Udvikler I software til én bestemt erhvervskunde og leverer den i erhvervsøjemed, gælder Cyber Resilience Act for den som for ethvert andet produkt. Kun to krav i bilag I kan fraviges ved aftale med kunden, og at produktet virkelig er lavet til den ene kunde, skal kunne dokumenteres.
Mange softwarehuse går ud fra, at specialudvikling falder uden for produktregler. Den antagelse holder ikke efter forordning (EU) 2024/2847, og kravene gælder fra 11. december 2027.
Én kunde er nok
Artikel 3, nr. 22, definerer det at gøre et produkt tilgængeligt på markedet som levering med henblik på distribution eller anvendelse på EU-markedet i erhvervsøjemed, hvad enten der betales eller ej. Antallet af kunder indgår ikke. Leverer I software til én kunde mod betaling, er den gjort tilgængelig.
Undtagelsen for egen brug gælder kun egen brug. Kommissionens tjenestegrenes FAQ (1.5, vejledende) undtager de værktøjer, en fabrikant laver til internt brug. Det, I udvikler til en kunde, er ikke jeres eget værktøj.
De to krav, der kan aftales fra
Bilag I åbner to steder for, at parterne ved et skræddersyet produkt kan blive enige om en anden ordning.
- Sikker standardkonfiguration · Hvor det står: Bilag I, del I, nr. 2, litra b · Hvad der kan aftales: Fx at produktet leveres med en konfiguration, kunden selv fastlægger
- Sikkerhedsopdateringer uden betaling · Hvor det står: Bilag I, del II, nr. 8 · Hvad der kan aftales: At opdateringer leveres efter en anden aftale end vederlagsfrit
Ordlyden er i begge tilfælde, at kravet gælder, medmindre andet er aftalt mellem fabrikanten og erhvervsbrugeren i forbindelse med et skræddersyet produkt med digitale elementer. Alle andre krav gælder uændret. Risikovurderingen, egenskabskravene og resten af sårbarhedshåndteringen kan ikke aftales væk.
Eksemplerne i tabellens højre kolonne er tænkte. Forordningen siger kun, at kravene kan fraviges, ikke hvad aftalen skal indeholde.
Hvornår er et produkt skræddersyet
Betragtning 64 siger, at fabrikanter kun bør kunne afvige ved produkter, der er udformet til et bestemt formål for en bestemt erhvervsbruger, og hvor begge parter udtrykkeligt har aftalt andre kontraktvilkår.
FAQ 4.2.5 giver eksempler i begge retninger. Specialudviklet software til en bestemt erhvervsbruger er skræddersyet. Det er produkter til en bestemt kundes stærkt kontrollerede miljø, fx lukkede net uden forbindelse udadtil, med særlige kontraktvilkår, også. Produkter med mindre tilpasninger uden særlige vilkår er ikke skræddersyede. FAQ’en nævner en CRM-platform, der sælges til mange virksomheder, og platforme, der tilpasses med plugins eller API’er, men grundlæggende er det samme produkt for alle.
Standardsystemet med tilpasninger
Det sidste eksempel rammer mange danske softwarehuse. Sælger I et standardsystem, som hver kunde får tilpasset med egne moduler, rapporter eller integrationer, er det efter FAQ’en grundlæggende samme produkt. I kan så ikke bruge undtagelserne for skræddersyede produkter, selv om kunden har betalt for tilpasningen.
Grænsen mellem en tilpasning og en specialudvikling er ikke fastlagt i forordningen. Afgørelsen beror på, om produktet som helhed er udformet til den ene kunde, og det er en konkret vurdering.
Beviset i dokumentationen
FAQ 4.2.5 siger, at den tekniske dokumentation skal indeholde passende bevis for, at produktet er skræddersyet. Hvad passende betyder, er ikke beskrevet. Det er praksis at lade beviset bestå af tre dele.
- Kontraktens beskrivelse af produktet og formålet hos den ene kunde.
- Den aftalte fravigelse, ordret, med henvisning til bilag I.
- En kort begrundelse for, at produktet ikke er en variant af et standardsystem.
Det tredje punkt er som regel det sværeste at underbygge. Bygger løsningen på en fælles kodebase, I også bruger til andre kunder, bør begrundelsen forklare, hvad der er særligt.
Når kunden auditerer jer
En erhvervskunde, der har fået software udviklet, vil ofte selv kontrollere softwarehuset. Kundens side af den sag hører til leverandøraudit. Her er spørgsmålet, hvad softwarehuset selv er forpligtet til, og hvad aftalen kan ændre. Svaret er, at aftalen kun kan ændre de to krav.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at aftalen med kunden nævner fravigelserne udtrykkeligt, hvis de skal bruges, og at nogen kan forklare, hvorfor produktet er skræddersyet. Det kræver også, at alle andre krav behandles, som for ethvert andet produkt.
Uden udtrykkelig aftale gælder begge krav fuldt ud. Og uden bevis for skræddersyningen kan en fravigelse vise sig ikke at holde, når en myndighed læser dokumentationen.
Det skal I lade være med
- At regne specialudvikling for uden for forordningen · én kunde er nok til, at produktet er gjort tilgængeligt.
- At aftale andre krav væk end de to i bilag I · resten gælder uanset aftalen.
- At kalde et tilpasset standardsystem skræddersyet · FAQ 4.2.5 behandler det som samme produkt.
Det skal auditten kunne vise
- ☐ En liste over produkter, der er udviklet til én erhvervskunde.
- ☐ For hver fravigelse den ordrette aftaletekst med henvisning til bilag I.
- ☐ En begrundelse for, at produktet er skræddersyet, i den tekniske dokumentation.
- ☐ Behandling af alle øvrige krav i bilag I på linje med andre produkter.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 3, nr. 22, betragtning 64 og bilag I, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens tjenestegrenes FAQ om CRA, version 1.4, FAQ 1.5 og 4.2.5, vejledende, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gå jeres kundeaftaler igennem, og find de produkter, hvor en fravigelse er aftalt eller burde være det.
Læs også: Kildekode leveret til kunden · Udgaver, varianter og produktfamilier
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
