Vigtige softwareklasser og vurdering med tredjepart

De fleste softwareprodukter kan vurderes af fabrikanten selv. For de vigtige produkter i bilag III til Cyber Resilience Act er det anderledes: i klasse II skal et bemyndiget organ altid med, og i klasse I kun når en harmoniseret standard ikke anvendes fuldt. Da der pr. november 2026 ikke er offentliggjort harmoniserede standarder, er klassen afgørende for tidsplanen frem mod 11. december 2027. Artiklerne her viser, hvordan klassen afgøres efter produktets væsentligste funktionalitet, og hvordan samarbejdet med et organ forberedes.

Klassen

• Vigtigt produkt eller ej? Gennemgang af klassificeringen efter væsentligste funktionalitet Kernefunktionen afgør klassen.
• Indlejret browser, VPN-bibliotek eller login-komponent i jeres app gør ikke appen til et vigtigt produkt Komponenten vurderes for sig.
• Identitetsstyring, fælles login og flerfaktorsoftware: klasse I Hvornår produktet hører til.
• SIEM eller logværktøj? Kernefunktionen afgør klassen Grænsen i Kommissionens eksempler.
• Adgangskodeværktøjer, VPN, netstyring, PKI, opstartsprogrammer og virtuelle netværksgrænseflader: de øvrige softwarekategorier i klasse I Beskrivelserne side om side.
• Styresystemer, hypervisorer, containerafviklere, firewalls og indtrængningsdetektion: platforms- og sikkerhedssoftware i klasse I og II Platforme og sikkerhedssoftware.

Uden standarder

• Klasse I uden harmoniseret standard: hvad gør I, mens standarderne mangler? Tidsplanen lagt med et organ.
• Standarden dækker kernefunktionen: de ekstra funktioner skal I selv dokumentere Formodningen rækker ikke længere.

Det bemyndigede organ

• Findes der et bemyndiget organ til jeres software? Udpegning, uafhængighed og opslaget i NANDO Status slået op, før I planlægger.
• Klar til det bemyndigede organ: forberedelse af typeafprøvning af et softwareprodukt Ansøgning, dokumentation og prøveeksemplar.
• Modul H for softwarehuse med mange produkter: kvalitetssystemets otte elementer, og hvorfor en ISO 9000-akkreditering ikke er nok Ét godkendt kvalitetssystem.
• Efter attesten: ændringer skal meldes til organet, og sårbarhedshåndteringen bliver kontrolleret Hyppige releases og kontrolbesøg.

Sådan kommer I i gang

Beskriv i én sætning, hvad hvert produkt først og fremmest gør for brugeren, og hold sætningen op mod kategorierne i bilag III. Ligner produktet en af dem, så læs de tekniske beskrivelser i gennemførelsesforordningen, før I konkluderer. Lander et produkt i klasse I eller II, så find ud af, om der findes et organ, der dækker kategorien, og hvor lang tid en vurdering tager. Kapitlet om organerne har været i kraft siden 11. juni 2026. Et softwarehus med mange vigtige produkter kan overveje modul H; et modent kvalitetsarbejde er nævnt under sitet om cybermodenhed.

Den uvildige gennemgang, sitet beskriver, kan forberede jer på organets arbejde, men den træder aldrig i stedet for det.

Hvad det kræver, og hvad det koster at lade være

Klassificeringen kræver en produktchef, der kan beskrive kernefunktionen ærligt, og en tidlig kontakt til et organ, hvis svaret er klasse I eller II. Opdager I først i 2027, at et produkt kræver et organ, kan kapaciteten hos organerne være brugt, og så kan produktet ikke sælges som planlagt.

Det skal I lade være med

• At klassificere efter en enkelt komponent · det er kernefunktionen, der tæller.
• At regne med, at standarderne kommer i tide · planlæg uden dem.
• At forveksle en uvildig gennemgang med organets vurdering · kun organet kan udstede attesten.

Det skal auditten kunne vise

• ☐ En skrevet klassificering pr. produkt med begrundelse.
• ☐ Den valgte vurderingsprocedure og tidsplanen for den.
• ☐ For klasse I og II: status for kontakten til et bemyndiget organ.
• ☐ Teknisk dokumentation, der er klar til organets gennemgang.

Senest gennemgået: november 2026.

Næste skridt

• Vigtigt produkt eller ej?
• Klasse I uden harmoniseret standard

Læs også: Dokumentation, erklæring og mærkning · Er softwaren et produkt efter forordningen?

→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT