Få hjælp til Cyber Resilience Act

Alt på sitet kan bruges uden hjælp udefra. Ønsker I et blik udefra på et softwareprodukt og den proces, der skal holde det sikkert, tilbyder Nielco IT en gennemgang efter Cyber Resilience Act. Her står, hvad gennemgangen dækker, hvilke niveauer der findes, hvordan arbejdet forløber, og hvad det kræver af jer, så I kan vurdere, om den passer til jeres situation.

Før I vælger

En gennemgang kan ligge på forskellige tidspunkter og have forskellige formål. Disse artikler hjælper med at vælge, også hvis I ender med at gøre arbejdet selv.

• Hvad er en CRA-gennemgang af et softwareprodukt, når den hverken er CE-vurdering eller certifikat? Det, rapporten kan og ikke kan.
• Hvornår i udviklingsforløbet skal gennemgangen ligge? Tre tidspunkter med hver sit udbytte.
• Modul A for et softwareprodukt: egenkontrollen trin for trin, og hvad en uvildig gennemgang bidrager med Hvor et blik udefra passer ind.

Tre udgangspunkter

I er ved at bygge produktet. Risikovurderingen og designet kan stadig ændres. Gennemgangen ser på, om vurderingen dækker bilag I, om fravalgene holder, og om de krav, der er dyre at få ind sent, er tænkt ind fra begyndelsen.

Produktet er på markedet. Det handler om sårbarhedshåndteringen, komponentlisten, opdateringerne, supportperioden og beredskabet til indberetning, som allerede gælder. Gennemgangen viser afstanden til kravene, der gælder fra december 2027, og hvad der skal på plads først.

En kunde eller et organ venter. Kunden vil se, hvor langt I er, eller et bemyndiget organ skal vurdere et vigtigt produkt. Gennemgangen forbereder materialet, så hullerne findes, før andre finder dem.

Det, gennemgangen ser på

Indholdet afpasses efter produktet og anledningen. Typisk indgår:

• Afgrænsningen · om produktet er omfattet, hvilken rolle I har, og hvilken klasse det har.
• Risikovurderingen · indhold, fravalg, restrisiko og ajourføring.
• Produktets egenskaber · kravene i bilag I, del I, kontrolleret i en frisk installation.
• Komponenterne · komponentlisten, overvågningen og valget af tredjepartskomponenter.
• Sårbarheder og opdateringer · register, politik for koordineret offentliggørelse, distribution og supportperiode.
• Indberetningen · arbejdsgangen efter artikel 14 og en gennemspillet sag.
• Dokumentationen · bilag VII, bilag II og udkastet til erklæringen.

Niveauerne

Indsatsen følger produktets risiko og jeres behov:

• Dokumentgennemgang · risikovurdering, politikker og dokumentation læst mod forordningen. Passer, når processen er ny.
• Proces og interview · samtaler med udviklere, release-ansvarlige og support, og stikprøver i registre og byggekæde.
• Prøve på produktet · en installeret kopi kontrolleret mod de krav i bilag I, der kan efterprøves udefra.

Sådan foregår et forløb

Forløbet begynder med en afgrænsning af produkter, versioner og målestok. Derefter indsamles materialet, og der holdes samtaler med dem, der kender produktet. Fundene gennemgås med jer, før rapporten skrives, så misforståelser ryddes af vejen. Rapporten beskriver hvert fund med henvisning til artikel eller bilagspunkt, hvad der mangler som bevis, og hvad der bør komme først.

Det, ydelsen ikke omfatter

Nielco IT har ikke status som bemyndiget organ og giver hverken certifikater, attester eller EU-overensstemmelseserklæringer. Gennemgangen giver ingen formodning om overensstemmelse og kan ikke erstatte fabrikantens egen vurdering eller et organs afprøvning. Test af fysiske produkter og hardware indgår ikke. Uden forhandleraftaler peger anbefalingerne aldrig på bestemte værktøjer eller leverandører. Det er jer, der retter og underskriver, og spørgsmål om produktansvar og aftaler hører hos jeres advokat.

Hvad det kræver, og hvad det koster at lade være

Et forløb kræver, at risikovurdering, dokumentation og registre er tilgængelige, og at udviklere og produktansvarlige har tid til samtalerne. Omfanget afhænger af antallet af produkter og versioner, produktets klasse, hvor langt dokumentationen er, og om der skal prøves på en installeret kopi. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Kan I selv gennemføre kontrollen ud fra sitets artikler, er det en god begyndelse. Hviler billedet af produktets status alene på dem, der har bygget det, er der risiko for, at de samme blinde vinkler går igen i dokumentationen.

Det skal I lade være med

• At bestille før produkterne er afgrænset · afgrænsningen kommer først.
• At vente sig en attest · I får en rapport med fund og forslag.
• At vente til efteråret 2027 · der skal være tid til at rette.

Det skal forløbet kunne vise

• ☐ Hvilke produkter og versioner der er gennemgået, og mod hvad.
• ☐ Fundene med henvisning til artikel eller bilagspunkt.
• ☐ Det bevis, der mangler, og hvad der bør komme først.
• ☐ Hvem i virksomheden der tager stilling til anbefalingerne.

Senest gennemgået: november 2026.

Næste skridt

Skriv ned, hvilket produkt det drejer sig om, og hvad der har sat sagen i gang. Det er udgangspunktet for den første samtale.

• Er softwaren et produkt efter forordningen?
• Kontakt

Læs også: Hvad er en CRA-gennemgang? · Om cyber-resilience.dk

→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT