Forordningen kræver, at softwarekomponentlisten kan udleveres til en markedsovervågningsmyndighed, når den beder om den med en begrundelse. Over for kunderne er udlevering frivillig, og der er ingen pligt til at offentliggøre listen.
Mange softwarehuse får i disse år spørgsmål fra kunder, der vil have en SBOM udleveret. Det er nyttigt at vide, hvad loven kræver, før man svarer, og hvad der er et kommercielt valg.
Myndigheden
Bilag VII, nr. 8, siger, at den tekniske dokumentation i givet fald skal indeholde softwarekomponentlisten efter en begrundet anmodning fra en markedsovervågningsmyndighed, forudsat at det er nødvendigt, for at myndigheden kan kontrollere overholdelsen.
Tre betingelser ligger i den sætning. Der skal være en anmodning. Den skal være begrundet. Og listen skal være nødvendig for kontrollen. Fabrikanten skal altså have listen klar, men den skal ikke sendes ind af sig selv.
Artikel 13, stk. 25, giver en anden vej. Den administrative samarbejdsgruppe for markedsovervågning, ADCO, kan beslutte en EU-dækkende vurdering af afhængigheder for bestemte produktkategorier. Markedsovervågningsmyndighederne kan da bede fabrikanterne om listen og give ADCO anonymiserede og aggregerede oplysninger. Formålet er at se, hvor mange produkter der hviler på de samme komponenter.
Begge veje forudsætter, at listen findes og kan findes frem. Efter artikel 13, stk. 13, gemmer fabrikanten dokumentationen i ti år fra omsætningen som minimum, og længere, hvis supportperioden rækker længere.
Kunderne
Bilag II, nr. 9, handler om oplysningerne til brugeren. Hvis fabrikanten beslutter at stille softwarekomponentlisten til rådighed for brugeren, skal oplysningerne sige, hvor listen kan tilgås.
Ordet “hvis” gør udleveringen frivillig. Vælger I at give kunderne listen, skal brugeroplysningerne pege på den. Vælger I ikke at gøre det, er der intet krav i forordningen om det.
At det er frivilligt efter forordningen, betyder ikke, at kunderne ikke kan kræve det. En kunde kan skrive krav om en SBOM ind i en kontrakt. Det er et spørgsmål om aftalen og ikke om CRA. Hvordan en kunde, der stiller krav til sine leverandører, griber det an, er beskrevet under kundens kontrol af en IT-leverandør.
Offentligheden
Betragtning 77 siger, at fabrikanterne ikke bør være forpligtet til at offentliggøre softwarekomponentlisten. ENISA gentager det i sin sammenfatning af pligterne. Der er altså ingen pligt til at lægge listen på hjemmesiden.
Nogle vælger alligevel at gøre det, for eksempel for open source-komponenter eller for produkter, hvor kunderne ofte spørger. Det er et forretningsvalg, som bør vejes mod, hvad listen afslører om produktets opbygning.
Hvorfor kunderne spørger
ENISA’s undersøgelse fra 2026 giver et indtryk af købersiden. Blandt de adspurgte svarede 39 procent, at de aldrig modtager en liste fra leverandører af standardsoftware, og 39 procent, at de sjældent gør. 10 procent har gjort listen obligatorisk i leverandørkontrakter. Tallene stammer fra 334 svar sidst i 2025, overvejende fra større organisationer, og er ikke et billede af hele markedet.
Tallene forklarer, hvorfor spørgsmålene kommer. Kunderne vil kunne svare hurtigt, når en sårbarhed i en udbredt komponent bliver kendt, og de kan kun det, hvis de ved, hvad deres software indeholder.
Hvad I kan svare en kunde
Når en kunde spørger, kan det være nyttigt at skille tre ting ad. For det første: Har I en liste? Det skal I efter forordningen fra 11. december 2027. For det andet: Vil I udlevere den? Det er jeres valg, medmindre det står i aftalen. For det tredje: I hvilken form? Nogle vælger at udlevere hele listen, andre et uddrag eller et svar på kundens konkrete spørgsmål om en bestemt komponent.
Svarer I nej til at udlevere, kan I stadig tilbyde at svare på, om en bestemt sårbarhed berører produktet. Det er ofte det, kunden egentlig har brug for. Den sidste sætning er vores vurdering.
Hvad en gennemgang ser efter
En gennemgang kontrollerer, at listen kan findes frem til myndigheden for hver version i omsætning, og at brugeroplysningerne siger, hvor listen findes, hvis I har valgt at udlevere den. Den ser også på, om der er en intern beslutning om udlevering, og hvem der træffer den, så kundernes spørgsmål ikke besvares forskelligt fra sag til sag. Den interne beslutning er praksis.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at listen opbevares med den tekniske dokumentation, så den kan udleveres hurtigt, og en beslutning om, hvad kunderne får. Har I valgt udlevering, kræver det også en linje i brugeroplysningerne.
Uden en beslutning bliver hvert kundespørgsmål en ny diskussion. Og uden en liste, der kan findes frem, kan I ikke efterkomme en begrundet anmodning fra myndigheden.
Det skal I lade være med
- At sige til kunder, at loven forbyder udlevering · det gør den ikke.
- At sige til kunder, at loven kræver udlevering · det gør den heller ikke.
- At udlevere listen uden at nævne det i brugeroplysningerne · bilag II, nr. 9, kræver det, når I vælger udlevering.
Det skal auditten kunne vise
- ☐ En liste pr. version, der kan udleveres til myndigheden efter bilag VII, nr. 8.
- ☐ En intern beslutning om udlevering til kunder.
- ☐ Ved udlevering: en oplysning om, hvor listen findes, efter bilag II, nr. 9.
- ☐ Opbevaring i mindst ti år eller supportperioden efter artikel 13, stk. 13.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 13, stk. 13 og 25, bilag II, nr. 9, bilag VII, nr. 8, og betragtning 77, læst 13. november 2026.
- ENISA, SBOM Adoption State of Play 2026, afsnit 1.2, 2.4.2 og 2.4.7, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Beslut, hvad I svarer, næste gang en kunde beder om jeres komponentliste, og skriv det ned.
- Softwarekomponentliste, afhængigheder og tredjepartskomponenter
- Softwarekomponentlisten (SBOM) efter CRA
Læs også: Oplysninger og anvisninger til brugeren efter bilag II · Tilsyn hos et softwarehus
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
