Et modul, I også sælger for sig med egen licens eller eget abonnement, er efter Kommissionens vejledning et selvstændigt produkt. Det klassificeres efter sin egen kernefunktion og får sin egen overensstemmelsesprocedure, uanset hvilken klasse hovedproduktet har.
Moduler, der kun leveres som en del af det samlede produkt, klassificeres derimod sammen med produktet. Det er salgsformen, der skiller de to tilfælde.
Reglen i vejledningen
Vejledningen C(2026) 5252 binder ikke, men viser Kommissionens forståelse af reglerne om vigtige og kritiske produkter i forordning (EU) 2024/2847. Punkt 145 siger, at består et produkt af moduler med særskilte funktioner, og gør fabrikanten også modulerne tilgængelige særskilt, er modulerne selvstændige produkter. Vejledningen nævner særskilt køb, licens eller abonnement som eksempler på særskilt tilgængeliggørelse. Hvert modul klassificeres efter sin egen kernefunktion.
Moduler, der alene leveres som dele af det integrerede produkt, klassificeres på produktets niveau.
Vejledningens eksempel
Eksempel 61 handler om en sikkerhedssuite med tre moduler, som også sælges som særskilte abonnementer. Eksemplet er tænkt.
- SIEM-modul · Vigtigt produkt, klasse I
- Modul til indtrængningsdetektering · Vigtigt produkt, klasse II
- Analysemodul · Standardkategorien
Sælges suiten kun samlet, klassificeres den efter sin kernefunktion. Sælges modulerne også hver for sig, har hvert sit forløb.
Hvorfor klassen betyder noget
Klassen bestemmer, hvilke procedurer fabrikanten kan vælge efter artikel 32. Produkter i standardkategorien kan bruge intern kontrol (modul A). Ligger produktet i en af de vigtige klasser, er der færre procedurer at vælge imellem, og et bemyndiget organ kan komme ind i billedet. De nærmere regler for klasserne har deres egen gruppe af artikler, og den første er vigtigt produkt eller ej.
Et modul i klasse II kan altså kræve en anden og tungere vurdering end hovedproduktet. Det kan overraske et softwarehus, hvis hovedprodukt ligger i standardkategorien.
Kernefunktionen skal være ærlig
Efter punkt 144 har hvert produkt én kernefunktion, når det skal klassificeres. Punkt 143 advarer mod at fremstille kernefunktionen misvisende for at undgå ordningen for vigtige produkter. Som eksempel på en misvisende fremstilling nævner vejledningen, at salgsmaterialet, brugsanvisningen og dokumentationen tydeligt siger noget forskelligt.
For moduler betyder det, at beskrivelsen af modulet på produktsiden, i brugsanvisningen og i dokumentationen skal fortælle det samme om, hvad modulet gør.
Når en salgsbeslutning ændrer klassificeringen
Salgsformen er en forretningsbeslutning, og den træffes ofte uden udviklingsholdet. Beslutter salg at udbyde et modul som særskilt abonnement, bliver modulet efter vejledningen et selvstændigt produkt fra den dag. Det er derfor praksis at lade en ændring i prislisten udløse et spørgsmål om klassificering, før modulet sælges.
Det samme gælder den modsatte vej. Holder I op med at sælge et modul særskilt, klassificeres det fremover på produktets niveau, men de versioner, der allerede er solgt for sig, er stadig bragt i omsætning som selvstændige produkter. Det sidste er vores tolkning af reglen om, hvornår software er bragt i omsætning.
Et tænkt eksempel
Et dansk softwarehus sælger et økonomisystem til mellemstore virksomheder. Systemet ligger efter softwarehusets vurdering i standardkategorien. Til systemet hører et modul til fælles login med flerfaktorgodkendelse, som kunderne hidtil har fået med i pakken. Salgsafdelingen vil nu tilbyde login-modulet som et særskilt abonnement, så det også kan bruges sammen med andre systemer. Efter vejledningens punkt 145 bliver modulet dermed et selvstændigt produkt med sin egen kernefunktion. Om en login-funktion med flerfaktorgodkendelse hører til en af klasserne for vigtige produkter, skal derfor vurderes, før det første abonnement sælges. Hvilken klasse modulet ender i, afgøres efter de regler, der er beskrevet i gruppen om vigtige produkter. Eksemplet er tænkt.
Forskel til varianter
Moduler solgt særskilt skal ikke forveksles med varianter. Varianter er udgaver af samme produkt med forskellige komponenter eller funktioner, og de kan efter vejledningens afsnit 7.4 dele risikovurdering og erklæring. Det er beskrevet i udgaver, varianter og produktfamilier. Et modul solgt for sig har sin egen kernefunktion og sin egen klasse.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over de moduler, I sælger særskilt, og en vurdering af hvert moduls kernefunktion. Det kræver også, at salg og produkt taler sammen, når prislisten ændres.
Overses et modul, kan det blive solgt uden den procedure, dets klasse kræver, og det er en mangel, der først kan rettes, når modulet er vurderet korrekt. Kravene gælder fra 11. december 2027.
Det skal I lade være med
- At regne et særskilt solgt modul for en del af hovedproduktets vurdering · det er et selvstændigt produkt efter punkt 145.
- At beskrive modulets funktion forskelligt i salgsmateriale og dokumentation · det kan blive læst som misvisende.
- At ændre salgsformen uden at se på klassificeringen · klassen kan ændre sig med prislisten.
Det skal auditten kunne vise
- ☐ En liste over moduler, der sælges særskilt, med licens- eller abonnementsform.
- ☐ For hvert modul den vurderede kernefunktion og klasse.
- ☐ Den valgte procedure efter artikel 32 for hvert modul.
- ☐ Sammenhæng mellem modulets beskrivelse i salgsmateriale, brugsanvisning og dokumentation.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 32, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens vejledning C(2026) 5252, punkt 143 til 145 og eksempel 61, ikke bindende, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sammenhold prislisten med jeres produktliste, og find de moduler, der også sælges for sig.
Læs også: Udgaver, varianter og produktfamilier · SIEM eller logværktøj?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
