Cyber Resilience Act kræver, at software med digitale elementer som udgangspunkt installerer sikkerhedsopdateringer automatisk, når det er relevant, og at brugeren kan slå det fra. For driften betyder det, at flere programmer vil opdatere sig selv, og at et fravalg bliver en beslutning, driften selv skal kunne forklare.
Kravene binder kun software, der sendes på markedet fra 11. december 2027. Indtil da og for ældre versioner er det producentens egne indstillinger, der gælder.
Det, forordningen kræver af produktet
Efter bilag I, del I, nr. 2, litra c, i forordning 2024/2847 skal en sårbarhed kunne lukkes med en sikkerhedsopdatering. Er det relevant, installeres opdateringen automatisk og som standardindstilling inden for en passende tid. Brugeren skal have en klar og brugervenlig mulighed for at fravælge, få besked om tilgængelige opdateringer og kunne udsætte dem midlertidigt.
Brugeroplysningerne skal forklare, hvordan sikkerhedsopdateringer installeres, og hvordan den automatiske installation slås fra (bilag II, nr. 8). Fabrikantens side af kravet, med fravalg og undtagelser, er gennemgået i artiklen om automatiske sikkerhedsopdateringer som standard.
Tre krav i bilag I, del II, har også betydning for driften. Sikkerhedsopdateringer skal, hvor det er teknisk muligt, leveres adskilt fra opdateringer med nye funktioner (nr. 2). Distributionen af opdateringer skal ske sikkert (nr. 7). Og tilgængelige sikkerhedsopdateringer skal formidles uden unødigt ophold og uden betaling, medmindre andet er aftalt for et skræddersyet produkt (nr. 8).
Hvor automatikken ikke gælder
Ifølge betragtning 56, som Kommissionens tjenestegrenes FAQ gengiver, gælder kravet om automatiske opdateringer ikke produkter, der primært er beregnet til at indgå som komponenter i andre produkter. Det gælder heller ikke produkter, hvor brugerne ikke med rimelighed forventer automatiske opdateringer. Som eksempel nævnes udstyr til professionelle IT-net og særligt kritiske og industrielle anlæg, hvor en opdatering uden varsel kan standse produktionen.
Fabrikanten skal stadig fortælle om sårbarhederne og levere opdateringerne hurtigt. Den betyder blot, at installationen ligger hos brugeren. For en driftsafdeling med servere, netudstyr og produktionsudstyr vil en stor del af porteføljen derfor fortsat blive opdateret efter driftens egen proces.
Fravalget flytter ansvaret
Ifølge FAQ’en bærer fabrikanten intet ansvar efter forordningen for opdateringer, brugeren undlader at installere, fx efter at have slået automatikken fra. Det er en vigtig detalje. Fravælger driften automatikken for at styre opdateringerne centralt, er det driften, der skal sikre, at de bliver installeret.
Forordning 2024/2690 peger samme vej for de enheder, den gælder. Bilagets punkt 6.6.1 kræver rettelser installeret inden for en rimelig tid, prøvet af før produktion og hentet fra troværdige kilder. Punkt 6.6.2 tillader at springe en rettelse over, når den gør mere skade end gavn, på betingelse af en skriftlig begrundelse. Som målestok for andre virksomheder er det vores tolkning.
Et fravalg af automatikken er ikke et fravalg af opdateringen. Det er en flytning af arbejdet til driftens egen proces, og den proces skal kunne vises.
Det, der ændrer sig i patchstyringen
Punkterne herunder er praksis. Forordningen kræver dem ikke.
En beslutning pr. produkt. For hvert program skal det stå, om det opdateres automatisk af sig selv, centralt via driftens værktøj eller manuelt, og hvorfor. Klienternes kontorprogrammer kan typisk køre automatisk. Forretningssystemer, der skal testes mod integrationer, styres ofte centralt.
Udsættelse med en slutdato. Forordningen kræver, at opdateringer kan udsættes midlertidigt. Driften kan bruge udsættelsen til at teste, men en udsættelse uden slutdato bliver et stille fravalg. Skriv den længste udsættelse ind i politikken.
Kortere test af rene sikkerhedsopdateringer. Når en sikkerhedsrettelse kommer uden nye funktioner, kan testen ofte nøjes med at kontrollere, at systemet starter og de vigtigste funktioner virker. Kommissionen bemærker, at adskillelsen ikke kræves, hvor rettelsen selv forudsætter en funktionsændring. Hvordan fabrikanten skal skille de to slags opdateringer, står i artiklen om sikkerhedsopdateringer adskilt fra funktionsopdateringer.
Opdateringer bag en supportaftale. I supportperioden skal sikkerhedsopdateringer være uden betaling. Om de må kræve en gyldig licensnøgle eller supportaftale, afgøres ikke udtrykkeligt i de læste kilder. Spørgsmålet er gennemgået under sikkerhedsopdateringer uden betaling og uden unødigt ophold.
Måling på maskinerne. At et program opdaterer sig selv, viser ikke, at det er sket. En maskine, der sjældent er på nettet, eller en bruger, der har udsat opdateringen, kan stå bagud. Målingen beskrevet i opdateringsniveau gælder også for programmer med automatik.
Det, gennemgangen prøver
Gennemgangen beder om oversigten over opdateringsmåde pr. produkt og vælger nogle programmer i hver gruppe. For dem med automatik læses versionen på et udsnit af maskinerne og sammenlignes med fabrikantens seneste sikkerhedsopdatering. For dem, hvor automatikken er slået fra, ses der efter beslutningen, ejeren og sporet efter den seneste opdatering i driftens egen proces.
Til sidst ses der på udsættelser. Står der maskiner med en udsat opdatering ældre end politikkens grænse, er det et fund.
Hvad det kræver, og hvad det koster at lade være
Det kræver en oversigt over opdateringsmåde pr. produkt, en politik for udsættelse og fravalg og en måling, der viser, at begge veje virker. Oversigten kan bygges ud fra den liste over programmer, opdateringsværktøjet og målingen allerede giver.
Uden oversigten falder programmer mellem to stole: automatikken er slået fra, fordi driften ville styre opdateringen, men ingen har lagt programmet ind i driftens værktøj. Efter forordningen er fabrikanten så ude af ansvaret.
Det skal I lade være med
- At slå automatikken fra uden at overtage opdateringen · fabrikanten er ikke ansvarlig efter et fravalg.
- At lade udsættelser stå uden slutdato · en udsat opdatering bliver let en glemt opdatering.
- At regne en automatisk opdatering for installeret · mål versionen på maskinerne.
Det skal gennemgangen kunne vise
- ☐ En oversigt over opdateringsmåde pr. produkt med begrundelse.
- ☐ En skrevet politik for udsættelse og fravalg med den længste udsættelse.
- ☐ Versioner målt på maskinerne for programmer med automatik.
- ☐ Ejer og spor efter seneste opdatering for programmer uden automatik.
- ☐ En liste over maskiner med udsatte opdateringer og deres alder.
Kilder
- Forordning (EU) 2024/2847 (Cyber Resilience Act), artikel 69, stk. 2, artikel 71, bilag I, del I, nr. 2, litra c, bilag I, del II, nr. 2, 7 og 8, og bilag II, nr. 8, læst 13. november 2026.
- Europa-Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4 af 4. september 2026, FAQ 4.2.5, 4.3.3 og 4.3.5, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.6.1 og 6.6.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en kolonne for opdateringsmåde i listen over programmer, og udfyld den for de tyve mest udbredte.
Læs også: Rettefrister, der kan efterprøves · Undtagelseslisten
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
