Supportperioden er det tidsrum, hvor fabrikanten håndterer sårbarheder i et produkt og leverer sikkerhedsopdateringer. Fra 11. december 2027 skal fabrikanten fastsætte perioden og oplyse slutdatoen ved købet. Allerede nu kan I skrive slutdatoen ind i aftalen med leverandøren og bruge den som et fast punkt, når I kontrollerer leverancen.
Artiklen handler om aftalen og kontrollen hos køberen. Hvordan fabrikanten fastsætter og dokumenterer perioden, står i artiklen om fabrikantens begrundelse for supportperioden.
Det, forordningen siger om perioden
Forordning 2024/2847 lægger pligterne på fabrikanten, og de gælder fra 11. december 2027. Til planlægningen hos en køber er fire regler vigtigst.
- Længden. Perioden skal svare til den tid, brugerne kan regne med at have produktet kørende. Den skal være mindst fem år, medmindre produktet forventes brugt kortere tid. Da svarer perioden til den forventede brugstid (artikel 13, stk. 8).
- Slutdatoen. Slutdatoen skal oplyses tydeligt ved købet, mindst med måned og år. Hvor det teknisk kan lade sig gøre, skal produktet give brugeren besked, når perioden er slut (artikel 13, stk. 19).
- Opdateringerne. I perioden skal sikkerhedsopdateringer ud til brugerne hurtigt og uden betaling. Kun for et skræddersyet produkt kan fabrikant og erhvervsbruger aftale andet (bilag I, del II, nr. 8).
- Arkivet. Hver sikkerhedsopdatering, der er udsendt i perioden, skal kunne hentes i mindst ti år efter udsendelsen eller resten af perioden, hvis den er længere (artikel 13, stk. 9).
Kommissionen skriver i sin vejledning, at de fem år er et sikkerhedsnet og ikke en standard. Forventes et produkt brugt længere, skal perioden være længere. De tilfælde, hvor perioden må være kortere, er beskrevet i artiklen om supportperioder under fem år.
Reglerne rammer produkter, der kommer på markedet fra og med 11. december 2027. Ældre versioner er kun med, hvis de efter datoen får en væsentlig ændring (artikel 69, stk. 2).
Slutdatoen hører til den enkelte version
En detalje i forordningen har stor betydning for køberen. Har fabrikanten bragt nyere, væsentligt ændrede versioner på markedet, må den begrænse rettelserne til den nyeste af dem. Betingelsen er, at brugerne af de tidligere versioner kan få den seneste version uden betaling og uden ekstra udgifter til at tilpasse deres hardware og software (artikel 13, stk. 10).
Kommissionen regner almindelig driftsindsats, fx medarbejdertid og rutinetest, med til det, I selv må bære ved en opgradering. Tvungent køb af ny hardware eller udskiftning af infrastruktur er derimod en ekstra byrde. Hvad det betyder i praksis, står i artiklen om betingelserne, når kun nyeste version understøttes.
For jer betyder det, at slutdatoen på den version, I kører, kan komme tidligere end den dato, der står på produktsiden. Skriv derfor versionen ind i aftalen sammen med datoen.
Det, aftalen kan sige
Følgende er praksis og ikke krav fra forordningen. Det kan aftales nu, også for produkter fra før 2027.
- En liste over de produkter og versioner, leverancen bygger på, med fabrikantens slutdato for hver.
- En pligt for leverandøren til at varsle jer skriftligt, når en slutdato ændres eller nærmer sig, med en frist I selv fastsætter.
- En aftale om, hvem der planlægger og betaler opgraderingen, når en version ikke længere får sikkerhedsopdateringer.
- Hvad der gælder for en version, der kører videre efter slutdatoen, fx ekstra afskærmning eller udskiftning inden en bestemt dato.
Er leverandøren en driftsleverandør, hører punkterne hjemme i driftsaftalen. Driftsleverandøren er sjældent fabrikant, men den kender versionerne i jeres miljø og kan holde listen ajour. Står sikkerhedskravene i et bilag, kan punkterne skrives ind dér. Fremgangsmåden er beskrevet under sikkerhedsbilaget som auditgrundlag.
Skræddersyet software kræver ekstra opmærksomhed
Får I udviklet software til jeres egen brug, kan fabrikanten og I aftale at fravige reglen om opdateringer uden betaling. Muligheden er forbeholdt software, som er lavet til ét formål hos én bestemt erhvervskunde. Kommissionens tjenestegrene skriver i deres FAQ, at et standardprodukt med mindre tilpasninger ikke er skræddersyet.
Læs derfor vilkårene for vedligeholdelse, før I skriver under. Står der, at sikkerhedsopdateringer kun leveres mod betaling, er det en sådan fravigelse, og den bør være et bevidst valg hos jer.
Kontrollen i en audit
En almindelig fremgangsmåde i en leverandøraudit er at tage listen over produkter og versioner og sammenligne den med det, der faktisk kører. Vælg nogle systemer, og se versionsnummeret i selve miljøet. Slå versionen op i listen, og kontrollér, at slutdatoen stemmer med fabrikantens oplysninger.
Spørg dernæst til de versioner, der er tæt på slutdatoen. Hvem har planen for opgraderingen, og hvornår blev den senest gennemgået? En plan uden ejer og dato er et fund.
Det sidste punkt er sporet efter en opdatering. Vælg en sikkerhedsopdatering fra fabrikanten, og bed leverandøren vise, hvornår den blev installeret hos jer. Det kobler supportperioden sammen med leverandørens egen sårbarhedshåndtering og opdateringer.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over produkter og versioner med slutdatoer og en ansvarlig, der holder den ajour. I en løbende aftale kan listen tilføjes i et tillæg uden at genforhandle resten.
Uden listen opdager I først, at en version er uden sikkerhedsopdateringer, når en sårbarhed rammer den. Så er det for sent at planlægge en opgradering i ro.
Det skal I lade være med
- At læse slutdatoen på produktsiden som jeres slutdato · den gælder måske ikke den version, I kører.
- At acceptere opdateringer mod betaling uden at vide det · den fravigelse findes kun for skræddersyede produkter.
- At lade versionslisten ligge hos leverandøren alene · I skal selv kunne se den.
Det skal auditten kunne vise
- ☐ En liste over produkter og versioner med fabrikantens slutdato for hver.
- ☐ Stikprøver, hvor versionen i miljøet stemmer med listen.
- ☐ Varsling af ændrede eller nære slutdatoer i aftalen.
- ☐ En plan med ejer og dato for versioner tæt på slutdatoen.
- ☐ Aftalens vilkår om opdateringer for skræddersyet software.
- ☐ Sporet fra en sikkerhedsopdatering til installationen hos jer.
Kilder
- Forordning (EU) 2024/2847 (Cyber Resilience Act), artikel 13, stk. 8, 9, 10 og 19, artikel 69, stk. 2, artikel 71 og bilag I, del II, nr. 8, læst 13. november 2026.
- Europa-Kommissionen, Commission guidance on the application of Regulation (EU) 2024/2847, C(2026) 5252, 27. juli 2026, punkt 126, 128, 130 og 131, læst 13. november 2026.
- Europa-Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4 af 4. september 2026, FAQ 4.2.5, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav listen over de vigtigste produkter i leverancen med version og slutdato, og bed leverandøren bekræfte den.
Læs også: Produkter med digitale elementer · Audit af driftsleverandøren
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
