Sælger I en andens software under jeres eget navn eller varemærke, er I fabrikant efter Cyber Resilience Act, og fabrikantens pligter ligger hos jer. Derfor skal white label-aftalen give jer adgang til det, I ikke selv har: teknisk dokumentation, komponentliste, oplysninger om sårbarheder og rettelser.
Ingen regel beskriver, hvad sådan en aftale skal indeholde. Det følgende er vores udledning af jeres egne pligter, og det er markeret som tolkning, hvor det ikke står direkte i forordningen.
Hvorfor I er fabrikant
Definitionen i forordning (EU) 2024/2847, artikel 3, nr. 13, omfatter også den, der lader andre stå for udviklingen og sætter sit eget navn eller mærke på resultatet. Handler I som importør eller distributør, når I gør det, regner artikel 21 jer ligeledes som fabrikant med alt, hvad artikel 13 og 14 indebærer.
Hvordan rollerne fordeles, når et udviklingshus bygger software til en kunde, er beskrevet i artiklen om udviklingshusets rolle. Her er I sælgeren, og spørgsmålet er, hvad I skal have fra producenten.
Det, I skal kunne vise uden selv at have koden
Som fabrikant laver I risikovurderingen, opfylder bilag I, udarbejder den tekniske dokumentation efter bilag VII og underskriver EU-overensstemmelseserklæringen. Det er svært uden adgang til producentens viden. Vores tolkning af, hvad aftalen bør sikre, ser sådan ud.
- Teknisk dokumentation eller materiale nok til at lave den · Bilag VII og artikel 13, stk. 12
- Softwarekomponentlisten for hver version · Bilag VII, nr. 2, og bilag I, del II
- Besked om sårbarheder, producenten bliver bekendt med · Bilag I, del II, og artikel 14
- Sikkerhedsrettelser i hele supportperioden · Bilag I, del II
- Resultater af afprøvninger · Bilag VII, nr. 6
- Viden om ændringer i nye versioner · Vurderingen af væsentlige ændringer, artikel 3, nr. 30
Tabellen er ikke udtømmende og er ikke en gengivelse af en regel. Den viser, hvor jeres egne pligter peger hen.
Sårbarheder går begge veje
Fabrikanter har efter artikel 13, stk. 6, pligt til at indberette sårbarheder, de finder i integrerede komponenter, til den person eller enhed, der fremstiller eller vedligeholder komponenten. I en white label-situation er producenten den naturlige modtager, når jeres egne folk eller kunder finder en fejl. Detaljerne om den pligt hører til artiklerne om komponenter.
Den anden vej er mindst lige så vigtig. Bliver producenten bekendt med en aktivt udnyttet sårbarhed, er det jer som fabrikant, der skal indberette efter artikel 14. Den pligt løber allerede, og den omfatter også versioner, I solgte før september 2026. Aftalen bør derfor sige, hvor hurtigt producenten giver jer besked, og hvem der er kontaktperson døgnet rundt. Resten af kravene får virkning 11. december 2027.
Sådan læser en gennemgang aftalen
En gennemgang kan læse white label-aftalen med jeres pligter ved siden af. Spørgsmålene er praksis og ikke fastsat i nogen regel.
- Får I adgang til det, I skal bruge til den tekniske dokumentation, eller kun til en brugervejledning?
- Følger der en komponentliste med hver version, og i hvilket format?
- Hvor hurtigt får I besked om sårbarheder, og gælder det også i weekender?
- Hvor længe forpligter producenten sig til at levere sikkerhedsrettelser?
- Hvad sker der, hvis producenten ophører eller opsiger aftalen?
Det sidste spørgsmål overses ofte. Er supportperioden over for jeres kunder længere end producentens forpligtelse over for jer, står I med et hul, som I selv må lukke.
Et tænkt eksempel
En dansk virksomhed sælger et program til adgangskontrol i bygninger under sit eget varemærke. Programmet er udviklet af en producent i et andet land, og den danske virksomhed har aldrig set koden. Aftalen giver ret til at sælge og til at modtage nye versioner, men intet om komponentlister, testrapporter eller sårbarheder. Som fabrikant skal den danske virksomhed underskrive erklæringen og indberette aktivt udnyttede sårbarheder. Den beder derfor producenten om et tillæg, der giver adgang til materialet bag den tekniske dokumentation, en komponentliste pr. version og en fast frist for besked om sårbarheder. Svarer producenten nej, er det et forhold, ledelsen må tage stilling til, før næste version sælges. Eksemplet er tænkt.
Når producenten er uden for EU
Kommer produktet fra en producent uden for EU, er I som sælger under eget navn stadig fabrikant. Det kan gøre adgangen til dokumentation og rettelser sværere at håndhæve, og det taler for, at aftalen er konkret.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser aftalen med fabrikantens pligter i hånden, og at producenten er villig til at levere det, der mangler. Er producenten ikke villig, er det en oplysning, I har brug for, før I sælger næste version.
Uden de rette adgange underskriver I en erklæring om et produkt, I ikke kan dokumentere, og I står med indberetningspligten for sårbarheder, I måske først hører om fra andre.
Det skal I lade være med
- At gå ud fra, at producenten bærer pligterne, fordi den har skrevet koden · markedsføringen under jeres navn gør jer til fabrikant.
- At acceptere en aftale uden frist for besked om sårbarheder · artikel 14 gælder allerede.
- At love kunderne længere support end producenten lover jer · hullet bliver jeres.
Det skal auditten kunne vise
- ☐ Hvilke produkter der sælges under eget navn, og hvem der producerer dem.
- ☐ De bestemmelser i aftalen, der giver adgang til dokumentation, komponentliste og rettelser.
- ☐ En aftalt frist og kanal for producentens besked om sårbarheder.
- ☐ Sammenhæng mellem jeres supportperiode og producentens forpligtelse.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 3, nr. 13 og 30, artikel 13, stk. 6 og 12, artikel 14 og 21, bilag I og VII, læst 13. november 2026 i Publikationskontorets kopi.
Senest gennemgået: november 2026.
Næste skridt
Læg jeres white label-aftaler ved siden af tabellen, og marker, hvad der mangler.
Læs også: Importør af software fra en producent uden for EU · Sårbarhed i en andens komponent
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
