En virksomhed, der udgiver et open source-bibliotek uden at tjene penge på det, men selv bruger det i et betalt produkt, er efter Kommissionens læsning forvalter af biblioteket og fabrikant af produktet. Biblioteket bliver ikke et produkt, fordi det også indgår i noget, I sælger.
Grundlaget er afsnit 3.2.7 og eksempel 25, 26 og 29 i Kommissionens vejledning C(2026) 5252. Vejledningen er Kommissionens fortolkning og binder ikke domstolene. Forvalterens pligter efter artikel 24 gælder fra 11. december 2027.
Tre eksempler fra vejledningen
Vejledningen har tre eksempler, der passer på mange softwarehuse.
I eksempel 25 udgiver en juridisk person et bibliotek til brugerflader uden at tjene på det. Den bruger selv biblioteket i et produkt, der bringes i omsætning. Biblioteket er ikke bragt i omsætning, og udgiveren er forvalter af det.
I eksempel 26 bringer en virksomhed et styresystem i omsætning og udgiver en række open source-biblioteker som referenceimplementeringer uden indtjening. Virksomheden er forvalter for bibliotekerne.
I eksempel 29 udvikler virksomhed A en komponent til egne produkter, udgiver den særskilt og vedligeholder den uden indtægt. A er forvalter og ikke fabrikant af komponenten. Andre virksomheder, der bidrager til komponenten, har ingen pligter for den, men skal udvise omhu efter artikel 13, stk. 5, når de bygger den ind i deres egne produkter.
Fælles for eksemplerne er, at koden er beregnet til, at andre kan integrere den, og at udgiveren ikke tjener penge direkte på den. Vejledningens punkt 67-68 sammenfatter det. Open source til integration hos andre fabrikanter er ikke bragt i omsætning, medmindre udgiveren også tjener penge på det, og yder en juridisk person vedvarende støtte, er den forvalter.
Hvad det betyder for jeres eget produkt
Det betalte produkt, der bruger biblioteket, er et almindeligt produkt med fabrikantens pligter. Biblioteket er en komponent i det. Risikovurderingen, softwarekomponentlisten og sårbarhedshåndteringen for produktet skal derfor også dække biblioteket, på samme måde som enhver anden komponent.
Vejledningen siger, at integration af open source i egne betalte produkter ikke ændrer komponentens status (punkt 86-87). Fabrikanten, der integrerer, bliver ikke ansvarlig for komponentens egen overholdelse, heller ikke når den selv bidrager til vedligeholdelsen. Det gælder også, når fabrikanten og udgiveren er samme virksomhed.
Resultatet er, at samme kode indgår i to roller. Som fabrikant håndterer I en sårbarhed i biblioteket som en sårbarhed i produktet. Som forvalter følger I jeres cybersikkerhedspolitik for biblioteket over for alle andre brugere.
Den dag, koden begynder at give penge
Rollen er ikke fast. Vejledningen siger, at en forvalter, der begynder at tjene penge direkte på projektet, bliver fabrikant fra den dato, produktet bringes i omsætning, men ikke for de tidligere versioner, hvor den var forvalter (punkt 84).
Hvad der tæller som at tjene penge, følger de kendetegn, forordningens betragtning 15 nævner. Det kan være en pris for biblioteket, betalt adgang til en udgave med ekstra funktioner, eller support, hvor adgangen til rettelser kræver en aftale. Tænkt eksempel: et softwarehus begynder at sælge en enterprise-udgave af biblioteket med længere support. Fra den første version af enterprise-udgaven er virksomheden fabrikant af den udgave.
Det modsatte kan også ske. Ophører den systematiske støtte, kan virksomheden falde uden for definitionen af forvalter. Vejledningen opfordrer til at meddele ændringen tydeligt (punkt 83).
Det, en gennemgang ser efter
Der findes ingen regel om, hvordan rollen dokumenteres. Det, en gennemgang typisk spørger til, er praksis:
- Hvilke biblioteker virksomheden udgiver, og hvilke egne produkter der bruger dem.
- Om der er nogen indtægt knyttet direkte til bibliotekerne.
- Om forvalterens cybersikkerhedspolitik dækker bibliotekerne.
- Om produkternes risikovurdering og komponentliste behandler bibliotekerne som komponenter.
- Hvem der vurderer rollen, når forretningsmodellen ændres.
Det sidste punkt er let at overse. Beslutningen om at sælge noget nyt tages i salg eller ledelse, og rollen efter forordningen er ikke nødvendigvis med i overvejelsen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kobling mellem listen over udgivne biblioteker og produkternes komponentlister, og en politik efter artikel 24, stk. 1, der dækker bibliotekerne. Begge dele kan bygge på det materiale, fabrikanten allerede skal have for sine produkter.
Uden koblingen risikerer I at overse, at biblioteket har brugere uden for huset, som jeres politik også skal tage højde for. Og I kan blive fabrikant af en ny udgave, uden at nogen har opdaget det.
Det skal I lade være med
- At undtage egne biblioteker fra produktets komponentliste · de er komponenter som alle andre.
- At kalde en betalt enterprise-udgave en del af open source-projektet · den er et produkt, I bringer i omsætning.
- At lade bibliotekerne stå uden politik · forvalterens pligt gælder også egen kode.
Det skal auditten kunne vise
- ☐ En liste over udgivne biblioteker med de egne produkter, der bruger dem.
- ☐ En dokumenteret cybersikkerhedspolitik efter artikel 24, stk. 1, der omfatter bibliotekerne.
- ☐ Komponentlister for produkterne, hvor bibliotekerne indgår.
- ☐ Et spor af, hvornår rollen sidst blev vurderet, og hvem der gjorde det.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 13, stk. 5, artikel 24, stk. 1, og betragtning 15 og 18, læst 13. november 2026.
- Europa-Kommissionen, C(2026) 5252, vejledning om anvendelsen af forordningen, punkt 67-68, 83-87 og eksempel 25, 26 og 29, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sæt listen over jeres offentlige biblioteker op mod komponentlisten for jeres vigtigste produkt.
Læs også: Fabrikant, forvalter eller ingen af delene? · Softwarekomponentlisten (SBOM) efter CRA
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
