Fryser I et softwareprodukt, så den sidste version kommer på markedet før 11. december 2027, og ændrer I det ikke væsentligt bagefter, gælder kun én del af forordningen for det: indberetningspligten i artikel 14. Den gælder til gengæld fuldt ud, og den har gældt siden 11. september 2026.
Beslutningen om at fryse et produkt er ledelsens. Forordningen regulerer den ikke. Artiklen viser, hvad beslutningen bør bygge på, hvad der gælder bagefter, og hvilket spørgsmål kilderne endnu ikke besvarer.
Hvad udfasning betyder efter forordningen
Efter artikel 69, stk. 2, er produkter, der er bragt i omsætning før skæringsdatoen, kun omfattet af forordningens krav, hvis de væsentligt ændres fra 11. december 2027. Kommissionens tjenestegrene bekræfter det i deres FAQ, afsnit 1.4.
Artikel 69, stk. 3, gør en undtagelse for artikel 14. Indberetningspligten gælder for alle omfattede produkter, også dem fra før datoen. Kommissionens tjenestegrene skriver i FAQ 5.3, oversat fra engelsk, at fabrikanter af sådanne produkter skal indberette, men ikke efter CRA er forpligtet til at opfylde andre pligter, fx om sårbarhedshåndtering.
Et frosset produkt er altså fri af bilag I, artikel 13 og overensstemmelsesvurderingen, mens artikel 14 fortsat gælder. Hvordan en fabrikant indberetter, når byggemiljøet til et gammelt produkt er væk, står i artiklen om gamle produkter uden byggemiljø.
Pligterne, der gælder bagefter
- Indberetning, når sårbarheder udnyttes aktivt, eller der sker en alvorlig hændelse · Bestemmelse: Artikel 14, stk. 1-4 · Gælder for et frosset produkt?: Ja, ved kendskab efter 11. september 2026
- Underretning af berørte brugere, og hvor relevant alle brugere, om sårbarheden eller hændelsen og om afhjælpning · Bestemmelse: Artikel 14, stk. 8 · Gælder for et frosset produkt?: Ja
- Sårbarhedshåndtering efter bilag I, del II · Bestemmelse: Artikel 13, stk. 8 · Gælder for et frosset produkt?: Nej, medmindre produktet ændres væsentligt
- Slutdato for supportperioden og meddelelse, når supporten er slut · Bestemmelse: Artikel 13, stk. 19 · Gælder for et frosset produkt?: Nej
- Underretning, når fabrikanten indstiller driften · Bestemmelse: Artikel 13, stk. 23 · Gælder for et frosset produkt?: Nej
De tre nederste rækker er CRA-pligter for produkter, der er omfattet. De gælder ikke for et produkt, der kun er bragt i omsætning før datoen og ikke ændres.
Det kan alligevel være god praksis at fortælle brugerne, at et produkt ikke længere understøttes. Det er en beslutning, I træffer af hensyn til kunderne; forordningen kræver det ikke for et frosset produkt. Hvordan beskeden gives for produkter, der er omfattet, står i slutdatoen ved købet og beskeden i programmet.
Det åbne spørgsmål: salg efter 2027
Forordningen gælder for de enkelte produkter, ikke for typer. Kommissionens tjenestegrene skriver i FAQ 7.2 og 6.4, at enheder efter en type, der ikke er i overensstemmelse, ikke kan bringes i omsætning fra 11. december 2027, selv om typen kom på markedet før. Eksemplerne handler om hardware.
For software er det ikke afklaret i de læste kilder, om fortsat salg af licenser eller downloads af en frosset version efter 11. december 2027 er nye enheder, der bringes i omsætning. Svaret har stor betydning. Er en ny licens en ny enhed, kan det frosne produkt ikke længere sælges uden at opfylde forordningen.
Indtil spørgsmålet er afklaret, bør beslutningsgrundlaget beskrive begge muligheder. Det er tolkning og forsigtighed.
Det modsatte valg: videreudvikling
Vælger I at udvikle produktet videre efter datoen, gælder Kommissionens vejledning, afsnit 2.7. Et produkt, der er designet før datoen, men bringes i omsætning efter, skal ikke nødvendigvis designes om. Fabrikanten skal dog gennemføre risikovurdering, overensstemmelsesvurdering, erklæring og CE-mærkning. Mere om den vej står i designet før 2027, ny version efter.
Beslutningsgrundlaget
Det følgende er praksis. Et beslutningsgrundlag for at fryse et produkt kan rumme:
- hvilken version der er den sidste, og datoen for, hvornår den blev bragt i omsætning,
- hvor mange kunder der bruger produktet, og i hvilke sektorer,
- om I kan indberette og underrette brugerne efter artikel 14 for produktet, også hvis kompetencerne forsvinder,
- hvordan salget håndteres efter 11. december 2027, givet det åbne spørgsmål,
- hvad kunderne er lovet i aftalerne om support og opdateringer.
Det sidste punkt hører under aftaleretten. Det hører med, fordi en kundeaftale kan forpligte jer længere, end CRA gør for et frosset produkt.
Hvad det kræver, og hvad det koster at lade være
Det kræver en dateret beslutning, der knytter sig til en bestemt version, og en arbejdsgang for indberetning, der holder, så længe produktet er i brug. Det kræver også, at nogen følger med i, om spørgsmålet om fortsat softwaresalg bliver afklaret.
Lader I være, kan en lille ændring efter datoen gøre produktet omfattet, uden at nogen har besluttet det. Og udnyttes en sårbarhed aktivt i et produkt, ingen længere passer på, gælder indberetningsfristerne stadig.
Det skal I lade være med
- At tro, at et frosset produkt er helt uden for CRA · artikel 14 gælder.
- At udsende en funktionsopdatering til et frosset produkt efter datoen uden vurdering · en væsentlig ændring gør det omfattet.
- At planlægge fortsat salg, som om spørgsmålet var afklaret · kilderne afgør det ikke for software.
Det skal auditten kunne vise
- ☐ En dateret ledelsesbeslutning om, hvilken version der er den sidste.
- ☐ Datoen for, hvornår den sidste version blev bragt i omsætning.
- ☐ En arbejdsgang for indberetning og underretning efter artikel 14 for produktet.
- ☐ En vurdering af hver senere ændring, før den udgives.
Kilder
- Forordning (EU) 2024/2847, artikel 13, stk. 8, 19 og 23, artikel 14, stk. 8, og artikel 69 og 71, læst 13. november 2026.
- Europa-Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4, afsnit 1.4, 5.3, 6.4 og 7.2, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252 om anvendelsen af forordning (EU) 2024/2847, afsnit 2.7, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de produkter, I overvejer at fryse, og skriv for hvert, hvem der indberetter, hvis en sårbarhed bliver udnyttet.
Læs også: Produktporteføljen · Underretning af brugerne efter artikel 14, stk. 8
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
