En advarsel i brugsanvisningen kan ikke erstatte en sikkerhedsforanstaltning, der mangler i softwaren. CRA tillader at begrænse formålet til betroede miljøer og at oplyse brugerne om restrisici, men risikoen for en designmangel bliver hos fabrikanten.
Sådan udlægger Kommissionen reglerne i C(2026) 5252, punkt 160-162, med udgangspunkt i forordning (EU) 2024/2847, betragtning 55 og bilag II, nr. 5. Vejledningen er ikke bindende, og hvor grænsen præcis går mellem en gyldig begrænsning og en mangel overladt til kunden, er vores tolkning. Kravene gælder fra 11. december 2027.
Det, vejledningen siger
Punkt 160 nævner de redskaber, fabrikanten har til at behandle risici. Mange af dem ligger i produktet selv: en mindre angrebsflade, tekniske værn, begrænset eller tilpasset funktionalitet eller et mere præcist formål. Fabrikanten kan også påvirke, hvordan produktet bruges, gennem risikokommunikation, brugervejledning eller brugerfladens design.
Punkt 161 trækker grænsen. Forordningen giver ikke mulighed for at overføre risiko eller ansvar til brugere eller tredjeparter for at kompensere for mangler i designet eller begrunde risici, der står ubehandlede. Pligten forbliver hos fabrikanten.
Punkt 162 viser, hvad brugeroplysninger kan bære. De kan støtte sikker udrulning og drift, også hvor fabrikanten har begrænset formålet til betroede miljøer, og de kan informere om restrisici på en måde, der passer til produkt og brugere.
To eksempler fra vejledningen
Eksempel 66 handler om en industriel sensor uden beskyttelse mod fysiske angreb. Formålet begrænses til betroede miljøer uden uautoriseret fysisk adgang, og brugerne får klare oplysninger om begrænsningen. Det er en gyldig behandling af risikoen, fordi formålet faktisk er snævret ind og brugerne får at vide hvorfor.
Eksempel 67 handler om en professionel app, der bruger styresystemets indbyggede kryptering og nøglehåndtering frem for at lave sin egen. Her er risikoen behandlet ved at vælge en sikker løsning i designet.
Forudsigelig fejlanvendelse
Forordningen bruger begrebet fejlanvendelse, der med rimelighed kan forudses (artikel 3, nr. 25). Kommissionens tjenestegrenes FAQ 4.1.5 giver et eksempel. Produktet udrulles på et usikkert net, selv om anvisningerne kræver et sikkert net. Risici ved forudsigelig fejlanvendelse skal stå i brugeroplysningerne.
Bilag II, nr. 5, siger det samme som lovkrav. Brugeroplysningerne skal omfatte alle kendte eller forudsigelige omstændigheder ved brug efter formålet eller ved forudsigelig fejlanvendelse, der kan give betydelige cybersikkerhedsrisici.
At fejlanvendelsen står i anvisningerne, fjerner ikke pligten til at behandle den i designet, hvor det er muligt. Sådan læser vi punkt 161, og oplysningen bliver dermed et supplement.
Hvor grænsen går
Tre spørgsmål kan skille en gyldig begrænsning fra en mangel, der er overladt til kunden. Spørgsmålene er vores tolkning af punkt 160-163.
Er formålet faktisk begrænset? Står begrænsningen kun i brugsanvisningen, mens produktsiden sælger til alle, er formålet ikke snævret ind. Formålet defineres også af salgsmaterialet (artikel 3, nr. 23).
Kunne risikoen behandles i produktet? Findes der en rimelig teknisk løsning, som ikke er brugt, er en advarsel ikke nok. Omkostninger alene er ikke en grund til at lade være (punkt 163).
Kan brugeren følge anvisningen? En anvisning, der kræver viden eller udstyr, som den forudsigelige bruger ikke har, behandler ikke risikoen.
Tænkte eksempler
Gyldig. Et fjernstyringsværktøj er beregnet til lukkede driftsnet. Det står i dokumentation, brugsanvisning og salgsmateriale. Værktøjet advarer ved installation, hvis det kan nås fra internettet. Brugerne får besked om, hvorfor.
Ikke gyldig. Et program sender adgangsoplysninger ukrypteret, og brugsanvisningen siger, at det kun må bruges på et sikkert net. Formålet er ikke begrænset andre steder, og kryptering kunne have været indbygget. Her flyttes en designmangel over på kunden.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hver advarsel i brugsanvisningen kan spores tilbage til en risiko i risikovurderingen og til en begrundelse for, at den ikke er behandlet i designet. Advarsler uden den kobling bør undersøges.
Uden koblingen kan brugsanvisningen ende med at rumme det, softwaren skulle have gjort. Det kan ses, når en myndighed eller en kunde sammenholder advarslerne med produktets faktiske egenskaber.
Det skal I lade være med
- At skrive en advarsel i stedet for at rette en designmangel · punkt 161 lader ikke risikoen flytte.
- At begrænse formålet i brugsanvisningen alene · salgsmaterialet er også en del af formålet.
- At udelade forudsigelig fejlanvendelse af brugeroplysningerne · bilag II, nr. 5, kræver den med.
Det skal auditten kunne vise
- ☐ En kobling fra hver sikkerhedsadvarsel til en risiko i risikovurderingen.
- ☐ En begrundelse for, hvorfor risikoen ikke er behandlet i designet.
- ☐ Et formål, der er begrænset ens i dokumentation, brugsanvisning og salgsmateriale.
- ☐ Brugeroplysninger, der omtaler forudsigelig fejlanvendelse efter bilag II, nr. 5.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 3, nr. 23 og 25, bilag II, nr. 5, og betragtning 55, læst 13. november 2026.
- Europa-Kommissionen, C(2026) 5252, vejledning om anvendelsen af forordningen, punkt 160-163 og eksempel 66 og 67, læst 13. november 2026.
- Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4, afsnit 4.1.5, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gå jeres brugsanvisning igennem, og markér hver advarsel, der ikke kan spores tilbage til risikovurderingen.
Læs også: Restrisiko · Kravet kan ikke opfyldes fuldt
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
