Når I køber en printer, en router eller et program, ved I sjældent, hvor længe producenten vil rette sikkerhedsfejl i det. Det ændrer Cyber Resilience Act, forkortet CRA og på dansk forordningen om cyberrobusthed. Fra 11. december 2027 gælder hovedpligterne, og en af dem er, at slutdatoen for producentens support skal oplyses ved købet. For en virksomhed uden IT-chef er det en af de mest brugbare oplysninger, I kan få. Datoen fortæller, hvornår udstyret ender på udskiftningsplanen. Pligterne ligger hos producenten, så som almindelig køber skal I ikke gøre noget for at overholde reglerne, men I kan bruge dem.
Hvad reglerne dækker
CRA gælder produkter med digitale elementer, altså software og hardware, som kan kobles til andet udstyr eller et net. Kommissionens eksempler omfatter bærbare, smartphones og printere med deres drivere. Producenten, som forordningen kalder fabrikant, skal vurdere produktet, sætte CE-mærke på og håndtere sårbarheder, altså sikkerhedsfejl, i supportperioden.
Der er vigtige afgrænsninger:
- Ren webløsning. Efter Kommissionens vejledning er et system, I kun bruger i browseren, som hovedregel uden for CRA. Installerer I en klient eller en app, kan det være anderledes. Vejledningen er ikke bindende.
- Særlige områder. Bl.a. medicinsk udstyr har egne regler og er undtaget.
- Eget brug. Værktøjer, en virksomhed selv laver til eget brug, er ifølge Kommissionen ikke omfattet, medmindre de også bringes på markedet.
- Det, I allerede har. Det, der kom på markedet inden 11. december 2027, rammes først af hovedpligterne, hvis det ændres væsentligt fra den dato.
Reglerne gælder altså ikke hele jeres IT. Det, der købes fra slutningen af 2027 og frem, får bedre oplysninger.
Supportperioden er det, I skal bruge
Supportperioden er den tid, hvor producenten skal håndtere sikkerhedsfejl. Hovedreglen er mindst fem år. Forventes produktet brugt i kortere tid, kan perioden være kortere, og forventes det brugt længere, skal den være længere. Slutdatoen skal stå klart og forståeligt ved købet, med mindst måned og år.
To ting er værd at vide.
Datoen er producentens og følger ikke jeres køb. Kommissionens svar på ofte stillede spørgsmål giver et eksempel: en producent sender hardware på markedet i januar 2028 med fem års support. En forhandler må godt sælge restlageret efter januar 2033. Et tilbud på en billig maskine fra lageret kan altså have kort tid tilbage, eller ingen. Se derfor på datoen, også når produktet er nyt og uåbnet.
Fem år er ikke givet. Producenten fastsætter perioden ud fra kriterier i forordningen. Sammenlign derfor datoer, når I sammenligner tilbud.
Forslaget her er vores: Se slutdatoen som en del af prisen. To printere, der koster det samme, er ikke lige gode, hvis den ene har dobbelt så lang support.
Sæt datoen på listerne
Oplysningen hjælper kun, hvis nogen gemmer den. Tre steder er oplagte.
I indkøbsreglen. Tilføj en linje i reglen for, hvem der må købe IT: Ved køb af udstyr og software noteres supportens slutdato.
I udskiftningsplanen. Tilføj en kolonne med dato på udstyrslisten i den faste plan for PC’er og udstyr. Så kommer de gamle pc’er, der ikke kan opdateres, ikke længere bag på jer.
I kravene til leverandøren. Bed IT-leverandøren oplyse datoen i tilbud fra nu af, også før reglerne gælder. Et svar om, at datoen ikke kendes, er også en oplysning. Skriv kravet ind i tilbudsskabelonen, og gør det til et fast punkt på møderne med IT-leverandøren.
Spørgsmål ved køb
Stil disse spørgsmål ved større køb, også før december 2027:
- Hvornår slutter jeres support med sikkerhedsopdateringer, måned og år?
- Hvor får vi besked om sikkerhedsopdateringer?
- Hvad sker der med produktet, når perioden slutter? Virker det videre, og hvad afhænger det af?
- Hvem er producent, og hvem er importør, hvis producenten ligger uden for EU?
- Har produktet CE-mærke efter CRA, når reglerne gælder?
- Bliver der brug for en bestemt cloudtjeneste, for at det virker?
Det sidste spørgsmål handler om afhængighed af leverandøren, som er en større snak. Her er det nok at vide, hvad I køber.
Sælger I selv produkter?
Forhandler I selv udstyr, ser sagen anderledes ud. En importør skal sikre sig, at producenten har gjort sit arbejde, og at produktet har CE-mærke. En distributør, altså den, der sælger videre uden at ændre produktet, skal tjekke CE-mærket og at oplysningerne og supportperioden er med. Distributører skal ikke bringe ældre varer i orden, medmindre de ændrer dem væsentligt. Grossister bør derfor tage reglerne op med advokat i god tid, se IT i engros. Sælger I noget under eget navn, kan I selv blive fabrikant. Vinklen for dem, der laver software, står i Cyber Resilience Act for softwareproducenter.
Et tænkt eksempel: en lille produktionsvirksomhed med 40 ansatte får i 2028 to tilbud på netværksudstyr. Det billigste kommer fra et restparti, og supporten slutter om halvandet år. Økonomichefen regner udskiftningen med og vælger det andet tilbud. Datoen står nu på udstyrslisten, og udskiftningen ligger i budgettet.
Det gør I nu
Tilføj kolonnen til udstyrslisten nu, og spørg om datoen ved næste køb. Bed IT-leverandøren om slutdatoer på det vigtigste udstyr, og sæt dem i IT-planen. Datoen for reglerne står også på frister.
Det skal I lade være med
- At vente til 2027 med at spørge · I kan stille spørgsmålet i dag.
- At tro, at CE-mærket lover noget om jeres sikkerhed · drift og opdatering er stadig jeres ansvar.
- At købe restparti uden at se datoen · nyt på hylden betyder ikke lang support.
Det skal I kræve af den eksterne
- ☐ En kolonne med supportens slutdato på udstyrslisten.
- ☐ Slutdatoen som fast oplysning i tilbud.
- ☐ En vurdering af de vigtigste produkter, der løber ud inden for planperioden.
- ☐ Tydelig forskel på det, der gælder i dag, og det, der gælder fra december 2027.
- ☐ Afklaring af, om I selv kan være importør eller distributør.
Kilder
- Kommissionen: Cyber Resilience Act, resumé: pligter, supportperiode og datoer.
- Kommissionen: Spørgsmål og svar om CRA: omfang, eget brug, supportperiode og distributører.
- Kommissionens vejledning af 27. juli 2026, C(2026) 5252: webløsninger og supportperiode. Ikke bindende.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem må købe IT? · Datoer og frister
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-chef hos Nielco IT
