Det tilsigtede formål for jeres software står flere steder end i den tekniske dokumentation. Forordningen lader brugsanvisning, salgsmateriale og teknisk dokumentation definere formålet sammen, så en gennemgang lægger de tre ved siden af hinanden og kontrollerer, at de siger det samme.
Det betyder noget, fordi både risikovurderingen og produktets klasse hviler på formålet. Er produktsiden bredere end dokumentationen, er risikovurderingen lavet til et andet produkt end det, kunderne køber. Kravene gælder fra 11. december 2027.
Tre begreber fra artikel 3
Forordning (EU) 2024/2847 definerer tre begreber, som hænger sammen.
Tilsigtet formål er den anvendelse, produktet er bestemt til ifølge fabrikanten, herunder den specifikke sammenhæng og de betingelser, der fremgår af brugsanvisningerne, reklame- eller salgsmaterialet og -erklæringerne samt den tekniske dokumentation (artikel 3, nr. 23).
Anvendelse, der med rimelighed kan forudses, er brug, som ikke nødvendigvis er det angivne formål, men som kan forventes på grund af menneskelig adfærd eller tekniske operationer og interaktioner (nr. 24).
Fejlanvendelse, der med rimelighed kan forudses, er brug i strid med formålet, som kan skyldes menneskelig adfærd eller samspil med andre systemer (nr. 25).
Alle tre indgår i risikovurderingen efter artikel 13, stk. 3. Formålet skal også stå i den tekniske dokumentation (bilag VII, nr. 1, litra a), og brugeroplysningerne skal angive formålet, sikkerhedsmiljøet og produktets væsentlige funktioner (bilag II, nr. 4).
Hvorfor tre dokumenter
Definitionen i nr. 23 nævner selv de tre kilder. Det, der står på produktsiden, i en brochure eller i et tilbud, er derfor en del af formålet. Et softwarehus kan ikke afgrænse formålet i den tekniske dokumentation og samtidig markedsføre produktet til mere.
Kommissionens vejledning C(2026) 5252 bruger samme logik ved klassificering. Kernefunktionen vurderes objektivt ud fra produktets tekniske egenskaber, ikke ud fra markedsføringen, og klare uoverensstemmelser mellem salgsmateriale, brugsanvisning og teknisk dokumentation nævnes som eksempel på misvisende fremstilling (punkt 142-143). Vejledningen er ikke bindende, men den viser, hvordan Kommissionen vil læse en uoverensstemmelse.
Det, en gennemgang sammenholder
At lægge de tre dokumenter side om side er vores kontrolpunkt. Det bæres af definitionen i artikel 3, nr. 23, og af vejledningens punkt 143. Spørgsmålene kan se sådan ud:
- Hvilke brugere nævner hvert dokument? Står der professionelle i dokumentationen, mens produktsiden henvender sig til alle?
- Hvilke miljøer nævnes? Lukkede net i dokumentationen og “overalt” i salgsmaterialet?
- Hvilke funktioner nævnes? Har salgsmaterialet funktioner, risikovurderingen ikke omtaler?
- Hvilke integrationer nævnes? Lover produktsiden forbindelse til systemer, som dokumentationen ikke beskriver?
Hvert svar, der ikke passer, er et spørgsmål til risikovurderingen. Enten skal salgsmaterialet rettes, eller vurderingen skal udvides.
Forudsigelig brug og integration
Kommissionens tjenestegrenes FAQ 4.1.4 beder fabrikanten se ud over den tilsigtede brug og sætte sig i den gennemsnitlige brugers sted. Et værktøj til professionelle kan også blive brugt af andre. Komponentfabrikanter bør overveje, hvordan deres komponent integreres hos andre, og oplyse om forudsætningerne for sikker installation og brug (artikel 13, stk. 18).
FAQ’en nævner et eksempel, der passer på mange programmer. Tillader designet, at brugeren slår sikkerhedsfunktioner fra af hensyn til ældre systemer, skal risikoen ved det med i vurderingen, behandles og oplyses.
For en komponent betyder det, at integrationsscenarier hører med i formålet. Tænkt eksempel: et SDK til betalingsflader markedsføres til webshops, men dokumentationen nævner kun integration i apps. Så mangler et scenarie i vurderingen.
Når formålet flytter sig
Formålet er ikke fast for altid. Sælges produktet til en ny kundegruppe eller et nyt miljø, kan formålet ændre sig, uden at en linje kode er ændret. Forordningen tager højde for det. En ændring af det tilsigtede formål, som produktet er vurderet for, er efter artikel 3, nr. 30, en væsentlig ændring.
Det betyder, at en ny salgsstrategi kan have samme følger som en ny version. Risikovurderingen skal tage stilling til det nye formål, og klassificeringen skal prøves igen, fordi kernefunktionen vurderes ud fra produktets egenskaber og det, det bruges til. Ved en væsentlig ændring kan der også være behov for en ny overensstemmelsesvurdering.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at salgsmateriale og produktsider får samme gennemgang som brugeroplysningerne, når et produkt ændres. Marketing har ikke nødvendigvis grund til at kende risikovurderingen, så koblingen må bygges bevidst.
Uden den kan en ny kampagne udvide formålet, uden at nogen opdager det. Så hviler risikovurderingen, supportperioden og klassificeringen på et formål, der ikke længere er produktets.
Det skal I lade være med
- At skrive formålet snævert i dokumentationen og bredt på produktsiden · begge dele indgår i formålet.
- At overse funktioner, der kan slås fra · forudsigelig brug omfatter, at nogen gør det.
- At glemme integrationsscenarier for komponenter · de er en del af den forudsigelige brug.
Det skal auditten kunne vise
- ☐ Formålet, som det står i teknisk dokumentation, brugeroplysninger og salgsmateriale.
- ☐ En dateret sammenligning af de tre med de uoverensstemmelser, der er fundet.
- ☐ En risikovurdering, der omfatter forudsigelig brug og forudsigelig fejlanvendelse.
- ☐ En arbejdsgang, der sender nyt salgsmateriale forbi den, der ejer risikovurderingen.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 3, nr. 23-25, artikel 13, stk. 3 og 18, bilag II, nr. 4, og bilag VII, nr. 1, læst 13. november 2026.
- Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4, afsnit 4.1.4, læst 13. november 2026.
- Europa-Kommissionen, C(2026) 5252, vejledning om anvendelsen af forordningen, punkt 142-143, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Print produktsiden og afsnittet om formål i den tekniske dokumentation, og markér hver forskel.
Læs også: Cybersikkerhedsrisikovurderingen for et softwareprodukt · Tillægsmoduler solgt særskilt
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
