En release er en væsentlig ændring efter Cyber Resilience Act, når den påvirker, om produktet opfylder kravene i bilag I, del I, eller giver produktet et andet tilsigtet formål end det, det blev vurderet for. Kommissionen har givet fire spørgsmål, der hjælper med at afgøre det, og et ja betyder, at det ændrede produkt behandles som nyt.
Definitionen står i artikel 3, nr. 30. Forordningens krav gælder fra 11. december 2027, og for produkter bragt i omsætning før den dato er det netop en væsentlig ændring, der trækker dem ind under kravene.
Definitionen og Kommissionens læsning
Ifølge artikel 3, nr. 30, er en væsentlig ændring en ændring efter omsætningen, som enten rører ved, om produktet overholder de væsentlige krav i del I af bilag I, eller ændrer det formål, produktet blev vurderet til.
Kommissionens vejledning (punkt 104 og 107) siger, at vurderingen sker fra sag til sag. Det afgørende er, om opdateringen indfører nye eller øgede risici, som risikovurderingen ikke har behandlet. Vejledningen lægger vægt på den mulige negative virkning på risikoprofilen og ser bort fra ændringens størrelse og kompleksitet.
Vejledningen binder ingen. Den er alligevel Kommissionens mest udførlige tekst om emnet.
De fire prøvesten
Vejledningen (punkt 110) stiller fire spørgsmål. Listen er ikke udtømmende. Indfører opdateringen:
- Nye trusselsvektorer? Fx nye grænseflader, kommunikationskanaler, kørselsmiljøer eller eksterne afhængigheder.
- Nye angrebsscenarier?
- Ændret sandsynlighed for kendte scenarier?
- Ændret virkning af kendte scenarier?
Er svaret nej til alle fire, og holder risikovurderingens antagelser fortsat, er der sandsynligvis ikke tale om en væsentlig ændring (punkt 111). Er svaret ja til et af dem, skal der laves en ny vurdering (punkt 112).
Et ja sender den ændrede del tilbage til risikovurderingen. Først når den er gjort om, kan I afgøre, om ændringen er væsentlig.
Sikkerhedsopdateringer som udgangspunkt
Vejledningen (punkt 108 med eksempel 46 til 48) siger, at sikkerhedsopdateringer som udgangspunkt ikke er væsentlige ændringer. Det gælder også, når de indebærer store tekniske ændringer, så længe formålet er uændret, og der ikke kommer nye risici.
Udgangspunktet har en grænse. En sikkerhedsopdatering kan være en væsentlig ændring, hvis den ændrer formålet ud over det forudsete eller indfører nye risici. Vejledningen (punkt 109, eksempel 49 og 50) nævner ændrede datastrømme og nye grænseflader, der kan nås udefra. En rettelse, der samtidig åbner en ny netværksport, skal derfor også igennem de fire spørgsmål.
Når svaret er ja
Et væsentligt ændret produkt behandles som et nyt produkt, og tilgængeliggørelsen er en ny omsætning (vejledningen punkt 116). Det har tre følger, som vejledningen beskriver:
- Den oprindelige fabrikant forbliver fabrikant (punkt 122).
- Dokumentation og test for uberørte dele kan genbruges, og overensstemmelsesvurderingen bør fokusere på de ændrede dele (punkt 123).
- Er produktet bragt i omsætning før 11. december 2027, er pligten begrænset til de ændrede dele, medmindre cybersikkerheden i hele produktet berøres af ændringen (punkt 124).
For et softwarehus betyder det i praksis en opdateret risikovurdering for de ændrede dele og opdateret teknisk dokumentation. Det er vores læsning, at der også skal en EU-overensstemmelseserklæring, der dækker den nye version, fordi produktet behandles som nyt.
Supportperioden nulstilles ikke automatisk af en væsentlig ændring. En ny væsentligt ændret version skal dog have sin egen erklærede supportperiode, når den bringes i omsætning.
Vurderingen gælder uanset svaret
Uanset om en release er en væsentlig ændring eller ej, skal risikovurderingen og den tekniske dokumentation holdes nøjagtige, fuldstændige og ajourførte. Det følger af stk. 7 i artikel 13 og af artikel 31, stk. 2, og vejledningen (punkt 113) understreger det.
Det betyder i praksis, at hver release bør have en kort, skriftlig vurdering mod de fire prøvesten. Det er vores anbefaling. Forordningen kræver ikke en bestemt form.
En tænkt vurdering pr. release kunne have disse felter:
- Release og dato · (version 6.3, frigivet i marts)
- Ændringer i korte træk · (ny eksport til regneark, rettelse af login)
- Svar på de fire prøvesten · (nej, nej, nej, nej)
- Konklusion · (ikke væsentlig ændring; risikovurderingen dækker eksporten)
- Hvem vurderede · (produktchef og sikkerhedsansvarlig)
Hvad gennemgangen ser efter
I gennemgangen udvælges et antal releases, og vurderingen for hver bliver læst. Findes den? Svarer den på spørgsmålene, eller er den en formalitet? Og er releases, der faktisk indførte nye grænseflader eller nye afhængigheder, vurderet som ændringer, der skulle undersøges nærmere?
Hvad det kræver, og hvad det koster at lade være
Det kræver et fast trin i udgivelsesprocessen, hvor nogen med kendskab til risikovurderingen svarer på de fire spørgsmål. Arbejdet er lille pr. release, når risikovurderingen er god.
Uden vurderingen kan I ikke vise, at en ny version ikke er et nyt produkt. Spørger en kunde eller myndigheden, hvorfor version 7 blev frigivet uden ny overensstemmelsesvurdering, er svaret den skriftlige vurdering fra udgivelsesdagen. For produkter fra før december 2027 er det samtidig grundlaget for, om kravene overhovedet gælder.
Ønsker I at få jeres vurderinger pr. release efterprøvet af en uvildig part, er det en del af den gennemgang, Nielco IT tilbyder.
Det skal I lade være med
- At måle væsentlighed i antal kodelinjer · Kommissionen ser på risikoprofilen.
- At gå ud fra, at en sikkerhedsopdatering aldrig er væsentlig · den kan indføre nye risici.
- At springe vurderingen over for små releases · dokumentationen skal holdes ajour uanset.
Det skal auditten kunne vise
- ☐ En skriftlig vurdering for hver release mod de fire prøvesten.
- ☐ Ny vurdering af de ændrede dele, hvor et svar var ja.
- ☐ Egen supportperiode for hver version, der er ændret væsentligt.
- ☐ Ajourført risikovurdering og teknisk dokumentation.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 3, nr. 30, artikel 13, stk. 7, artikel 31, stk. 2, artikel 69 og 71, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252, punkt 104 til 124 med eksempel 46 til 50, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres seneste release og svar skriftligt på de fire prøvesten. Gem svaret sammen med frigivelsesnoterne.
- Sårbarhedshåndtering, opdateringer og supportperiode
- Skriv de planlagte funktioner ind i risikovurderingen fra start
Læs også: Versioner fra før 11. december 2027 · Risikovurderingen i supportperioden
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
