Software, brugerne ikke betaler for, kan stadig være gjort tilgængelig som led i erhvervsvirksomhed efter Cyber Resilience Act. Tjener I penge på andre tjenester, kræver I personoplysninger til andre formål end sikkerhed som betingelse for brug, eller fungerer donationer i praksis som en pris, er produktet efter forordningen og Kommissionens vejledning bragt i omsætning.
Svaret ligger i forretningsmodellen, og den bør kunne vises på papir.
Lovens ord
I forordning (EU) 2024/2847 bestemmer artikel 3, nr. 22, hvornår et produkt er gjort tilgængeligt: når det leveres til distribution eller brug i EU i erhvervsøjemed, og det gælder, hvad enten der betales eller ej. At betaling ikke er en betingelse, står altså i selve definitionen. Et produkt uden licensbetaling er derfor ikke undtaget af den grund.
Betragtning 15 nævner fem kendetegn, der kan pege på levering som led i erhvervsvirksomhed.
- En pris for produktet · Betaler nogen for selve programmet?
- En pris for teknisk support, der ikke kun dækker de reelle omkostninger · Tjener I på supporten?
- Et formål om at tjene penge, fx via andre tjenester · Er programmet en indgang til noget, I tager betaling for?
- Adgang mod personoplysninger, der også tjener andre formål end sikkerhed, kompatibilitet og interoperabilitet · Skal brugeren afgive data, I bruger kommercielt?
- Donationer, der overstiger omkostningerne ved design, udvikling og levering · Er donationerne reelt en betaling?
Donationer uden gevinst for øje er efter samme betragtning ikke erhvervsvirksomhed.
Det, der ikke tæller
Betragtning 16 holder to tilfælde uden for. Produkter, der leveres som led i en tjeneste mod et gebyr, der kun dækker de faktiske driftsomkostninger, er ikke i sig selv erhvervsvirksomhed. Og offentlige forvaltningsenheder, der udvikler software alene til eget brug, gør den ikke tilgængelig på markedet.
Vejledningens eksempler
Kommissionens vejledning C(2026) 5252 er ikke bindende, og dens eksempler er tænkte. Tre af dem er skrevet om open source, men bygger på betragtning 15 og rammer også almindelige apps (punkt 41 og 54).
- En markedspladsapp uden betaling, der tjener penge på annoncer, kommission eller abonnementer, er bragt i omsætning (eksempel 14).
- En VPN-tjeneste uden betaling, der tager betaling for ekstra servere eller faste IP-adresser, er bragt i omsætning (eksempel 15).
- En træningsapp uden betaling, der kræver personoplysninger til målrettet annoncering eller analyse som betingelse for brug, er bragt i omsætning (eksempel 16).
Vejledningens fodnote 11 tilføjer med henvisning til direktiv 2019/770, at personoplysninger ikke kan betragtes som en vare. Det ændrer ikke på, at et krav om data som betingelse for brug kan gøre leveringen erhvervsmæssig efter betragtning 15.
Freemium
Freemium er en model, hvor grundudgaven er uden betaling, og ekstra funktioner koster. Eksempel 15 om VPN-tjenesten ligner den model. Efter vores læsning af vejledningen peger betalingen for ekstra funktioner på et formål om at tjene penge på produktet, og så er også grundudgaven leveret som led i erhvervsvirksomhed. Det er en tolkning, og vurderingen er konkret.
Vejledningen henviser i punkt 40 til Blue Guide, afsnit 2.2. Erhvervsvirksomhed vurderes ud fra bl.a. hvor regelmæssigt der leveres, produktets karakteristika og leverandørens hensigter. En enkelt faktor afgør sjældent spørgsmålet alene.
Sådan dokumenteres modellen
Ingen regel kræver en særskilt redegørelse for forretningsmodellen. Det er praksis at skrive den ned, fordi den er beviset for, om produktet er omfattet. En kort beskrivelse kan svare på disse spørgsmål.
- Hvordan tjener virksomheden penge, direkte eller indirekte, på produktet?
- Hvilke personoplysninger kræves for at bruge det, og til hvad bruges de?
- Hvad dækker eventuelle donationer eller supportbetalinger?
- Hvem har vurderet modellen, og hvornår?
Ændres modellen, fx ved at der indføres annoncer eller en betalt udgave, bør beskrivelsen og vurderingen ses igen. Fra den dag kan produktet være bragt i omsætning, og kravene i forordningen gælder for versioner bragt i omsætning fra 11. december 2027.
Et tænkt eksempel
Et lille softwarehus udgiver et program til at planlægge vagter. Programmet kan hentes uden betaling og bruges af små teams. Større kunder køber en udgave med integration til løn. Softwarehuset har hidtil set grundudgaven som markedsføring og derfor uden for alle produktregler. Efter betragtning 15 og vejledningens eksempel 15 er der grund til at vurdere grundudgaven som leveret i erhvervsøjemed, fordi den er indgangen til den betalte udgave. Softwarehuset skriver vurderingen ned og tager begge udgaver med i risikovurderingen. Eksemplet er tænkt, og en anden model kunne give et andet svar.
Hvad det kræver, og hvad det koster at lade være
Det kræver et ærligt svar på, hvordan produktet tjener penge, også når svaret er indirekte. Det kræver også, at nogen kigger på, hvilke data appen indsamler, og om de er en betingelse for brug.
Går I ud fra, at et produkt uden betaling er uden for forordningen, kan I stå med et produkt, der har været omfattet hele tiden, men uden risikovurdering, dokumentation og sårbarhedshåndtering.
Det skal I lade være med
- At regne prisen nul for et bevis på, at produktet er uden for · definitionen siger mod eller uden vederlag.
- At overse dataindsamling som betingelse for brug · betragtning 15 nævner den direkte.
- At glemme at vurdere igen, når modellen ændres · en ny betalt funktion kan ændre svaret.
Det skal auditten kunne vise
- ☐ En beskrivelse af forretningsmodellen for hvert produkt uden licensbetaling.
- ☐ En oversigt over personoplysninger, der kræves for at bruge produktet, og deres formål.
- ☐ Konklusionen om, hvorvidt produktet er omfattet, støttet på artikel 3, nr. 22, og betragtning 15 og 16.
- ☐ Dato for seneste vurdering og for seneste ændring af modellen.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 3, nr. 22, og betragtning 15 og 16, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens vejledning C(2026) 5252, punkt 40, 41 og 54, eksempel 14 til 16 og fodnote 11, ikke bindende, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv for hvert produkt uden licensbetaling ned, hvordan det hænger sammen med jeres indtjening.
Læs også: Hvornår er softwaren bragt i omsætning? · Community-udgave og betalt udgave
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
