Når markedsovervågningen kommer til et softwarehus, handler det om produktet og processen bag det. Forordningen giver myndigheden adgang til data om design, udvikling og sårbarhedshåndtering, og et dansk lovudkast foreslår beføjelser, der rækker ind i udviklings- og testmiljøer og fysiske lokaler.
Beføjelserne gælder fra 11. december 2027. Den danske del er et høringsudkast fra 5. oktober 2026, som ikke var fremsat 13. november 2026. Paragrafferne kan altså ændre sig.
Det, forordningen selv giver adgang til
Forordningens udgangspunkt er fabrikantens pligt. Beder myndigheden begrundet om det, udleverer fabrikanten de oplysninger og den dokumentation, som viser, at produktet og processerne lever op til bilag I (artikel 13, stk. 22).
Artikel 53 går et skridt videre. Efter en begrundet anmodning får myndighederne adgang til de data, de behøver for at bedømme, hvordan produktet er designet, udviklet og produceret, og hvordan sårbarheder håndteres. Bestemmelsen nævner udtrykkeligt den relevante interne dokumentation. Efter artikel 52, stk. 1, gælder markedsovervågningsforordningen (EU) 2019/1020 også for produkter med digitale elementer.
Det er altså mere end den tekniske dokumentation efter bilag VII. Interne noter, beslutninger og sårbarhedsregistre kan blive relevante.
Hvad udkastet foreslår
Det danske udkast lægger tre beføjelser oven på forordningen.
- § 7 · Beføjelse: Myndigheden kan afkræve alle oplysninger, der er nødvendige for dens virksomhed · Bemærkning: Bred hjemmel til at stille spørgsmål
- § 8, stk. 1 · Beføjelse: Udtagning af ethvert omfattet produkt, “herunder ved brug af skjult identitet” · Bemærkning: Fx køb af en licens uden at sige, hvem køberen er (tænkt eksempel)
- § 8, stk. 2 · Beføjelse: Krav om, at produktet stilles til rådighed, og hvis relevant adgang til “produktrelaterede udviklings-, test-, produktions- eller driftsmiljøer, som fabrikanten råder over” · Bemærkning: Rækker ind i jeres egne miljøer
- § 8, stk. 3-4 · Beføjelse: Tekniske undersøgelser og faglig bistand; omkostninger kan kræves refunderet, hvis der træffes afgørelse om manglende overensstemmelse
- § 9, stk. 1 · Beføjelse: Adgang til erhvervsmæssige lokaliteter “mod behørig legitimation og uden retskendelse”, hvor produkt, oplysninger, dokumentation, systemer eller data findes · Bemærkning: Gælder lokaler
- § 9, stk. 2 · Beføjelse: Fotografering og video, “herunder skærmbilleder og skærmoptagelser”
Læg mærke til, hvad der hører til hvad. Skjult identitet gælder udtagning af produkter efter § 8. Adgang uden retskendelse gælder lokaliteter efter § 9.
Grænserne i bemærkningerne
Bemærkningerne til § 9 siger, at adgang til lokaliteter kun bør bruges, når mindre indgribende metoder ikke er nok. De nævner dokumentation, udtagning og fjernadgang som mindre indgribende. Retssikkerhedsloven gælder, herunder § 10 om retten til ikke at inkriminere sig selv.
Det er udkastets bemærkninger, og de er ikke vedtaget. Hvordan de vil blive brugt i praksis, kan ingen sige endnu. Der findes ingen dansk tilsynspraksis på området.
Hvad med kildekoden?
Hverken artikel 53 eller udkastets §§ 7-9 nævner kildekode med ordet. At “data” og “den relevante interne dokumentation” i artikel 53 eller “udviklingsmiljøer” i § 8 kan omfatte kildekode, er en tolkning. Vi markerer det som tolkning, fordi teksten ikke siger det direkte.
Forordningen nævner til gengæld kildekode et andet sted. Artikel 63, stk. 1, litra a, pålægger alle, der er involveret i anvendelsen af forordningen, tavshedspligt og nævner kildekode blandt de forretningshemmeligheder, der skal beskyttes. Hvad det betyder for det, I udleverer, står i hvad der sker med det, I udleverer.
Kan svarene findes?
Et tilsyn tester i praksis, om virksomheden kan finde sine egne svar. En gennemgang kan afprøve det ved at stille de spørgsmål, en myndighed kunne stille, og se, hvor lang tid det tager at finde beviset. Det er en metode, som hverken forordningen eller udkastet kræver.
Tænkte eksempler på spørgsmål:
- (Hvilke versioner af produktet er gjort tilgængelige siden december 2027, og hvilken risikovurdering hører til hver?)
- (Hvilke kendte sårbarheder i komponenterne er registreret, og hvad blev der besluttet om hver?)
- (Hvem kan give adgang til testmiljøet for en bestemt version, og hvordan logges adgangen?)
- (Hvor ligger den interne beslutning om supportperiodens længde?)
Den almene metode til at planlægge og gennemføre en audit, der også kan bruges som generalprøve, er beskrevet under sikkerhedsaudit som metode. Her er fokus det, der er særligt for et produkt.
Adgang til miljøerne i praksis
Kravet om adgang til udviklings-, test-, produktions- eller driftsmiljøer gælder efter udkastet de miljøer, “som fabrikanten råder over”. Har I lagt byggekæden eller testmiljøet hos en underleverandør, er det et spørgsmål, hvordan I selv kan give adgang. Det er tolkning, om udkastet også rækker ind hos underleverandører; teksten taler om miljøer, fabrikanten råder over.
En gennemgang kan derfor se på, om I ved, hvor miljøerne ligger, hvem der har nøglerne, og om en midlertidig adgang for en myndighed kan gives uden at åbne for mere end nødvendigt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at dokumentation, beslutninger og registre ligger, så de kan findes pr. produkt og version. Det kræver også en aftale om, hvem der tager imod en henvendelse, og hvem der giver adgang til miljøerne.
Lader I være, står I med et tilsyn, hvor svarene skal samles under tidspres. Udkastet giver efter § 8, stk. 4, mulighed for at kræve kontrolomkostninger refunderet, hvis der træffes afgørelse om manglende overensstemmelse.
Det skal I lade være med
- At tro, at tilsynet kun læser den tekniske dokumentation · artikel 53 nævner også den interne dokumentation.
- At blande beføjelserne sammen · skjult identitet gælder udtagning, adgang uden retskendelse gælder lokaler.
- At skrive, at loven giver adgang til kildekoden · det står ikke med det ord, og udkastet er ikke vedtaget.
Det skal auditten kunne vise
- ☐ En kontaktperson for markedsovervågningen og en stedfortræder.
- ☐ Et overblik over, hvor udviklings-, test- og driftsmiljøer for hvert produkt ligger, og hvem der kan give adgang.
- ☐ Dokumentation og interne beslutninger, der kan findes pr. produkt og version.
- ☐ En afprøvning af, hvor hurtigt svar på typiske spørgsmål kan findes.
Kilder
- Forordning (EU) 2024/2847, artikel 13, stk. 22, 52, stk. 1, 53 og 63, læst 13. november 2026.
- Ministeriet for Samfundssikkerhed og Beredskab, udkast til lov om supplerende bestemmelser til forordningen om cyberrobusthed, høringsversion 5. oktober 2026, §§ 7-9, 18 og bemærkningerne til § 9, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Stil fire spørgsmål, som en myndighed kunne stille om jeres vigtigste produkt, og mål, hvor længe det tager at finde svarene.
Læs også: Formelle mangler · Den tekniske dokumentation efter bilag VII
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
