Produkter, som forordningerne om medicinsk udstyr og in vitro-diagnostisk udstyr finder anvendelse på, er undtaget fra Cyber Resilience Act efter artikel 2, stk. 2. Software omkring udstyret, som ikke selv er medicinsk udstyr, er efter vores læsning omfattet af CRA på almindelig vis, men det er en tolkning, som ingen kilde siger direkte.
For et softwarehus med både sundhedsprodukter og andre produkter betyder det, at afgrænsningen skal laves produkt for produkt.
Undtagelsen
Artikel 2, stk. 2, i forordning (EU) 2024/2847 siger, at forordningen ikke finder anvendelse på produkter med digitale elementer, som tre andre forordninger finder anvendelse på.
- (EU) 2017/745 · Medicinsk udstyr
- (EU) 2017/746 · Medicinsk udstyr til in vitro-diagnostik
- (EU) 2019/2144 · Typegodkendelse af motorkøretøjer
Betragtning 25 begrunder undtagelsen for medicinsk udstyr. De to forordninger fastsætter selv væsentlige krav til udstyr, der fungerer via et elektronisk system, eller som selv er software. Produkter, som en af dem finder anvendelse på, bør derfor ikke også være omfattet af CRA.
Kommissionens tjenestegrenes FAQ (1.9, vejledende) gentager undtagelserne og nævner også luftfart (forordning (EU) 2018/1139), skibsudstyr (direktiv 2014/90/EU) og to- og trehjulede køretøjer (delegeret forordning (EU) 2025/1535).
Hvornår er software medicinsk udstyr
Det spørgsmål afgøres efter forordningen om medicinsk udstyr, ikke efter CRA. Den forordning er ikke gennemgået her, og artiklen tager ikke stilling til, hvornår et bestemt program er medicinsk udstyr. Det er en vurdering, der hører til den regulatoriske afdeling eller rådgivere med kendskab til medicinsk udstyr.
Det, CRA-gennemgangen kan bruge, er resultatet af den vurdering. Har et program en klassificering som medicinsk udstyr, er det undtaget fra CRA. Har det ikke, er det udgangspunktet, at CRA kan gælde.
Softwaren omkring udstyret
Et softwarehus i sundhedssektoren kan lave mere end det regulerede udstyr, fx et administrationsmodul, et faktureringsprogram, en app til at booke tider eller et værktøj til at styre brugere. Undtagelsen dækker efter ordlyden kun produkter, som forordningerne om medicinsk udstyr finder anvendelse på.
Vores læsning er derfor, at et program, der ikke selv er medicinsk udstyr, ikke er undtaget, blot fordi det bruges sammen med medicinsk udstyr eller sælges til hospitaler. Det skal så prøves efter CRA’s almindelige regler, som beskrevet i prøven pr. produkt. Det er en tolkning af ordlyden i artikel 2, stk. 2, og ingen læst kilde siger det direkte.
Et softwarehus med begge slags produkter
For et softwarehus med både undtagne og omfattede produkter er det praksis at lave en liste med en linje pr. produkt. Felterne er vores forslag, og indholdet i parentes er tænkt.
- (Program til tolkning af målinger) · Klassificering efter forordningen om medicinsk udstyr: (Medicinsk udstyr efter producentens vurdering) · Konsekvens for CRA: (Undtaget efter artikel 2, stk. 2)
- (Bookingapp til klinikker) · Klassificering efter forordningen om medicinsk udstyr: (Ikke medicinsk udstyr) · Konsekvens for CRA: (Prøves efter artikel 2, stk. 1)
Listen gør det muligt at vise, at undtagelsen kun bruges, hvor den passer. Den gør det også tydeligt, hvilke produkter der skal have risikovurdering, dokumentation og sårbarhedshåndtering efter CRA fra 11. december 2027, og hvilke der skal kunne indberette efter artikel 14, som har virket siden september 2026.
Undtagelsen gælder hele produktet
Er et program omfattet af forordningen om medicinsk udstyr, er det efter artikel 2, stk. 2, undtaget som produkt. Det fritager ikke softwarehuset for cybersikkerhed. Betragtning 25 bygger netop på, at reglerne om medicinsk udstyr selv stiller væsentlige krav til udstyr, der er software eller fungerer via et elektronisk system. Kravene til sikkerheden i et sådant program skal derfor findes i det regelsæt, og de er ikke gennemgået her. For et softwarehus betyder det i praksis to spor med hver sin dokumentation. Det ene følger forordningen om medicinsk udstyr, og det andet følger CRA for de øvrige produkter.
Når produkterne deler kode
Undtagne og omfattede produkter deler ofte komponenter, fx et fælles login eller en fælles backend. Ingen kilde siger, hvordan fælles kode behandles på tværs af en undtagelse. Efter vores læsning skal den del, der indgår i et omfattet produkt, med i det produkts risikovurdering, uanset at samme kode også bruges i et undtaget produkt. Hører en fælles backend til det omfattede produkts funktioner, kan den være fjerndatabehandling for det, som beskrevet i artiklen om fjerndatabehandling.
Hvad det kræver, og hvad det koster at lade være
Det kræver en klar klassificering af hvert produkt efter forordningen om medicinsk udstyr og en liste, der viser konsekvensen for CRA. Klassificeringen findes ofte allerede for det regulerede udstyr. Det, der mangler, er typisk de øvrige produkter.
Bruges undtagelsen for bredt, står produkter, der burde være omfattet, uden den dokumentation, CRA kræver.
Det skal I lade være med
- At regne alt, der sælges til sundhedssektoren, for undtaget · undtagelsen gælder produkter, forordningerne om medicinsk udstyr finder anvendelse på.
- At lade CRA-gennemgangen afgøre, om noget er medicinsk udstyr · det afgøres efter den anden forordning.
- At glemme fælles komponenter · de skal med i det omfattede produkts vurdering.
Det skal auditten kunne vise
- ☐ En liste over produkter med deres klassificering efter forordningen om medicinsk udstyr.
- ☐ For hvert produkt, om det er undtaget eller prøvet efter CRA.
- ☐ En beskrivelse af kode og tjenester, der deles på tværs af undtagne og omfattede produkter.
- ☐ Den markerede tolkning for software omkring udstyret.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 2, stk. 2, og betragtning 25, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens tjenestegrenes FAQ om CRA, version 1.4, FAQ 1.9, vejledende, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over jeres produkter, og notér for hver, om den er klassificeret som medicinsk udstyr.
Læs også: Software til forsvar og national sikkerhed · Leveret til brugeren og kørt hos brugeren
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
