Fra 11. december 2027 skal software, der er omfattet af Cyber Resilience Act, have et CE-mærke, før den kommer på markedet. Mærket betyder, at fabrikanten har vurderet produktet og sine processer mod forordningens krav og står inde for resultatet. I de fleste tilfælde har ingen uafhængig instans kigget med. Mærket er derfor et udgangspunkt for jeres kontrol og ikke en erstatning for den.
Artiklen er skrevet til køberen. Hvordan fabrikanten anbringer mærket, er et emne for producenten.
Hvad mærket betyder efter forordningen
CE-mærkningen angiver, at produktet og fabrikantens processer opfylder kravene i bilag I (artikel 3, nr. 31). Bilag I har to dele. Den første handler om produktets egenskaber, den anden om fabrikantens håndtering af sårbarheder i hele supportperioden.
Efter Kommissionens tjenestegrenes FAQ kommer mærket først på, når fabrikantens egen vurdering af overensstemmelsen er gennemført og faldt positivt ud. Ved samme lejlighed udarbejder fabrikanten en EU-overensstemmelseserklæring og påtager sig dermed ansvaret for, at produktet lever op til kravene (artikel 28, stk. 4).
Hvem der har vurderet produktet
For de fleste softwareprodukter må fabrikanten bruge intern kontrol, også kaldet modul A. Her deltager intet bemyndiget organ. Fabrikanten tester selv eller lader andre teste og bærer selv ansvaret.
For de vigtige produkter i bilag III, fx visse produkter til identitetsstyring, adgangskodeværktøjer og firewalls, rækker intern kontrol ikke altid. I klasse II skal fabrikanten bruge en procedure med et bemyndiget organ eller en europæisk certificeringsordning. I klasse I gælder det samme, når fabrikanten ikke har kunnet bygge hele vurderingen på standarder, fælles specifikationer eller certificering (artikel 32). Har et bemyndiget organ deltaget efter modul H, står organets identifikationsnummer efter mærket (artikel 30, stk. 4). Om et produkt hører til klasserne, afgøres af dets væsentligste funktionalitet, som forklaret i artiklen om, hvornår et produkt er vigtigt.
For køberen er spørgsmålet derfor enkelt: Har nogen ud over fabrikanten vurderet produktet? Svaret står i erklæringen.
Hvor I finder mærket og erklæringen
Software har ingen æske at sætte mærket på. Derfor placeres det i erklæringen eller på den side på nettet, der hører til produktet. Står det på webstedet, skal der være nem og direkte adgang til det for forbrugere (artikel 30, stk. 1). Hvor mærket præcis skal stå, er gennemgået i artiklen om CE-mærket på software.
Erklæringen følger med produktet, enten i sin fulde form eller i en forenklet form med en internetadresse til den fulde tekst (artikel 13, stk. 20). Den fulde erklæring skal blandt andet identificere produktet entydigt, nævne de harmoniserede standarder eller andre specifikationer, der er brugt, og eventuelt det bemyndigede organ og dets attest (bilag V). Hvad der i øvrigt skal stå, er beskrevet i artiklen om EU-overensstemmelseserklæringen for software.
Det, I kontrollerer ved køb
Følgende er en fremgangsmåde og ikke krav fra forordningen.
- Find erklæringen. Hent den fulde erklæring, og gem den sammen med købsaftalen.
- Sammenlign versionen. Kontrollér, at erklæringen dækker det produkt og den version, I køber. Kommissionens tjenestegrene skriver, at en ny version kan kræve en ny erklæring, særligt ved en væsentlig ændring.
- Læs grundlaget. Se, om der henvises til standarder, og om et bemyndiget organ er nævnt. I november 2026 var der endnu ikke set nogen harmoniseret standard til CRA i EU-Tidende, så henvisningen kan mangle.
- Find slutdatoen. Notér slutdatoen for supportperioden, der skal oplyses ved købet.
Et manglende eller forkert anbragt mærke og en manglende eller forkert erklæring er formelle mangler, som myndigheden kan kræve rettet (artikel 58, stk. 1).
Det, mærket ikke dækker
Mærket handler om produktet og fabrikantens processer. Det siger intet om, hvordan produktet er sat op og drevet hos jer eller hos jeres driftsleverandør. Konfiguration, adgange og opdatering i jeres miljø skal I stadig selv kontrollere.
Mærket siger heller intet om leverandørens organisation som helhed. Et certifikat for et ledelsessystem, som I kender fra certifikatet slået op, dækker noget andet og kan ikke bruges i stedet for mærket eller omvendt.
Software, som fabrikanten bragte i omsætning inden 11. december 2027, har normalt intet CE-mærke efter CRA. Kravene rammer den først, hvis fabrikanten laver en væsentlig ændring efter datoen (artikel 69, stk. 2). Et manglende mærke på en ældre version er derfor ikke i sig selv et fund.
Endelig er en ren cloudtjeneste, der er udviklet uden for en fabrikants ansvar for et produkt, ikke selv et produkt efter forordningen. Køber I sådan en tjeneste, er der ikke nødvendigvis noget mærke at se efter, og kontrollen må bygge på aftalen og andre beviser.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at indkøb gemmer erklæringen og noterer version og slutdato ved hvert køb af software, der er omfattet. Det tager kort tid, når det sker ved købet.
Uden den kontrol ved I ikke, om den version, I kører, er den, fabrikanten har erklæret for. Og I kan ikke vise jeres ledelse, hvad købsbeslutningen byggede på.
Det skal I lade være med
- At læse CE-mærket som en uafhængig godkendelse · i de fleste tilfælde har fabrikanten vurderet sig selv.
- At forvente mærket på software fra før december 2027 · det kræves kun ved væsentlig ændring.
- At lade mærket erstatte kontrollen af driften · det dækker ikke opsætningen hos jer.
Det skal auditten kunne vise
- ☐ Den fulde erklæring for hvert omfattet softwareprodukt.
- ☐ At erklæringen dækker den version, der kører.
- ☐ Om et bemyndiget organ har deltaget, og med hvilket nummer.
- ☐ Slutdatoen for supportperioden, noteret ved købet.
- ☐ Jeres egen kontrol af opsætning og drift ved siden af mærket.
Kilder
- Forordning (EU) 2024/2847 (Cyber Resilience Act), artikel 3, nr. 31, artikel 13, stk. 20, artikel 28, 30, 32, 58, 69 og 71, bilag I, III og V, læst 13. november 2026.
- Europa-Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4 af 4. september 2026, FAQ 1.2, 6.1, 6.5, 6.7 og 6.8, læst 13. november 2026.
- Europa-Kommissionen, Cyber Resilience Act: Standardisation, sidst opdateret 12. november 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg det næste softwarekøb, og læg erklæringen, versionen og slutdatoen i købsmappen.
Læs også: Produkter med digitale elementer · D-mærket hos leverandøren
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
