Skip to content

Lempelser og undtagelser

Cyber Resilience Act (CRA) gælder bredt for produkter med digitale elementer – men der findes vigtige undtagelser, særlige hensyn til open source og en række præambler, der hjælper med fortolkning af reglerne.

Dette afsnit samler centrale undtagelser, præciseringer og fortolkninger, særligt vedrørende:

  • Open source-software (OSS)
  • Ikke-kommercielle aktører
  • Særlige produktkategorier
  • Tjenesteydelser (f.eks. SaaS og API’er)

Hvad gælder ikke for CRA?

CRA gælder som udgangspunkt for alle produkter med digitale elementer, der bringes i omsætning på EU-markedet. Dog er visse kategorier helt eller delvist undtaget:

Undtagne sektorer og produkter

Undtagelse Forklaring
Sektorlovgivning Produkter under sektorregler med tilsvarende eller højere cybersikkerhedskrav, fx medicinsk udstyr, luftfart, biler.
National sikkerhed og forsvar Militært udstyr, klassificeret teknologi og produkter til sikkerhedsformål er undtaget.
Interne systemer Produkter der ikke bringes i omsætning, men udelukkende bruges internt af fx myndigheder.
Reservedele Identiske komponenter til allerede godkendte produkter er undtaget.

🛑 CRA gælder ikke for rene tjenesteydelser som SaaS, API’er eller webapps – medmindre de er integreret i et produkt, der bringes i omsætning.

OSS – Open Source Software

CRA anerkender betydningen af open source og søger en balance mellem sikkerhed og udviklingsfrihed. CRA sondrer mellem:

1. OSS-forvaltere (ikke-kommercielle)

  • OSS-forvaltere er personer eller organisationer, der udvikler og udgiver software uden kommercielt formål.
  • Disse er undtaget fra ansvar og bøder, hvis:
  • Softwaren udgives gratis, og
  • Der ikke foreligger kommerciel aktivitet (direkte eller indirekte)

Artikel 24 og præambel 120 præciserer denne undtagelse.

2. Brug af OSS i kommercielle produkter

Hvis en fabrikant anvender open source-komponenter i egne produkter, gælder fuldt CRA-ansvar:

  • Fabrikanten skal sikre, at OSS-komponenten:
  • Overholder de væsentlige cybersikkerhedskrav (Bilag I)
  • Indgår i risikovurderingen
  • Er dækket i SBOM og opdateringsprocesser

🧠 CRA skelner altså mellem dem, der skaber OSS uden kommercielt formål, og dem, der integrerer OSS i produkter med kommerciel distribution.

OSS og CE-mærkning

Hvis gratis open source-software (OSS) i sig selv bringes i omsætning som et produkt med digitale elementer, gælder en særlig undtagelse fra de almindelige krav om tredjepartsvurdering:

Produktet kan vurderes ved intern kontrol (Modul A) – uden inddragelse af tredjepart – hvis følgende betingelser er opfyldt:

  • Softwaren stilles til rådighed gratis, og
  • Den ikke indgår i en kommerciel aktivitet, og
  • Kildekoden er offentligt tilgængelig, og
  • Teknisk dokumentation er offentligt tilgængelig
    (f.eks. via repository eller dedikeret dokumentationsside)

Denne undtagelse fremgår af artikel 32, stk. 10, og er især relevant for projekter med høj gennemsigtighed og lav kompleksitet, hvor markedsovervågningsmyndigheder let kan verificere overholdelse af kravene.

📌 Vigtigt:
Denne undtagelse gælder kun, hvis open source-softwaren i sig selv udgør et produkt med digitale elementer.
Den gælder ikke, hvis OSS blot indgår som komponent i et kommercielt produkt. I så fald gælder de almindelige overensstemmelsesprocedurer afhængigt af produktets klassificering.

Integration af API’er og tjenester

Selvom CRA ikke dækker rene tjenester, skal integrerede API’er og eksterne komponenter vurderes, hvis de udgør en del af det samlede produkt med digitale elementer:

  • Producenten skal sikre, at disse komponenter ikke underminerer opfyldelsen af de væsentlige cybersikkerhedskrav
  • Dette gælder uanset, om API’et eller tjenesten er open source, gratis eller tredjepart

📌 Præambel 34: Ved integration af OSS eller 3. parts software, bør fabrikanten sikre, at komponenterne overholder cybersikkerhedskravene.

Retningslinjer og støtte til vurdering

CRA lægger vægt på, at alle cybersikkerhedsrisici afdækkes gennem:

  • Risikovurdering (artikel 13 og bilag I)
  • Dokumentation af komponenter (SBOM)
  • Løbende sårbarhedsovervågning og ajourføring

Særlige undtagelser fritager ikke fabrikanter for due diligence.

🧠 CRA bruger udtryk som "bør", "kan" og "hensigten er" i præamblerne – men de spiller stadig en vigtig rolle ved juridisk fortolkning og markedsovervågning.

Mikrovirksomheder og små aktører

  • CRA gælder også for mikrovirksomheder
  • De er dog undtaget fra:
  • Bøder ved overskridelse af 24-timers-fristen for indberetning
  • Visse administrative krav (præambel 120)
  • De skal dog stadig:
  • Udføre risikovurdering
  • Overholde cybersikkerhedskrav
  • Dokumentere overensstemmelse

Kort opsummering

Aktør / komponent CRA-gældende? Undtagelse / betingelse Kilde
Open source-forvalter (gratis OSS) ❌ Ikke-kommerciel aktivitet Artikel 24, præambel 120
OSS i kommercielle produkter ✅ Fabrikanten ansvarlig for sikkerhed og dokumentation Artikel 13, bilag I
API’er og tredjepartsservices ✅ Vurderes, hvis de er integreret i produktet Præambel 34
SaaS/webapps (rene tjenester) ❌ Kun dækket ved fysisk integration Artikel 2, stk. 1
Mikrovirksomheder ✅ Visse bødefritagelser, men samme tekniske krav Præambel 120

🔍 CRA handler om produkter, ikke blot software. OSS og tjenester skal derfor vurderes ud fra, om de indgår i et produkt med digitale elementer, der bringes i omsætning.

Last update: 2025-10-30 12:07:19