Cyber Resilience Act gælder ikke software, der udelukkende er udviklet eller ændret til nationale sikkerheds- eller forsvarsformål, eller som er specifikt designet til at behandle klassificerede oplysninger. Software, der også har civil anvendelse, er omfattet, og staten kan desuden stille egne krav, når den køber ind.
For en dansk leverandør med både civile og militære kunder er ordet udelukkende det afgørende, og det er op til leverandøren at kunne vise, at det passer.
Ordlyden
Artikel 2, stk. 7, i forordning (EU) 2024/2847 holder to grupper uden for. Den første er produkter, der udelukkende udvikles eller ændres til nationale sikkerheds- eller forsvarsformål. Den anden er produkter, der er specifikt designet til at behandle klassificerede oplysninger.
Stk. 8 tilføjer en anden slags undtagelse. Pligterne i forordningen omfatter ikke meddelelse af oplysninger, hvis videregivelse ville stride mod væsentlige interesser for national sikkerhed, offentlig sikkerhed eller forsvar. Det handler om oplysninger og ikke om, hvorvidt produktet er omfattet.
Dual use er omfattet
Kommissionens tjenestegrenes FAQ (1.8, vejledende) siger, at produkter med både civil og militær anvendelse er omfattet, når de gøres tilgængelige, medmindre de ændres udelukkende til nationale sikkerheds- eller forsvarsformål.
For et softwarehus betyder det, at et standardprodukt, der sælges til både private virksomheder og forsvaret, er omfattet. En særudgave, der er ændret udelukkende til forsvarets brug, kan efter FAQ’en falde uden for. Undtagelsen følger altså den ændrede udgave, og standardproduktet forbliver omfattet.
Hvad udelukkende kræver af bevis
Ingen kilde siger, hvilket bevis der skal til for at vise, at en udgave udelukkende er udviklet eller ændret til forsvarsformål. Det følgende er derfor praksis og vores tolkning af ordlyden.
En gennemgang vil typisk se efter tre ting.
- Er udgaven bestilt til et forsvars- eller sikkerhedsformål? · Kontrakt eller ordre, der angiver formålet
- Er udgaven kun gjort tilgængelig til det formål? · Liste over kunder og leverancer for udgaven
- Er ændringerne lavet til formålet? · Beskrivelse af, hvad der adskiller udgaven fra standardproduktet
Sælges samme udgave også til civile kunder, er betingelsen efter vores læsning ikke opfyldt. Tilsvarende kan det svække undtagelsen, hvis den eneste forskel på udgaven og standardproduktet er navnet.
Klassificerede oplysninger
Den anden del af stk. 7 gælder produkter, der er specifikt designet til at behandle klassificerede oplysninger. Ordet specifikt peger på, at designet skal være rettet mod det formål. Et almindeligt program, som en myndighed også bruger til klassificerede oplysninger, er efter vores læsning ikke omfattet af undtagelsen alene af den grund. Ingen kilde uddyber det, så forbeholdet hører med.
Statens egne krav
Artikel 5, stk. 1, og betragtning 14 giver medlemsstaterne ret til at stille yderligere cybersikkerhedskrav ved offentlige indkøb eller anvendelse til specifikke formål, herunder nationale sikkerheds- og forsvarsformål. Kravene skal være forenelige med EU-retten, nødvendige og forholdsmæssige.
For en leverandør til forsvaret betyder det, at et produkt kan være omfattet af CRA og samtidig skulle opfylde ekstra krav fra den myndighed, der køber det. Hvilke krav danske myndigheder stiller, er ikke en del af denne artikel.
Oplysninger, der ikke kan deles
Stk. 8 kan blive relevant i en sårbarhedssag. Ville en indberetning eller en meddelelse til brugere afsløre oplysninger, hvis videregivelse strider mod væsentlige sikkerhedsinteresser, omfatter pligterne ikke den meddelelse. Bestemmelsen fritager ikke for selve sårbarhedshåndteringen, og den bør efter vores vurdering bruges med en begrundelse, der kan vises bagefter.
Et tænkt eksempel
Et softwarehus udvikler et system til planlægning af vagter og ressourcer. Systemet sælges til regioner, kommuner og private virksomheder. Forsvaret har bestilt en særudgave, der kan køre på et lukket net, har en anden datamodel for enheder og er tilpasset forsvarets egne procedurer. Udgaven leveres kun til forsvaret, og kontrakten angiver formålet. Efter vores læsning af artikel 2, stk. 7, og FAQ 1.8 er særudgaven undtaget, mens standardsystemet er omfattet. Softwarehuset holder de to udgaver adskilt i versionsregistret og i dokumentationen. Bliver særudgaven senere også solgt til et civilt beredskab, skal vurderingen laves om. Eksemplet er tænkt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at særudgaver til forsvaret holdes adskilt fra standardproduktet i dokumentation og leverancer, og at formålet er skrevet ned. Det kræver også en liste over, hvem der har fået hvilken udgave.
Regnes et dual use-produkt for undtaget, står det uden risikovurdering, dokumentation og sårbarhedshåndtering, når kravene gælder fra 11. december 2027, og uden beredskab til artikel 14, som allerede gælder.
Det skal I lade være med
- At regne et produkt for undtaget, fordi forsvaret er kunde · civile kunder på samme udgave gør den omfattet.
- At kalde en udgave forsvarsspecifik uden reelle ændringer · undtagelsen kræver, at udgaven er udviklet eller ændret til formålet.
- At bruge stk. 8 som generel fritagelse · den dækker kun meddelelse af bestemte oplysninger.
Det skal auditten kunne vise
- ☐ En liste over udgaver, der regnes for undtaget, med formål og kunder.
- ☐ Kontrakter eller ordrer, der angiver forsvars- eller sikkerhedsformålet.
- ☐ En beskrivelse af, hvad der adskiller hver undtaget udgave fra standardproduktet.
- ☐ Begrundelse for hver brug af stk. 8.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 2, stk. 7 og 8, artikel 5, stk. 1, og betragtning 14, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens tjenestegrenes FAQ om CRA, version 1.4, FAQ 1.8, vejledende, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de udgaver op, I sælger til forsvaret, og notér, hvem der ellers har fået dem.
Læs også: Software, der selv er medicinsk udstyr · Software udviklet til én erhvervskunde
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
