...

Cyber Resilience Act

Er jeres software klar, før kravene gælder?

Cyber Resilience Act, forordning (EU) 2024/2847, stiller krav til alle, der sætter produkter med digitale elementer på det europæiske marked. Det gælder også software: apps, programmer, komponenter og den software, der følger med et produkt.

Pligten til at indberette aktivt udnyttede sårbarheder og alvorlige hændelser gælder fra 11. september 2026. De øvrige krav gælder fra 11. december 2027.

En gennemgang viser jer, hvor jeres produkt og jeres udviklingsproces står i forhold til kravene, og hvad der skal på plads, før I selv skriver under på, at produktet overholder dem.

Hvem er omfattet?

Forordningen gælder fabrikanten, altså den, der sætter produktet på markedet under eget navn. For mange danske softwarehuse betyder det:

• I sælger software, apps eller komponenter til kunder i EU
• Jeres software indgår i andres produkter
• I leverer software, der installeres hos kunden, eller som følger med et fysisk produkt

Rene tjenester, der kun leveres som en løsning drevet hos jer, er som udgangspunkt ikke omfattet, medmindre de er nødvendige for, at et produkt virker. Der er også særregler for gratis open source. Hvor grænsen går for jeres produkter, er en af de første ting, vi ser på.

Hvad kigger vi på?

Afgrænsning og klassifikation: Er produktet omfattet? Er det et almindeligt produkt, eller et vigtigt eller kritisk produkt med skærpede krav til overensstemmelsesvurderingen?

Krav til produktet: Bilag I, del I: sikker standardopsætning, beskyttelse af data, adgangskontrol, sikre opdateringer og den risikovurdering, kravene skal bygge på.

Sårbarhedshåndtering: Bilag I, del II: softwarestykliste (SBOM), modtagelse og håndtering af sårbarhedsrapporter, sikkerhedsopdateringer og den politik for koordineret offentliggørelse, I skal have.

Indberetning: Kan I varsle inden for 24 timer og indberette inden for 72 timer, når en sårbarhed udnyttes aktivt, eller der sker en alvorlig hændelse? Hvem gør det, og hvor?

Supportperiode: Hvor længe skal produktet have sikkerhedsopdateringer, og hvordan er perioden fastsat og oplyst?

Teknisk dokumentation: Det, I skal kunne vise markedsovervågningsmyndigheden efter bilag VII, og grundlaget for jeres egen EU-overensstemmelseserklæring.

Det, gennemgangen ikke er

Nielco IT er ikke et bemyndiget organ og udsteder ikke certifikater eller overensstemmelseserklæringer. Erklæringen skriver I selv under på som fabrikant. Kræver jeres produkt en vurdering ved et bemyndiget organ, forbereder gennemgangen jer på den.

Gennemgangen omfatter software og udviklingsproces. Vi tester ikke fysiske produkter eller hardware.

Sådan foregår en gennemgang

1. Afgrænsning
   Vi gennemgår jeres produkter og finder ud af, hvilke der er omfattet, og hvilken klasse de hører til.
2. Gennemgang af produkt og proces
   Vi holder produktet og udviklings- og sårbarhedsprocessen op mod kravene i bilag I og pligterne i forordningen. Vi ser på dokumenter, opsætning og den måde, I faktisk arbejder på.
3. Rapport
   I får en rapport med de krav, der er opfyldt, de huller, der skal lukkes, og en prioriteret rækkefølge frem mod fristerne.
4. Opfølgning
   Når hullerne er lukket, kan vi gennemgå dem igen, så I har grundlaget for jeres egen overensstemmelsesvurdering.

Det får I

• Overblik over, hvilke produkter der er omfattet, og hvordan
• En uvildig vurdering af produkt og proces mod forordningens krav
• En prioriteret plan frem mod 2026 og 2027
• Et klart billede af, hvad I selv skal kunne dokumentere og indberette

Gennemgangen er uvildig og uafhængig. Nielco IT har ingen forhandleraftaler.

Skal jeres software gennemgås?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres produkter, og hvor I står i forhold til Cyber Resilience Act.