CRA's 24-timers indberetningspligt har gældt siden 11. september 2026. Se om den rammer jer
Start systemet

For softwareudviklereprodukter og kundeløsninger, i hele EU

Software til EU-markedet. Hold hvert produkts fil opdateret.

Cyber Resilience Act rammer den software, I sælger, og de løsninger, I overdrager til kunder, og købere beder om ISO 27001 under alle omstændigheder.

Start jeres compliance-system Tjek om CRA gælder for jer
Eksempeldata

De regler, der rammer jer

Hvad der rammer et softwarehus, og hvornår

Én lov dækker hvert produkt, I leverer, én standard beder jeres købere om, og to mere afhænger af, hvad I bygger.

Cyber Resilience Act

Forordning (EU) 2024/2847 · Produkter med digitale elementer

Hvert produkt, I bringer i omsætning

Software, I bringer i omsætning i EU, og som forbinder sig til en enhed eller et net, med fabrikantens pligter efter artikel 13 hos jer.

24 tTidlig varsling om en aktivt udnyttet sårbarhed, også for allerede solgte produkterArt. 14
Klasse IAdgangskodeadministratorer, browsere, VPN'er og styresystemer er vigtige produkterBilag III
KundeløsningerSoftware, der bygges til én kunde og overdrages, gøres også tilgængelig på markedetArt. 3(22)
SaaSUdenfor, medmindre det er fjerndatabehandling for et produktBetragtning 12
Art. 13Rapportering siden Fuldt ud fra

ISO 27001

ISO/IEC 27001:2022 · en standard

Ikke en lov

Købere beder om certifikatet, og de fleste udbud, der nævner det, gælder software og IT-arbejde.

Bilag A, 93 foranstaltningerJeres kunder sætter datoen

Data Act

Forordning (EU) 2023/2854

Hvis I sælger SaaS

Kapitel VI lader jeres kunder skifte til en anden udbyder, på vilkår i kontrakten, uden gebyrer for skift fra 12. januar 2027.

Kapitel VIArt. 29Siden Ingen gebyrer for skift fra

AI-forordningen

Forordning (EU) 2024/1689

Hvis I bygger AI-funktioner

Har jeres software en AI-funktion, der interagerer med mennesker, kræver artikel 50, stk. 1, at I fortæller dem, at de har med et AI-system at gøre.

Art. 50(1)Siden

I tal

Hvad købere beder om, og hvor lang tid I har

2.055 af3.403

udbud, der nævnte ISO 27001, gjaldt software eller IT-tjenester, 60 % af alle i året til 10. oktober 2026.

Kilde: TED, hovedklassifikation CPV 48 eller 72, læst 11. oktober 2026

til Cyber Resilience Act gælder fuldt ud.

Kilde: Forordning (EU) 2024/2847, artikel 71, stk. 2

23

produkttyper er vigtige efter bilag III, blandt dem adgangskodeadministratorer, browsere og styresystemer.

Kilde: Forordning (EU) 2024/2847, bilag III

Hvad StandardOS gør for en softwarevirksomhed

Én fil pr. produkt, og ISMS'et bag dem

Hver flise er en skærm i produktet i dag.

Én teknisk fil pr. produkt

Hvert produkts kategori, tekniske dokumentation, SBOM og supportperiode, holdt opdateret, når det ændrer sig.

Fristerne i artikel 14, talt

Fra det øjeblik, I bliver bekendt med en aktivt udnyttet sårbarhed, står hver rapports frist på skærmen.

Jeres ISMS, skrevet

ISO 27001 med anvendelseserklæring og politikker skrevet til jer, klar til godkendelse.

Spørgeskemaer besvaret fra jeres registre

Indsæt en kundes spørgsmål, og hvert svar skrives ud fra jeres foranstaltninger og dokumentation, med kilden.

Ét abonnement

Hver regel på denne side, i ét register.

ISO27001CRANIS2DORAISO42001AIACTISO9001MRGDPRDATAACTISO27701EAAISO14001PLDREDGPSRNIS2IRRoHSREACHWEEEPPWRWBBATPTDEUDREEDCER

De 4 på denne side og 23 mere til samme pris

249 €/måned

Alle rammer inkluderet.

ekskl. moms, pr. organisation

  • Ubegrænset antal brugere, auditorer inkluderet
  • 7 dage gratis, intet kort, intet salgsopkald
Start jeres compliance-system

Eller én fil, én gang: CRA Readiness Toolkit, 199 €Se pakken

Spørgsmål

Hvad softwarehuse spørger om først

Korte svar, hver med den artikel, den hviler på.

Gælder CRA for software, vi bygger til én kunde?

Ja, når I overdrager den: at levere den til brug som led i erhvervsaktivitet er at gøre den tilgængelig på markedet. For et skræddersyet produkt kan I og en erhvervsbruger aftale andre vilkår for standardkonfigurationen og for gratis sikkerhedsopdateringer.

Art. 3(22)Bilag I
Vi sælger kun SaaS. Er det omfattet?

Ikke som produkt. Betragtning 12 overlader software som en tjeneste til NIS2, medmindre det er den fjerndatabehandling, et af jeres produkter har brug for for at fungere.

Betragtning 12Art. 3(2)
Hvad skylder vi siden 11. september 2026?

Rapportering efter artikel 14: en tidlig varsling inden for 24 timer efter, at I er blevet bekendt med en aktivt udnyttet sårbarhed, også for produkter, der allerede er på markedet.

Art. 14Art. 69(3)
Er vores produkt vigtigt eller kritisk?

Kun hvis bilag III eller IV nævner det, for eksempel adgangskodeadministratorer og browsere. Alt andet er i standardkategorien, og I vurderer selv overensstemmelsen.

Bilag IIIArt. 32(1)
Skal vi have ISO 27001 for CRA?

Nej. CRA har sine egne væsentlige krav i bilag I. ISO 27001 er det, købere og udbud beder om, og vi offentliggør koblingen mellem de to.

Bilag I

Start med ét produkt. Tilføj resten, når I er klar.

7 dage gratis, uden kort og uden salgsopkald.

Start jeres compliance-system Tjek om CRA gælder for jer

Denne side på:EnglishDeutschFrançaisNederlandsEspañol