Før nogen af fristerne i Cyber Resilience Act betyder noget, er der et spørgsmål, der kommer først, og enhver FAQ om emnet viser, at det er det, folk faktisk stiller: Gælder det her for mig? En softwarevirksomhed, der sælger abonnementer på en webapplikation, en virksomhed, der leverer en enhed med firmware, en udvikler, der udgiver et bibliotek, et konsulenthus, der bygger skræddersyet software til én kunde: Hver af dem har et andet svar, og forordningen, forordning (EU) 2024/2847, afgør det omkring tre steder.

Denne artikel går de steder igennem. Den fortæller jer ikke, om jeres produkt er omfattet, for den fastlæggelse afhænger af, hvad I faktisk bringer i omsætning, og den er jeres at træffe og, vigtigere endnu, at dokumentere.

Definitionen: artikel 3, stk. 1

Forordningen gælder for et produkt med digitale elementer, defineret i artikel 3, stk. 1, som "et software- eller hardwareprodukt og dets løsninger til fjerndatabehandling, herunder software- eller hardwarekomponenter, der bringes i omsætning separat".

Tre ting ligger i den sætning.

Software tæller i sig selv. Et produkt med digitale elementer behøver ikke være en fysisk ting. En applikation, I installerer, en mobilapp, et desktopprogram, et styresystem, et bibliotek, et firmware-image: Hver af dem er et softwareprodukt, og hver kan bringes i omsætning for sig.

Komponenter tæller i sig selv. Et bibliotek eller et modul, der sælges eller leveres separat, er et produkt i egen ret med sin egen fabrikant.

Løsninger til fjerndatabehandling følger med produktet. Det er den bestemmelse, der trækker en del af skyen tilbage i anvendelsesområdet, og den er defineret i næste stykke.

Forbindelsesbetingelsen: artikel 2, stk. 1

Artikel 2, stk. 1, indsnævrer definitionen til produkter, "hvis tilsigtede formål eller med rimelighed forventelige anvendelse omfatter en direkte eller indirekte logisk eller fysisk dataforbindelse til en enhed eller et netværk".

Den betingelse er bred. Den er ikke "forbundet til internettet". En enhed, der aldrig er online, men opdateres ved at blive sat til en computer via USB, har en fysisk dataforbindelse til en enhed, og det er nok. En tysk udvikler, der sælger firmware til en standard-håndholdt, beskrev præcis den situation på Hacker News i august 2026: offline, ingen trådløs forbindelse, ingen netværksstak kompileret ind, opdateringer ved at flashe igen over et kabel, og omfattet, hvilket han fandt ud af ved selv at læse forordningen og Kommissionens retningslinjer. Ingen ser sig selv som "fabrikant af et produkt med digitale elementer", før de opdager, at de er det.

Hvor SaaS står: betragtning 12 og artikel 3, stk. 2

Det er spørgsmålet, de fleste softwarevirksomheder i virkeligheden stiller, og svaret har to halvdele.

Ren software as a service er uden for CRA. Betragtning 12 siger, at cloudtjenestemodeller som software as a service ikke er produkter med digitale elementer, fordi de er tjenester og ikke produkter, der bringes i omsætning, og at de i stedet er omfattet af NIS2-direktivet, direktiv (EU) 2022/2555. Hvis det, I sælger, er adgang til en applikation, der kører på jeres infrastruktur, og intet installeres eller downloades hos kunden, når CRA jer ikke. NIS2 måske, afhængigt af jeres størrelse og sektor, men det er en anden regulering med en anden form.

Fjernbehandling, som et produkt ikke kan fungere uden, er indenfor. Artikel 3, stk. 2, definerer fjerndatabehandling som databehandling på afstand, "som softwaren er udformet og udviklet til af fabrikanten eller under fabrikantens ansvar, og uden hvilken produktet med digitale elementer ikke ville kunne udføre en af sine funktioner". Betragtning 12 gør den samme pointe: Cloudkomponenter er omfattet, når de i den forstand er en del af produktet.

En smart lås med mobilapp og cloud-backend er altså ét produkt med digitale elementer, backend inklusive, fordi låsen uden backend ikke kan udføre sine funktioner. En desktopapplikation, der spørger en licensserver, er et produkt, hvis fjerndatabehandling er omfattet. En webapplikation uden installeret komponent er en tjeneste.

Grænsen er ikke "har I en cloud". Den er "er der et produkt bragt i omsætning, og gør skyen noget, som det produkt ikke kan uden den". Hvor et produkt er begge dele, er den installerede del omfattet, og dens væsentlige fjernbehandling følger med. Hvilke dele af skyen kommer med, modul for modul, med Kommissionens to tests og dens mobilbankeksempel, er en selvstændig artikel.

Hvad der er udenfor ved navn: resten af artikel 2

Forordningen undtager produkter, der allerede er omfattet af sektorspecifikke regler med egne cybersikkerhedskrav: medicinsk udstyr efter forordning (EU) 2017/745 og 2017/746, civil luftfart efter forordning (EU) 2018/1139, typegodkendelse af motorkøretøjer efter forordning (EU) 2019/2144 og skibsudstyr efter direktiv 2014/90/EU. Den undtager også produkter, der udelukkende er udviklet eller ændret til formål vedrørende national sikkerhed eller forsvar, og produkter, der specifikt er udformet til at behandle klassificerede oplysninger.

Reservedele, der gøres tilgængelige for at erstatte identiske komponenter, fremstillet efter de samme specifikationer, er også undtaget.

Open source: omfattet, men anderledes

Fri og open source-software, der ikke monetariseres, ligger i vidt omfang uden for fabrikantforpligtelserne, og artikel 24 skaber en særskilt, lettere ordning for forvaltere af open source-software: fonde og organisationer, der støtter udviklingen af open source-produkter beregnet til kommercielle aktiviteter. Anmeldelsespligten i artikel 14 når forvaltere for de produkter, de forvalter, og derfor gælder fristerne for dem såvel som for fabrikanter. Laver I et kommercielt produkt af open source-komponenter, er I fabrikant af det produkt, og komponenternes licens ændrer ikke på det.

Bragt i omsætning, og datospørgsmålet

Hver pligt afhænger af, at produktet bringes i omsætning, den første tilgængeliggørelse af et produkt på EU-markedet. Interne værktøjer, I bygger og kører til jer selv, bringes ikke i omsætning. Software, I leverer til én kunde, gør.

Datoerne betyder noget for produkter, der allerede er derude. Forordningen gælder fuldt ud fra den 11. december 2027, og efter artikel 69 er produkter, der er bragt i omsætning før den dato, kun underlagt kravene, hvis de derefter ændres væsentligt. Anmeldelsespligten i artikel 14 er undtagelsen: Den gælder fra den 11. september 2026, og den når produkter, der allerede var på markedet. Der er ingen størrelsestærskel og ingen undtagelse for små virksomheder nogen steder i teksten; det, forordningen gør for små fabrikanter, er at gøre størrelse til en faktor i bøden og lade dem indgive forenklet dokumentation.

Standard, vigtig, kritisk

Når et produkt er omfattet, falder det i ét af tre trin, og trinnet afgør, hvordan overensstemmelsen vurderes, ikke om pligterne gælder. Standardtrinnet er selvvurdering. Vigtige produkter er opført i bilag III i to klasser: Klasse I omfatter adgangskodeadministratorer, VPN-produkter, styresystemer, routere og browsere; klasse II omfatter hypervisorer, firewalls og manipulationssikre mikroprocessorer, og deres overensstemmelsesvurdering involverer en tredjepart. Kritiske produkter i bilag IV, som hardwareenheder med sikkerhedsbokse, smart meter-gateways og smartcards, kan blive pålagt at opnå et europæisk cybersikkerhedscertifikat. Står jeres produkt på ingen af listerne, er det standard, og anmeldelsespligten gælder for det præcis som for de andre.

Det, I faktisk skal gøre

Skriv fastlæggelsen ned. Én side: hvad I bringer i omsætning, om det er software, hardware eller begge dele, om det har fjerndatabehandling i artikel 3, stk. 2's forstand, hvilken undtagelse i artikel 2 I støtter jer på, hvis I støtter jer på én, og hvilket trin det falder i. Datér og underskriv den.

Hvis I hellere vil starte fra spørgsmål end fra en tom side, laver fastlæggelsen i seks spørgsmål på dette websted præcis den ene side som tekst, med artiklen til hvert trin, og gemmer intet.

Det dokument er det, I viser, hvis en markedsovervågningsmyndighed spørger, hvorfor I anmeldte eller ikke anmeldte, og det er det, jeres hændelsesprocedure begynder med i time nul, når 24-timers-uret allerede løber, og ingen har tid til at genlæse betragtning 12. Er svaret "omfattet", er næste spørgsmål hvilket CSIRT der er jeres, og det har en tabel.

To spørgsmål, som denne artikel overlader til Kommissionens vejledning, hvilken af jeres builds der overhovedet er et produkt (en browserudvidelse eller en installeret klient er, en webapp brugt i en browser er ikke), og hvornår en softwareversion tæller som bragt i omsætning i forhold til skæringsdatoen i december 2027, besvares i artiklen om at bringe i omsætning.

Kilder

  • Forordning (EU) 2024/2847, artikel 2, stk. 1 til 5, artikel 3, stk. 1 og 2, artikel 14, artikel 24, artikel 69, artikel 71, stk. 2, bilag III og IV samt betragtning 12.
  • Europa-Kommissionen, teknisk FAQ om CRA, version 1.3 af 1. juli 2026, kapitlet om anvendelsesområdet.
  • "Ask HN: Is anyone else preparing for the EU Cyber Resilience Act?", august 2026, for eksemplet med den offline håndholdte.
  • Community-FAQ'en på cra.orcwg.org og FAQ'en på cyberresilienceact.eu, læst den 8. september 2026, for hvilke spørgsmål der stilles først.

Dette er ikke juridisk rådgivning, og fastlæggelsen af anvendelsesområdet er det ene på denne side, vi ikke træffer for jer. Artikelhenvisningerne står der, så I kan læse teksten og træffe den selv.