Cyber Resilience Act kræver, at tilgængelige sikkerhedsopdateringer formidles til brugerne uden unødigt ophold og uden betaling. Undtagelsen er et skræddersyet produkt, hvor andet udtrykkeligt er aftalt med en erhvervsbruger, og betalte rettelser er også tilladt til ældre versioner, når betingelserne i artikel 13, stk. 10, er opfyldt.
Det er bilag I, del II, nr. 8, der stiller kravet, og det har virkning fra 11. december 2027. For softwarehuse, hvor opdateringer i dag ligger bag en aktiv supportaftale, er det værd at se licens- og supportmodellen igennem før den dato.
Ordlyden
Bilag I, del II, nr. 8, pålægger fabrikanten at sikre, at tilgængelige sikkerhedsopdateringer formidles uden unødigt ophold. Formidlingen skal ske uden betaling, medmindre andet er aftalt med en erhvervsbruger om et skræddersyet produkt. Opdateringerne skal ledsages af vejledende meddelelser med de relevante oplysninger, herunder om mulige foranstaltninger.
Ifølge betragtning 56, gengivet i FAQ’ens punkt 4.3.3, skal sikkerhedsopdateringer stilles til rådighed uden ophold, også hvor automatiske opdateringer ikke er relevante for produktet.
Kravet gælder sikkerhedsopdateringer. Nye funktioner må gerne koste penge. Derfor hænger kravet tæt sammen med adskillelsen af sikkerheds- og funktionsopdateringer i del II, nr. 2.
Undtagelsen for skræddersyede produkter
Kommissionens FAQ (punkt 4.2.5) holder undtagelsen snæver. Den kræver både et produkt, der er lavet til netop én erhvervsbruger, og en udtrykkelig aftale om at fravige reglen. Et produkt, der sælges bredt og blot tilpasses lidt, falder udenfor. FAQ’ens eksempler er et CRM-system med mange virksomheder som kunder og en platform, der udvides gennem plugins eller API’er.
Bruger I undtagelsen, skal dokumentationen bevise, at produktet faktisk er lavet til den ene kunde. Ud over opdateringerne kan en sådan aftale alene fravige kravet om sikker standardkonfiguration.
Ældre versioner mod betaling
Kommissionens vejledning (fodnote 19 til punkt 131) siger, at forordningen ikke kræver sikkerhedsopdateringer uden betaling til tidligere versioner, når betingelserne i artikel 13, stk. 10, er opfyldt. Det vil sige, når den nyeste version kan fås uden betaling af dem, der bruger de ældre, og opgraderingen ikke påfører dem ekstra omkostninger ved at tilpasse deres miljø. I den situation må afhjælpning i ældre versioner tilbydes mod betaling eller på andre kommercielle vilkår.
Uden for stk. 10 er det vores tolkning af bilag I, del II, nr. 8, sammen med artikel 13, stk. 8, at hovedreglen gælder. Sikkerhedsopdateringer i supportperioden skal da være uden betaling. Vejledningen er ikke bindende.
Supportaftale og licensnøgle
Kilderne afgør ikke udtrykkeligt, om en sikkerhedsopdatering må kræve en gyldig supportaftale eller en aktiv licensnøgle for at kunne hentes. Det følgende er vores tolkning og ingen juridisk vurdering af en bestemt licensmodel.
I supportperioden skal sikkerhedsopdateringen være uden betaling. Hvis vejen til opdateringen i praksis går gennem en betalt aftale, kan det være svært at forene med kravet. Tre tænkte situationer viser spændvidden:
- (Kunden har købt en evig licens, og sikkerhedsrettelser kræver aktiv support) · Kan kunden få sikkerhedsopdateringen i supportperioden uden at forny supporten?
- (Abonnementet er udløbet, men produktet virker stadig) · Er produktet stadig i sin supportperiode, og hvad får kunden så?
- (Opdateringen kræver login i en kundeportal) · Er login en teknisk forudsætning, eller er det en betalingsmur?
Svarene afhænger af aftalerne og af den supportperiode, I har erklæret. Er der tvivl om en konkret model, er det et spørgsmål til en jurist.
Uden unødigt ophold
Forordningen siger ikke, hvor lang tid “uden unødigt ophold” er. Det kan måles på, hvor lang tid der går fra rettelsen er klar, til den er tilgængelig for alle brugere i supportperioden. Ventetid, der skyldes administrative trin som manuel godkendelse af kundeadgange, er svær at forklare som nødvendig.
Et tænkt eksempel er et softwarehus, hvor sikkerhedsopdateringer kun kan hentes, når supportafdelingen har bekræftet kundens aftale manuelt. Rettelsen er klar en mandag, men kunder uden aktiv aftale får den først, når de har rykket. Den slags ophold er det, kravet sigter mod.
Sådan følger gennemgangen vejen til kunden
Gennemgangen tager som regel udgangspunkt i nogle konkrete sikkerhedsopdateringer og følger dem fra frigivelse til kunden. Metoden er praksis. Spørgsmålene er:
- Hvor blev opdateringen gjort tilgængelig, og hvornår?
- Kunne en bruger med et produkt i supportperioden hente den uden at betale?
- Var der trin på vejen, der forsinkede adgangen?
- Fulgte der en vejledende meddelelse med efter nr. 8?
- Hvis rettelser til ældre versioner kostede penge, er betingelserne i artikel 13, stk. 10, så opfyldt?
Hvad det kræver, og hvad det koster at lade være
Det kræver, at licens- og supportmodellen er gennemgået mod kravet, så sikkerhedsopdateringer i supportperioden kan nås uden betaling. Det kræver også, at sikkerhedsopdateringer kan skilles fra betalte funktioner i distributionen.
En model, hvor rettelser kun når betalende kunder, efterlader de øvrige med kendte sårbarheder. Over for myndigheden er det svært at forklare, når forordningen udtrykkeligt nævner betalingsfrihed.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At gøre aktiv support til betingelse for sikkerhedsrettelser i supportperioden · det er svært at forene med nr. 8.
- At kalde et standardprodukt skræddersyet for at undgå kravet · FAQ’en udelukker det.
- At tage betaling for rettelser til ældre versioner uden at opfylde stk. 10 · så gælder hovedreglen.
Det skal auditten kunne vise
- ☐ Sikkerhedsopdateringer i supportperioden tilgængelige uden betaling.
- ☐ Tid fra færdig rettelse til tilgængelig rettelse for alle brugere.
- ☐ Vejledende meddelelser med hver sikkerhedsopdatering.
- ☐ Bevis for skræddersyet produkt og aftale, hvor undtagelsen bruges.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 13, stk. 8 og 10, bilag I, del I, nr. 2, litra b, og bilag I, del II, nr. 8, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 4.2.5 og 4.3.3, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252, punkt 131 med fodnote 19, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Prøv at hente jeres seneste sikkerhedsopdatering som en kunde uden aktiv supportaftale, og notér, hvor vejen stopper.
Læs også: Kun nyeste version understøttes · Manglende sikkerhedsopdatering som defekt
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
