Indkøbte cloudtjenester, som jeres produkt bygger på, regnes efter Kommissionens vejledning som tredjepartskomponenter, når de ikke er udviklet efter jeres design. I skal identificere og afbøde risiciene i produktet og udvise omhu ved valget af udbyder, og den software, I selv kører på udbyderens infrastruktur, kan stadig være jeres egen fjerndatabehandling.
Emnet står i vejledningens punkt 198 til 208. Vejledningen er ikke bindende, så alt nedenfor er Kommissionens læsning af forordning (EU) 2024/2847, og den gælder fra 11. december 2027.
Tre slags tjenester, tre svar
Punkt 198 til 200 i Kommissionens vejledning C(2026) 5252 skelner mellem de tre klassiske cloudmodeller.
- Infrastruktur som tjeneste (IaaS) · Hvad der kan være jeres fjerndatabehandling: Den software, I selv kører på infrastrukturen · Hvad der er tredjepartens: Hypervisoren og den underliggende drift
- Platform som tjeneste (PaaS) · Hvad der kan være jeres fjerndatabehandling: Den applikation, I deployerer · Hvad der er tredjepartens: Styresystemet og platformens tjenester
- Software som tjeneste (SaaS) fra en tredjepart · Hvad der kan være jeres fjerndatabehandling: Intet, når tjenesten ikke er lavet efter jeres design · Hvad der er tredjepartens: Hele applikationen
Det, der ikke er jeres fjerndatabehandling, forsvinder ikke ud af billedet. Punkt 201 og 202 siger, at elementer, der er integreret på en måde, som påvirker sikkerheden, behandles som tredjepartskomponenter.
Hvad behandling som komponent indebærer
Efter vejledningens punkt 201 og 202 skal risiciene fra tjenesten identificeres og afbødes i produktet. Det kan ske med udbyderens egne sikkerhedsfunktioner efter modellen for delt ansvar. Samtidig skal fabrikanten forholdsmæssigt udvise den omhu, artikel 13, stk. 5, kræver, når komponenter fra tredjeparter integreres.
For et softwarehus betyder det i praksis, at valget af udbyder skal kunne forklares ud fra produktets risici, og at de funktioner hos udbyderen, produktet regner med, skal være slået til og beskrevet. Hvordan et produkt beskytter sig mod svigt i en tjeneste, det er afhængigt af, uddybes i afhængigheder uden for produktet.
Det bevis, der kan genbruges
Punkt 207 nævner fire slags bevis, fabrikanten kan bygge på, når udbyderen skal vurderes. Listen er ikke udtømmende, og rækkefølgen er vejledningens.
- Opfyldelse af gennemførelsesforordning (EU) 2024/2690.
- Opfyldelse af DORA, forordning (EU) 2022/2554.
- En overensstemmelseserklæring eller et certifikat efter en europæisk cybersikkerhedscertificeringsordning.
- Overensstemmelse med ISO/IEC 27017:2015 eller ISO/IEC 27001:2022.
Ingen af beviserne er rangeret, og intet af dem er et krav. De er eksempler på materiale, der kan vise, at udbyderen er valgt med omhu. Hvordan en kunde læser den slags erklæringer og certifikater fra sin leverandør, er et emne for leverandøraudit.
Aftalen med udbyderen
Punkt 208 nævner, at sikkerhedsgarantier, også om udbyderens egen sårbarhedshåndtering, kan indbygges i serviceniveauaftaler. Vejledningen bruger ordet kan, og forordningen indeholder ingen pligt til en sådan aftale.
Samme punkt opfordrer fabrikanten til at sikre sig at blive informeret om ændringer hos udbyderen. På den baggrund kan fabrikanten skulle revidere risikovurderingen, ændre kontroller eller skifte udbyder. Også her er det vejledningens ord, at fabrikanten opfordres, og det bør ikke skrives som et krav.
En ændring hos udbyderen er ikke en væsentlig ændring
En større ændring hos en tredjepartsudbyder er efter punkt 208 ikke en væsentlig ændring af jeres produkt, fordi den ikke er under jeres ansvar. Sondringen betyder noget, for en væsentlig ændring kan føre til, at produktet skal vurderes igen.
Ændringen kan til gengæld udløse en ny risikovurdering. En ny version af en tjeneste, som produktet hviler på, er en oplagt anledning til den ajourføring, artikel 13, stk. 3, forudsætter. Den daglige drift af tjenesterne, fx konfiguration og adgange, er et emne for en teknisk gennemgang.
Et tænkt eksempel
Et softwarehus leverer en app til booking af lokaler. Appen taler med et API, som softwarehuset selv har skrevet og kører på en lejet virtuel maskine hos en cloududbyder. API’et er fjerndatabehandling og en del af produktet. Den virtuelle maskine og hypervisoren under den er udbyderens og behandles som en komponent. Til e-mails med bekræftelser bruger appen en indkøbt tjeneste, som ikke er lavet efter softwarehusets design. Også den er en komponent. Risikovurderingen beskriver, hvad der sker, hvis e-mailtjenesten svigter eller bliver misbrugt, og hvilke kontroller appen selv har. Valget af begge udbydere er begrundet med det bevis, de kunne fremlægge. Eksemplet er tænkt.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over de tjenester, produktet bygger på, hvilken model hver følger, og hvilket bevis I har for valget. Det kræver også en aftale om, hvordan I hører om ændringer.
Uden listen kan I ikke vise, at risikoen fra tjenesterne er vurderet, og I opdager måske først en ændring hos udbyderen, når den har påvirket produktet.
Det skal I lade være med
- At regne indkøbt SaaS for uden betydning, fordi den ikke er jeres fjerndatabehandling · den skal stadig behandles som en komponent.
- At skrive vejledningens opfordringer som krav i jeres egne politikker · vejledningen siger kan og opfordrer.
- At behandle en ændring hos udbyderen som en væsentlig ændring af produktet · den kan udløse en ny risikovurdering.
Det skal auditten kunne vise
- ☐ En liste over de cloudtjenester, produktet bygger på, med model og rolle.
- ☐ Afgrænsning af egen fjerndatabehandling over for udbyderens del.
- ☐ Det bevis, valget af hver udbyder hviler på.
- ☐ Hvordan I hører om ændringer hos udbyderen, og hvad der skete ved den seneste.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 13, stk. 3 og 5, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens vejledning C(2026) 5252, punkt 198 til 208, ikke bindende, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de tjenester op, produktet bygger på, og notér for hver, hvad I har som bevis for valget.
Læs også: Valg af tredjepartskomponenter · Ren SaaS er uden for CRA
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
