EU-overensstemmelseserklæringen er det korteste dokument i Cyber Resilience Acts papirarbejde og det med mest vægt på. Artikel 28(1) i forordning (EU) 2024/2847 siger, hvad den er: Erklæringen »skal udfærdiges af fabrikanten i overensstemmelse med artikel 13, stk. 12, og det skal af EU-overensstemmelseserklæringen fremgå, at det er blevet dokumenteret, at de gældende væsentlige cybersikkerhedskrav i bilag I er opfyldt«. Artikel 28(4) siger, hvad underskriften betyder: »Ved at udarbejde EU-overensstemmelseserklæringen påtager fabrikanten sig ansvaret for, at produktet med digitale elementer opfylder de gældende krav.« Den tekniske dokumentation viser arbejdet; erklæringen er fabrikantens underskrift under det. Denne artikel er, hvad erklæringen skal indeholde, læst i bilag V, reglerne omkring den og et udfyldt eksempel.
Hvor den står i rækkefølgen
Artikel 13(12) fastlægger rækkefølgen. Før et produkt bringes i omsætning, udarbejder fabrikanten den tekniske dokumentation efter artikel 31, gennemfører eller lader gennemføre overensstemmelsesvurderingsproceduren efter artikel 32 og udfærdiger, hvor den procedure har dokumenteret overensstemmelse med bilag I del I for produktet og del II for fabrikantens processer, EU-overensstemmelseserklæringen efter artikel 28 og anbringer CE-mærkningen efter artikel 30. Kommissionens FAQ, afsnit 6.8, siger konsekvensen ligeud: Erklæringen kan ikke underskrives, hvis fabrikanten ikke har gennemført en af de relevante overensstemmelsesvurderingsprocedurer med et positivt resultat. Hvad modul A, den procedure de fleste softwarefabrikanter vil bruge, faktisk kræver, har sin egen artikel; erklæringen er dens sidste skridt.
To dokumenter kan bære erklæringen ud til brugeren. Artikel 13(20): Fabrikanten »udleverer enten en kopi af EU-overensstemmelseserklæringen eller en forenklet EU-overensstemmelseserklæring sammen med produktet«, og en forenklet »skal denne indeholde den nøjagtige internetadresse, hvor den fuldstændige EU-overensstemmelseserklæring kan tilgås«. Den fulde erklæring følger modellen i bilag V; den forenklede er den ene sætning i bilag VI. Begge stilles til rådighed på de sprog, der kræves af den medlemsstat, hvor produktet bringes i omsætning eller gøres tilgængeligt på markedet (artikel 28(2)).
Bilag V, de otte punkter
Bilag V siger, at erklæringen »skal indeholde følgende oplysninger«, og opregner otte punkter. Tabellen giver hvert punkt og det, en softwarefabrikant skriver ud for det.
| Punkt | Hvad bilag V beder om | Hvad der skal skrives |
|---|---|---|
| 1 | Navn og type og eventuelle yderligere oplysninger, der gør det muligt entydigt at identificere produktet | Produktnavnet, type- eller modelbetegnelsen og den version eller det versionsinterval, erklæringen dækker. FAQ'en siger, at erklæringen er knyttet til det enkelte produkt og ikke kun til typen eller modellen, men at en entydig identifikator pr. enhed ikke er nødvendig. |
| 2 | Navn og adresse på fabrikanten eller dennes bemyndigede repræsentant | Den juridiske person, der bringer produktet i omsætning, med sin postadresse, i overensstemmelse med artikel 13(16) og bilag II punkt 1. |
| 3 | En erklæring om, at erklæringen udstedes på udbyderens eksklusive ansvar | Forordningens ord er her »udbyder«, på alle EU-Tidendes sprog; CRA kender ellers kun fabrikanter, og artikel 28(4) lægger ansvaret på fabrikanten. Erklæringen nævner fabrikanten. |
| 4 | Erklæringens genstand: identifikation af produktet, så det kan spores, hvilket kan omfatte et foto, hvor det er relevant | For software den samme identifikation som i punkt 1 plus det, der gør det sporbart: en build-identifikator, en hash af frigivelsesartefaktet eller downloadstedet med versionsstreng. |
| 5 | En erklæring om, at genstanden beskrevet ovenfor er i overensstemmelse med den relevante EU-harmoniseringslovgivning | Forordningen, citeret med sin offentliggørelsesreference. Hvor andre EU-retsakter også kræver en erklæring for produktet, dem alle (artikel 28(3)). |
| 6 | Henvisninger til de relevante anvendte harmoniserede standarder eller anden fælles specifikation eller cybersikkerhedscertificering, som der erklæres overensstemmelse med | Den 12. september 2026 er der ingen harmoniseret standard offentliggjort under forordningen og ingen fælles specifikation, så en fabrikant på standardniveauet skriver, at overensstemmelsen er vurderet efter modul A direkte mod bilag I, og nævner de tekniske specifikationer, den har anvendt. |
| 7 | Hvis det er relevant, navnet og nummeret på det bemyndigede organ, en beskrivelse af den udførte overensstemmelsesvurderingsprocedure og identifikation af den udstedte attest | Kun hvor et bemyndiget organ har været involveret: modul B og C eller modul H. Ved modul A nævnes proceduren, og resten er ikke relevant. |
| 8 | Yderligere oplysninger; underskrevet for og på vegne af, udstedelsessted og -dato, navn, stilling, underskrift | Den, der underskriver, binder fabrikanten efter artikel 28(4); datoen ligger før omsætningen. |
Punkt 3 fortjener sidebemærkningen. »Udbyder« er ordet i bilag V til AI-forordningen, forordning (EU) 2024/1689, hvor den erhvervsdrivende er udbyderen, og hvis punkt 3 lyder ens, og det står i CRA på alle EU-Tidendes sprog. Intet afhænger af det: Erklæringen er fabrikantens, og FAQ'ens egen beskrivelse er, at fabrikanten erklærer, at produktet er i overensstemmelse med CRA, og påtager sig ansvaret for det.
Reglerne omkring den
Sprog. Artikel 28(2): Begge former stilles til rådighed på de sprog, der kræves af den medlemsstat, hvor produktet bringes i omsætning eller gøres tilgængeligt på markedet. Et produkt, der sælges i hele Unionen, kan have brug for erklæringen på mere end ét sprog; den tekniske dokumentation har ikke (artikel 13(22) beder om et sprog, den anmodende myndighed let kan forstå).
Én erklæring for alle EU-retsakter. Artikel 28(3): Hvis et produkt er omfattet af mere end én EU-retsakt, der kræver en EU-overensstemmelseserklæring, »udfærdiges der en enkelt EU-overensstemmelseserklæring for alle sådanne EU-retsakter«, som angiver hver retsakt med dens offentliggørelsesreference. FAQ'en tilføjer, fra den blå vejledning, at den enkelte erklæring kan være et dossier af de relevante enkelte overensstemmelseserklæringer. En forbundet enhed under radioudstyrsdirektivet og CRA har én erklæring, eller ét dossier.
Produktfamilier. Kommissionens vejledning C(2026) 5252, punkt 174 og 175: Varianter, modeller eller konfigurationer, der deler samme arkitektur, samme sikkerhedsrelevante design og samme tilsigtede formål, og som er udsat for de samme risici, kan støtte sig på én risikovurdering, én teknisk dokumentation og én overensstemmelsesvurdering, hvilket tillader én EU-overensstemmelseserklæring for produktgruppen, så længe den klart angiver de produktvarianter, den gælder for.
Versioner. Artikel 28(2) siger, at erklæringen »skal ajourføres, i det omfang det er relevant«. FAQ'en: En ny version af produktet kan have brug for en ny overensstemmelseserklæring, især når den gennemfører en væsentlig ændring, hvilket er det punkt, hvor et produkt, der allerede er på markedet, kommer under forordningen.
Opbevaring. Artikel 13(13): Den tekniske dokumentation og erklæringen holdes til rådighed for markedsovervågningsmyndighederne i mindst 10 år efter, at produktet er bragt i omsætning, eller i supportperioden, hvis den er længere. Modul A punkt 4.2 gentager det og tilføjer, at et eksemplar »stilles efter anmodning til rådighed for de relevante myndigheder«. En bemyndiget repræsentants mandat skal tillade den at opbevare begge i samme periode (artikel 18(3)).
CE-mærkningen. For software lader artikel 30(1) mærkningen sidde på selve erklæringen eller på det websted, der ledsager produktet; artiklen om CE-mærkningen har detaljerne. Bilag II punkt 6 beder brugeroplysningerne om, hvor det er relevant, at give den internetadresse, hvor erklæringen kan tilgås, og det er den adresse, den forenklede form peger på.
Ned gennem kæden. Importører skal, før produktet bringes i omsætning, sikre, at det ledsages af den erklæring, der er omhandlet i artikel 13(20) (artikel 19(2)); distributører kontrollerer, at fabrikanten og importøren blandt andet har overholdt artikel 13(20) (artikel 20(2)). En manglende erklæring standser produktet hos den første forhandler, der læser forordningen.
Et udfyldt eksempel
Vores eksempel, for en fiktiv fabrikant, i bilag V's rækkefølge. Det er en model af strukturen, ikke en formular til at kopiere uden at have læst punkterne ovenfor.
- Produkt: Ledger Desktop, type LD-4, version 4.2.0 og senere inden for 4.x-serien, til Windows og macOS.
- Fabrikant: Example Software GmbH, Musterstraße 1, 10115 Berlin, Tyskland.
- Denne EU-overensstemmelseserklæring udstedes på fabrikantens eksklusive ansvar.
- Erklæringens genstand: Ledger Desktop LD-4, version 4.2.0, frigivelsesartefakter identificeret ved de SHA-256-hashes, der er offentliggjort på example.com/ledger/releases.
- Genstanden for erklæringen beskrevet ovenfor er i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2024/2847 af 23. oktober 2024 (Cyber Resilience Act), EUT L, 2024/2847, 20.11.2024.
- Harmoniserede standarder, fælles specifikationer eller certificeringer: ingen offentliggjort under forordningen på udstedelsesdatoen. Overensstemmelse vurderet efter proceduren for intern kontrol (modul A) i bilag VIII mod de væsentlige krav i bilag I med anvendelse af de tekniske specifikationer, der er opført i den tekniske dokumentation, afsnit 5.
- Bemyndiget organ: ikke relevant.
- Underskrevet for og på vegne af Example Software GmbH, Berlin, den 1. december 2027, Jane Doe, administrerende direktør.
Og den forenklede form, den sætning bilag VI foreskriver, med de tomme felter udfyldt: »Example Software GmbH erklærer herved, at typen af produktet med digitale elementer Ledger Desktop LD-4 er i overensstemmelse med forordning (EU) 2024/2847. EU-overensstemmelseserklæringens fulde tekst kan findes på følgende internetadresse: example.com/ledger/conformity.«
Hvad en manglende eller forkert erklæring koster
Artikel 58(1) opregner de forhold, hvor en markedsovervågningsmyndighed pålægger den pågældende fabrikant »at bringe den manglende overholdelse til ophør«; to af de seks er, at »EU-overensstemmelseserklæringen er ikke udarbejdet«, og at den »ikke er udarbejdet korrekt«. Hvis den manglende overholdelse varer ved, begrænser eller forbyder medlemsstaten tilgængeliggørelsen af produktet på markedet eller sikrer, at det tilbagekaldes eller trækkes tilbage (artikel 58(2)). Artikel 64(3) placerer artikel 28 i det andet bødetrin: op til 10 000 000 EUR eller 2 % af den samlede globale årlige omsætning, alt efter hvad der er højest. En forkert erklæring er også det første, en myndighed læser: Den nævner produktet, fabrikanten, proceduren og standarderne, og hver af dem kan efterprøves mod dokumentationen.
Erklæringen er det syvende af de elleve dokumenter i pakken med teknisk dokumentation, udarbejdet ud fra produktregistreringen med de otte punkter i bilag V's rækkefølge, så det, der underskrives på dagen, er det, dokumentationen siger. Hvad selve dokumentationen indeholder, er ledsagestykket.
Kilder
- Forordning (EU) 2024/2847 (CRA), artikel 13(12), (13), (16), (20) og (22), artikel 18(3), artikel 19(2), artikel 20(2), artikel 28, artikel 30(1), artikel 58, artikel 64(3), bilag II punkt 6, bilag V, bilag VI, bilag VIII del I punkt 4.2.
- Europa-Kommissionen, FAQ om Cyber Resilience Act, version 1.4 af 4. september 2026, afsnit 6.8.
- Europa-Kommissionen, vejledning C(2026) 5252 af 27. juli 2026, punkt 174 og 175.
- Forordning (EU) 2024/1689 (AI-forordningen), bilag V, for oprindelsen til ordlyden i punkt 3.
Dette er ikke juridisk rådgivning. Erklæringen binder den fabrikant, der underskriver den; den tekst, der skal læses før underskriften, er forordningens.