Indstiller et softwarehus driften, så det ikke længere kan opfylde Cyber Resilience Act, skal det underrette markedsovervågningsmyndighederne og brugerne af produkterne, før indstillingen får virkning. Brugerne skal have besked på enhver tilgængelig måde og i videst muligt omfang.
Pligten findes i artikel 13, stk. 23, og har virkning fra 11. december 2027. Stykket er kort, og der findes så vidt vi kan se ingen vejledning fra Kommissionen om det. Derfor holder artiklen sig tæt til ordlyden og siger tydeligt, hvor ordlyden slutter.
Ordlyden
Artikel 13, stk. 23, siger i hovedtræk, at en fabrikant, der indstiller sin drift og derfor ikke vil være i stand til at overholde forordningen, skal underrette to parter, inden indstillingen får virkning:
- de relevante markedsovervågningsmyndigheder
- brugerne af de produkter, der er bragt i omsætning, på enhver tilgængelig måde og i videst muligt omfang
Underretningen handler om den forestående indstilling. Formålet er, at myndighed og brugere ikke står uvidende tilbage med produkter, som ingen længere tager ansvar for.
Tre led, der er værd at læse langsomt
“Indstiller sin drift.” Stykket handler om fabrikanten, der lukker. Det er virksomheden som helhed, der holder op.
“Inden indstillingen får virkning.” Underretningen skal ske før lukningen. Det kræver, at nogen i virksomheden har opgaven, mens der stadig er folk og systemer til at løse den.
“På enhver tilgængelig måde og i videst muligt omfang.” Det er vores læsning, at ordene kræver, at fabrikanten bruger de kanaler, den har, og når så mange brugere som muligt.
Myndighederne står i flertal i lovteksten. Hvilken dansk myndighed der er markedsovervågningsmyndighed for software, behandles i en anden artikel.
Når et enkelt produkt nedlægges
Et softwarehus kan også nedlægge et enkelt produkt og fortsætte med resten. Udløser det samme pligt?
Lovteksten nævner indstilling af driften og ikke nedlæggelse af et produkt. Vi har ikke fundet vejledning, der siger, at stk. 23 også gælder, når et enkelt produkt nedlægges. Det er derfor et åbent spørgsmål, og vi skriver det ikke som en regel.
Det er vores tolkning, at et produkt, som stadig er i sin supportperiode, fortsat er omfattet af de øvrige pligter i artikel 13, selv om det ikke sælges længere, og at slutdatoen, brugerne fik oplyst ved købet efter stk. 19, ikke flytter sig, fordi salget stopper. Spørgsmålet om at nedlægge et produkt hører derfor sammen med supportperioden, og det kan med fordel ses i det lys.
Hvad stykket ikke siger
Stykket siger ikke, hvilket indhold underretningen skal have, hvor længe før lukningen den skal ske, eller hvad der sker med opdateringsarkivet og den tekniske dokumentation bagefter. Vi har ikke fundet vejledning eller svar fra Kommissionen om de spørgsmål i det materiale, vi har gennemgået.
Det, der står nedenfor om forberedelse, er derfor praksis og forslag. Ingen af punkterne er krav i stk. 23.
Forberedelse, mens virksomheden kører
Et softwarehus, der vil kunne opfylde stk. 23, har fordel af at forberede sig, før det bliver aktuelt. Pligten skal opfyldes netop på det tidspunkt, hvor ressourcerne er mindst.
En opgave med en ejer. Det kan stå i beredskabsplanen eller i ledelsens forretningsorden, hvem der sender underretningen, hvis virksomheden lukker. Personen skal have adgang til kanalerne.
Kanaler til brugerne. Hvordan når I brugerne? Det kan være en besked i programmet, en mail til registrerede kunder, en meddelelse på hjemmesiden og en besked gennem de distributører, der har solgt produktet. Jo flere kanaler, I har i forvejen, jo bedre kan I opfylde “i videst muligt omfang”.
Et udkast til beskeden. Et tænkt udkast kunne sige, at virksomheden lukker på en bestemt dato, at der ikke kommer flere sikkerhedsopdateringer, hvilke produkter og versioner det gælder, og hvad brugerne kan gøre, fx planlægge at skifte produkt.
En liste over myndigheder. Hvis produkterne er solgt i flere medlemsstater, kan der være flere relevante myndigheder. En liste over markeder gør det lettere at finde dem.
Sådan ser gennemgangen på punktet
Gennemgangen ser på, om virksomheden har taget stilling til stk. 23. Metoden er praksis. Er opgaven placeret hos en person? Findes der kanaler til brugerne, som kan bruges med kort varsel? Er der et udkast til en besked? For en virksomhed i god drift er punktet lille, men det er nemmere at forberede nu end at opfinde i en krise.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ejer af opgaven, kanaler til brugerne og en liste over de markeder, produkterne er solgt på. Arbejdet er beskedent, når det gøres i god tid.
Sker lukningen uden underretning, står brugerne med software, der ikke længere vedligeholdes, uden at vide det. For myndigheden er det et brud på et klart stykke i forordningen.
Det skal I lade være med
- At gå ud fra, at stk. 23 også dækker nedlæggelse af et produkt · det er et åbent spørgsmål.
- At udskyde planen, til lukningen er besluttet · pligten skal opfyldes, før den får virkning.
- At regne med én kanal til brugerne · stykket siger på enhver tilgængelig måde.
Det skal auditten kunne vise
- ☐ En ejer af underretningen efter artikel 13, stk. 23.
- ☐ Kanaler, der kan nå brugerne af alle produkter i supportperioden.
- ☐ Et udkast til beskeden til brugere og myndigheder.
- ☐ En liste over de markeder, produkterne er bragt i omsætning på.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 13, stk. 19 og 23, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvem der skal sende underretningen, og gennem hvilke kanaler I i dag kan nå alle brugere af jeres produkter.
Læs også: Supportperioden og begrundelsen · Hvem ejer CRA i en produktvirksomhed?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
