunne vise
- ☐ En liste over produkter med klasse og vej til overensstemmelse.
- ☐ Produktplanen med væsentlige ændringer efter 11. december 2027.
- ☐ Supportperiode og fjerndatabehandling for hvert produkt.
- ☐ En begrundet rækkefølge godkendt af ledelsen.
Kilder
- Forordning (EU) 2024/2847, artikel 13, stk. 8, 32, stk. 2-4, og 69, stk. 2, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252 om anvendelsen af forordning (EU) 2024/2847, afsnit 4.4, 5, 7.4 og punkt 178 og 204, læst 13. november 2026.
- Europa-Kommissionen, Cyber Resilience Act implementation, læst 13. november 2026.
- Europa-Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4, afsnit 6.9, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over alle produkter med de fire oplysninger, og sæt dem i rækkefølge.
Læs også: Udfasning før 2027 · Udgaver, varianter og produktfamilier
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
