Forordningen om cyberrobusthed, Cyber Resilience Act eller CRA, giver køberen af software og udstyr med digitale elementer en række oplysninger, fabrikanten skal levere med produktet. Hovedparten af forordningen gælder dog først fra 11. december 2027. Indtil da er de fleste krav noget, I kan bede om i kontrakten. Som gældende ret kan de først bruges fra den dato.
Artiklen er skrevet til køberen. Fabrikantens egne pligter og CRA i dybden behandles ikke her.
Hvad der gælder nu, og hvad der kommer
Forordning 2024/2847 har tre datoer i artikel 71:
- Fra 11. juni 2026 gælder kapitel IV, der handler om bemyndigede organer.
- Fra 11. september 2026 gælder artikel 14, der handler om fabrikantens indberetningspligter.
- Resten af forordningen gælder fra 11. december 2027.
Pr. november 2026 gælder altså artikel 14 og kapitel IV. Oplysningskravene i bilag II, som køberen har mest gavn af, hører til de regler, der gælder fra december 2027.
Det, produktet skal ledsages af
Bilag II hedder “Oplysninger og anvisninger til brugeren“. Fra december 2027 skal et produkt med digitale elementer som minimum ledsages af bl.a.:
- fabrikantens navn og kontaktoplysninger
- et centralt kontaktpunkt for indberetning af sårbarheder og fabrikantens politik for koordineret offentliggørelse
- en entydig identifikation af produktet
- produktets tilsigtede formål, væsentlige funktioner og sikkerhedsegenskaber
- kendte eller forudsigelige omstændigheder, der kan medføre betydelige cybersikkerhedsrisici
- eventuelt internetadressen til EU-overensstemmelseserklæringen
- typen af teknisk sikkerhedsstøtte og slutdatoen for den supportperiode, hvor brugerne kan forvente sårbarhedshåndtering og sikkerhedsopdateringer
- anvisninger om sikker ibrugtagning, opdateringer, sikker nedlukning og fjernelse af brugerdata, og om hvordan automatisk installation af sikkerhedsopdateringer kan slås fra
- hvis fabrikanten vælger at stille softwarekomponentlisten til rådighed for brugeren, oplysning om, hvor den findes
For en køber er punkt 7 det mest konkrete. Slutdatoen for supportperioden fortæller, hvor længe I kan forvente sikkerhedsopdateringer, og den kan lægges direkte ind i jeres egen planlægning af udskiftning.
Softwarekomponentlisten
Forordningen bruger ordet softwarekomponentliste, på engelsk ofte SBOM. Ifølge betragtning 77 bør fabrikanterne udarbejde en sådan liste, men de bør ikke være forpligtet til at offentliggøre den. Kommissionen kan præcisere listens format og indhold ved gennemførelsesretsakter (artikel 13, stk. 24). Markedsovervågningsmyndigheden kan efter begrundet anmodning få listen.
For køberen betyder det, at listen ikke er noget, I har krav på efter forordningen. Fabrikanten kan vælge at give den, jf. bilag II, punkt 9. Ønsker I listen, fx for at kunne reagere hurtigt på en sårbarhed i en udbredt komponent, må I bede om den og eventuelt skrive den ind i aftalen.
Det, køberen kan kræve i kontrakten
Hvad I kan kræve ud over bilag II, er et spørgsmål om kontrakt og forhandling. Det følgende er praksis, ikke krav fra forordningen.
- At fabrikanten oplyser supportperiodens slutdato skriftligt, også før december 2027.
- At fabrikanten underretter jer om sårbarheder, der rammer produktet, og om tilgængelige opdateringer.
- At softwarekomponentlisten udleveres, eller at fabrikanten på anmodning bekræfter, om en bestemt komponent indgår.
- At fabrikanten beskriver, hvordan sikkerhedsopdateringer leveres og installeres.
Kravene kan stilles allerede nu. Fra december 2027 vil en del af oplysningerne følge af forordningen, og kontrakten kan så henvise til den.
Når produktet kommer gennem en leverandør
Mange virksomheder køber ikke software og udstyr direkte hos fabrikanten. Det kommer gennem en driftsleverandør, en forhandler eller et softwarehus, der bygger det ind i en samlet løsning. Oplysningerne i bilag II følger produktet, men de når ikke altid frem til den, der bruger det.
Spørg derfor jeres leverandør, hvilke produkter med digitale elementer leverancen bygger på, hvem fabrikanterne er, og hvordan fabrikanternes oplysninger om support og sårbarheder bliver givet videre til jer. Et svar, der viser, at leverandøren selv følger med, er et brugbart bevis i en leverandøraudit.
Kontrollen hos jer selv
En leverandøraudit af en fabrikant er sjælden for en almindelig køber. Kontrollen ligger oftere i jeres egen indkøbsproces. Gennemgå, om I har registreret supportperiodens slutdato for de produkter, I køber, og om nogen hos jer modtager fabrikantens meddelelser om sårbarheder.
Den kontrol handler om software og dokumentation. Fysisk test af udstyr er en anden disciplin og hører ikke til en leverandøraudit.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at indkøb og IT spørger efter oplysningerne ved køb, og at slutdatoerne for support bliver registreret. Det kræver også en kontaktperson, der modtager fabrikanternes sårbarhedsmeddelelser.
Uden de oplysninger opdager I først, at et produkt ikke længere får sikkerhedsopdateringer, når en sårbarhed rammer det. Skriver I krav ind som gældende lov før december 2027, risikerer I en diskussion, I ikke kan vinde.
Det skal I lade være med
- At skrive, at CRA allerede gælder fuldt ud · de fleste krav gælder fra 11. december 2027.
- At forvente softwarekomponentlisten som en ret · fabrikanten er ikke forpligtet til at offentliggøre den.
- At købe uden at spørge til supportperioden · slutdatoen styrer, hvornår produktet skal udskiftes.
Det skal auditten kunne vise
- ☐ Supportperiodens slutdato for de produkter med digitale elementer, I bruger.
- ☐ En modtager hos jer af fabrikanternes meddelelser om sårbarheder.
- ☐ Kontraktkrav om oplysninger, hvor bilag II endnu ikke gælder.
- ☐ En aftale om softwarekomponentlisten, hvis I har brug for den.
- ☐ En korrekt angivelse af, hvilke dele af CRA der gælder på datoen.
Kilder
- Forordning (EU) 2024/2847 (Cyber Resilience Act), betragtning 77, artikel 13, stk. 24, artikel 71 og bilag II, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de vigtigste produkter med digitale elementer, I bruger, og notér supportperiodens slutdato for hvert.
Læs også: Sårbarhedshåndtering og opdateringer hos leverandøren · Sikkerhedsbilaget som auditgrundlag
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
