En tjeneste, som kunderne alene bruger i browseren, er som udgangspunkt ikke et produkt efter Cyber Resilience Act. Den kommer dog ind, hvis I også leverer en installeret klient eller en app, eller hvis tjenesten bærer en funktion i et produkt, og den mulighed skal være afvist skriftligt, før konklusionen holder.
Hvordan man afgør, om software overhovedet er et produkt, er beskrevet i prøven pr. produkt. Her handler det kun om de veje, hvor en SaaS-løsning alligevel ender under forordningen.
Udgangspunktet
Betragtning 12 i forordning (EU) 2024/2847 holder websteder, der ikke understøtter et produkts funktionalitet, uden for. Det samme gælder cloudtjenester, når ingen produktfabrikant har haft ansvaret for at udforme og udvikle dem. Betragtningen tilføjer, at NIS 2-direktivet gælder cloudtjenester og modeller som SaaS, PaaS og IaaS. Hvad NIS 2 betyder for jer som udbyder, er et andet spørgsmål, som ikke behandles her.
Kommissionens tjenestegrenes FAQ (1.2, vejledende) siger det samme. Selvstændig SaaS, udviklet uden for en produktfabrikants ansvar, er ikke selv et produkt. Opfylder den definitionen af fjerndatabehandling, er den omfattet.
Hvad fjerndatabehandling betyder
Efter artikel 3, nr. 2, foreligger fjerndatabehandling, når data behandles væk fra brugeren af software, som fabrikanten har lavet eller fået lavet under sit ansvar, og når en af produktets funktioner står stille uden behandlingen. Efter artikel 3, nr. 1, omfatter et produkt sine fjerndatabehandlingsløsninger. Tjenesten bliver altså en del af et produkt og bærer produktets krav.
Betragtning 11 giver eksemplet. Kræver en mobilapp adgang til et API eller en database fra en tjeneste, fabrikanten har udviklet, er tjenesten omfattet som fjerndatabehandlingsløsning. Betragtningen afgrænser også. Kravene dækker ikke fabrikantens net- og informationssystemer som helhed.
De tre veje ind
At netop tre veje er værd at prøve, er vores ordning af kilderne. Hver vej har sin egen hjemmel.
- En installeret klient til tjenesten · Hvad der sker: Klienten er et produkt, og tjenestens fjerndatabehandling hører med · Grundlag: Vejledningen, eksempel 5
- En app på brugerens enhed · Hvad der sker: Appen er et produkt, og backend, den kræver, kan blive fjerndatabehandling · Grundlag: Vejledningen, eksempel 3, og betragtning 11
- Tjenesten understøtter en funktion i et produkt · Hvad der sker: Tjenesten er fjerndatabehandling for produktet · Grundlag: Vejledningen, punkt 184 til 202
Den tredje vej overses lettest. Leverer I en platform, som en hardwarefabrikants enheder ikke kan fungere uden, og er platformen tilpasset fabrikantens design, kan den være fjerndatabehandling for fabrikantens produkt. Hvordan grænsen trækkes, står i artiklen om fjerndatabehandling.
Et login kan være nok
Kommissionens vejledning C(2026) 5252 (ikke bindende) nævner i punkt 194 et særtilfælde. Et autentificeringswebsted, der udsteder legitimationsoplysninger eller tokens, som produktet skal bruge for at virke, er fjerndatabehandling, når de øvrige kriterier er opfyldt. Et websted, der kun informerer, er det ikke, heller ikke når produktet sender brugeren videre dertil.
For et softwarehus betyder det, at kundeportalen bør gennemgås for sig. Udsteder den licensnøgler eller adgangstokens, som en installeret klient har brug for, kan den være en del af klientens produkt.
Beviset for, at ingen vej gælder
Når konklusionen er, at tjenesten står uden for, skal I kunne vise, at ingen af de tre veje er åbne. Forordningen kræver intet særskilt dokument til det. Det er praksis at skrive ned, hvad der er undersøgt. Et tænkt eksempel på punkterne kan se sådan ud.
- Leverer vi en installeret klient, et plugin eller en udvidelse? · (Nej, kun browseradgang)
- Leverer vi en app til telefon eller tablet? · (Nej)
- Bruger nogen produkter tjenesten til en af deres funktioner? · (Ingen kendte integrationer, der er nødvendige for et produkt)
- Udsteder tjenesten tokens, som et produkt kræver? · (Nej)
- Hvem har svaret, og hvornår? · (Udviklingschef, dato)
Svarene skal ses igen, når forretningen ændrer sig. En ny app eller en ny integration kan flytte tjenesten ind under forordningen fra den ene dag til den anden.
Hvad der følger, hvis en vej er åben
Er tjenesten en del af et produkt, skal den med i produktets risikovurdering. Efter Kommissionens vejledning skal fjerndatabehandlingen også beskrives i produktets tekniske dokumentation, og understøtter samme tjeneste flere produkter, skal den stå i hvert produkts dokumentation. Produktkravene får virkning 11. december 2027, mens pligten efter artikel 14 til at indberette aktivt udnyttede sårbarheder allerede har virket siden 11. september 2026.
Hvad det kræver, og hvad det koster at lade være
Det kræver et ærligt overblik over, hvad der faktisk leveres til kunderne ved siden af browseradgangen, og hvem der bygger på tjenesten. Salg og support ved ofte mere om det end udviklingsholdet.
Lader I spørgsmålet ligge, kan en klient, der blev lavet som en bekvemmelighed, gøre hele tjenesten til en del af et produkt, uden at nogen har vurderet det. Det opdages typisk først, når en kunde eller en myndighed spørger.
Det skal I lade være med
- At konkludere ud fra forretningsmodellen alene · det afgørende er, hvad der leveres, og hvad der kører hvor.
- At glemme kundeportalen · et login, der udsteder tokens til et produkt, kan være fjerndatabehandling.
- At vurdere én gang for altid · en ny app eller integration ændrer svaret.
Det skal auditten kunne vise
- ☐ En oversigt over alt, der leveres ud over browseradgangen.
- ☐ For hver af de tre veje et begrundet svar.
- ☐ En vurdering af login- og licenstjenester efter vejledningens punkt 194.
- ☐ Dato for seneste ajourføring efter ændringer i produkter og integrationer.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 3, nr. 1 og 2, og betragtning 11 og 12, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens vejledning C(2026) 5252, eksempel 3 og 5 og punkt 184 til 204, ikke bindende, læst 13. november 2026.
- Kommissionens tjenestegrenes FAQ om CRA, version 1.4, FAQ 1.2, vejledende, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gå jeres leverancer igennem for klienter, apps og integrationer, før I skriver, at tjenesten står uden for.
Læs også: Mobilapps · Tredjeparts-SaaS, platform og infrastruktur i produktet
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
