Ren SaaS ligger som udgangspunkt uden for Cyber Resilience Act, men er et produkt efter det nye produktansvarsdirektiv. Med kildekode er det omvendt: licenseret kildekode kan være et produkt efter CRA, mens “blot kildekoden” ikke er et produkt efter direktivet.
De to regelsæt bruger altså samme ord om forskellige ting. Det har betydning for, hvilken dokumentation et softwarehus har brug for til hvad. Artiklen sammenligner grænserne. Den er ikke juridisk rådgivning, og sammenligningen er en forenkling.
Grænsen i CRA
Kommissionens vejledning opstiller tre betingelser for, at software er omfattet af CRA. Brugeren skal have den leveret, modtage den og afvikle den på eller som en del af sit eget elektroniske informationssystem. En applikation, der afvikles på leverandørens servere, og som brugeren blot logger ind på, er derfor ikke selv et produkt efter vejledningen.
Forordningens betragtning 12 holder cloudtjenester ude, når de er bygget uafhængigt af en fabrikants ansvar for et bestemt produkt. I FAQ’en fra Kommissionens tjenestegrene står der, at en selvstændig SaaS ikke selv er et produkt, og at en tjeneste, som opfylder definitionen af fjerndatabehandling, er omfattet.
Artikel 3, nr. 2, definerer fjerndatabehandling ved tre led. Behandlingen sker på afstand. Softwaren bag den er lavet af fabrikanten selv eller på fabrikantens ansvar. Og uden den kan produktet ikke udføre en af sine funktioner. Definitionen af produkt i artikel 3, nr. 1, tager “dets fjerndatabehandlingsløsninger” med. Hvornår en tjeneste er det, gennemgås i fjerndatabehandling og jeres backend.
Om kildekode lægger Kommissionen til grund, at definitionen af software dækker både maskinkode og kildekode. Den danske sprogversion af artikel 3, nr. 4, bruger dog ordet maskinkode. Efter vejledningens eksempel 7 bringer en virksomhed, der licenserer kildekode til en kunde, koden i omsætning, selv om kunden selv tilpasser og kompilerer. Open source-kode i offentlige depoter og ufærdig kode delt til test er som udgangspunkt ikke bragt i omsætning.
Grænsen i produktansvarsdirektivet
Direktiv (EU) 2024/2853 nævner i artikel 4, nr. 1, software blandt de ting, der er et »produkt«. Efter betragtning 13 er leveringsformen uden betydning, så software på en enhed, software i skyen og software som SaaS er alle produkter. Kildekode alene falder efter samme betragtning udenfor.
Direktivet har også begrebet »relateret tjeneste«. Det er efter artikel 4, nr. 3, en digital tjeneste, der er integreret i eller forbundet med et produkt, så produktet ikke kan udføre en funktion uden den. En relateret tjeneste er efter artikel 4, nr. 4, og betragtning 17 en komponent.
Kommissionens vejledning til CRA siger i fodnote 9, at kode i sig selv ikke er et produkt efter produktansvarsretten, og at fabrikanter, der bringer kode i omsætning, derfor ikke kan holdes ansvarlige efter direktivet. National erstatningsret uden for kontrakt er ikke udelukket.
Sammenligningen
Tabellen er en forenkling. Den viser udgangspunkterne, og en konkret leverance kan falde anderledes ud.
- Installeret software (program, app, klient) · CRA: Produkt, når det leveres og kører hos brugeren · Produktansvarsdirektivet: Produkt
- Ren SaaS, der ikke er bygget på en fabrikants ansvar for et produkt · CRA: Som udgangspunkt ikke et produkt · Produktansvarsdirektivet: Produkt efter betragtning 13
- Tjeneste, der er nødvendig for et installeret produkts funktion · CRA: Del af produktet som fjerndatabehandling · Produktansvarsdirektivet: Kan være en relateret tjeneste og dermed en komponent
- Kildekode licenseret til en kunde · CRA: Bragt i omsætning efter vejledningens eksempel 7 · Produktansvarsdirektivet: “Blot kildekoden” er ikke et produkt
- Open source uden licensbetaling uden for kommerciel aktivitet · CRA: Særlige regler i CRA · Produktansvarsdirektivet: Uden for direktivet efter artikel 2, stk. 2
Den nederste række nævnes kun for fuldstændighedens skyld. CRA’s regler om open source står i open source i jeres forretning.
Hvad der dokumenteres efter hvad
Det følgende er tolkning.
For installeret software overlapper behovene mest. Risikovurdering, teknisk dokumentation og sårbarhedshåndtering efter CRA er også det materiale, der kan være relevant, hvis en sagsøger efter direktivets artikel 9 beder om bevis.
For ren SaaS stiller CRA som udgangspunkt ingen produktkrav. Direktivet kan alligevel gøre tjenesten til et produkt. Et softwarehus med ren SaaS kan derfor have grund til at dokumentere sine sikkerhedsbeslutninger, selv om CRA ikke kræver det. Hvordan tjenesten alligevel kan komme ind under CRA, står i ren SaaS og de tre veje ind.
For licenseret kildekode gælder det omvendte. CRA kan kræve fuld dokumentation, mens direktivet efter betragtning 13 ikke ser koden som et produkt.
Datoerne er også forskellige. Direktivet rammer produkter, der kommer på markedet efter 9. december 2026, og forordningens produktkrav begynder i december 2027.
Skadebegrebet sætter en grænse til
Direktivets artikel 6 dækker ikke skade på ejendele, der udelukkende bruges erhvervsmæssigt, eller data, der bruges erhvervsmæssigt, og kun fysiske personer har ret til erstatning. CRA har ingen tilsvarende afgrænsning efter brugerens type. For en SaaS-løsning, der kun bruges af virksomheder, kan direktivets betydning derfor være mindre, end tabellen antyder. Det er en tolkning.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hver leveranceform i porteføljen er placeret i begge regelsæt, og at placeringen er skrevet ned med begrundelse. Produktansvaret bør desuden vurderes af en jurist, når den danske lov foreligger vedtaget.
Lader I være, kan I ende med at dokumentere grundigt efter det regelsæt, der ikke gælder, og for lidt efter det, der gør.
Det skal I lade være med
- At gå ud fra, at uden for CRA betyder uden for produktansvaret · ren SaaS er et produkt efter direktivet.
- At sige, at den danske lovtekst nævner kildekode · den danske version af artikel 3, nr. 4, siger maskinkode.
- At bruge tabellen som en konkret vurdering · den viser kun udgangspunkter.
Det skal auditten kunne vise
- ☐ En placering af hver leveranceform i CRA og i produktansvarsdirektivet med begrundelse.
- ☐ En liste over tjenester, der er fjerndatabehandling for et installeret produkt.
- ☐ En oversigt over kunder, der har fået licens til kildekode.
- ☐ Dokumenterede sikkerhedsbeslutninger også for ren SaaS.
Kilder
- Forordning (EU) 2024/2847, artikel 3, nr. 1, 2 og 4, og betragtning 12, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252 om anvendelsen af forordning (EU) 2024/2847, punkt 20-24, eksempel 7, punkt 178 og fodnote 9, læst 13. november 2026.
- Europa-Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, afsnit 1.2, læst 13. november 2026.
- Direktiv (EU) 2024/2853 om produktansvar, artikel 2, 4 og 6 samt betragtning 13 og 17, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv for hvert produkt, hvilken leveranceform det har, og placér det i begge regelsæt.
Læs også: Kildekode leveret til kunden er også et produkt · Manglende sikkerhedsopdatering som defekt
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
