Supportperioden er det tidsrum, hvor fabrikanten retter sårbarheder og udsender sikkerhedsopdateringer til et produkt. Fra 11. december 2027 skal fabrikanten oplyse slutdatoen ved købet, og det giver driften en dato, der kan stå i systemlisten ud for hver version.
Datoen er kun nyttig, hvis den bliver registreret, holdt ajour og brugt til at planlægge udskiftningen. Det er de tre ting, en teknisk gennemgang ser efter.
Det, fabrikanten skal oplyse
Forordning 2024/2847 lægger pligten på fabrikanten. Længden følger den forventede brugstid og er mindst fem år, undtagen når produktet forventes brugt kortere (artikel 13, stk. 8). Efter Kommissionens vejledning er fem år en nedre grænse, som mange produkter bør ligge over.
Ved købet skal slutdatoen stå tydeligt med i hvert fald måned og år. Kan produktet teknisk vise det, skal det selv fortælle brugeren, at perioden er udløbet (artikel 13, stk. 19). Brugeroplysningerne skal også nævne datoen og typen af teknisk sikkerhedsstøtte (bilag II, nr. 7). Hvordan fabrikanten skal vise datoen og beskeden, står i artiklen om slutdatoen ved købet og beskeden i programmet.
Reglerne gælder først for versioner, som udsendes efter skæringsdatoen 11. december 2027. For ældre versioner er der ingen supportperiode efter forordningen, medmindre de ændres væsentligt efter datoen (artikel 69, stk. 2). Til dem bruger driften fortsat producentens egne oplysninger og prøven for aktiv support i de statslige minimumskrav, som er beskrevet under udgåede systemer.
Datoen kan flytte sig for den version, I kører
Når en væsentligt ændret efterfølger er udsendt, kan fabrikanten begrænse rettelserne til den nyeste version. Betingelsen er, at brugere af de ældre versioner kan skifte til den nyeste uden at betale og uden merudgifter til tilpasning af deres miljø (artikel 13, stk. 10). Kommissionen tæller medarbejdertid, rutinetest og konfigurationsændringer med til den almindelige indsats, brugeren selv bærer.
For driften betyder det, at den effektive slutdato for en ældre version kan komme før datoen i købsoplysningerne. Kommissionen forventer, at brugere, der ikke har opgraderet, får besked, hvis det er teknisk muligt. Hvad betingelserne betyder i praksis, er gennemgået i artiklen om, når kun nyeste version understøttes.
Skriv derfor altid version og dato sammen, og regn med, at en opgradering kan blive nødvendig, før perioden på papiret er udløbet.
Registreringen i systemlisten
Følgende felter er praksis, ikke krav fra forordningen. Tænkte eksempler i parentes.
- System og installeret version, læst fra systemet selv (lønsystemets klient, version 8.2).
- Fabrikantens slutdato for versionen, med kilden (købsoplysninger, maj 2033).
- Dato for seneste opslag af slutdatoen (14. november 2026).
- Om versionen er bragt i omsætning før eller efter 11. december 2027 (efter).
- Ejer af systemet, som skal planlægge udskiftningen (økonomichefen).
- Planlagt opgradering eller udskiftning med dato (version 9 i andet kvartal).
Versionen skal læses på maskinerne og ikke skrives af fra et indkøbsbilag. Det er samme princip som ved måling af opdateringsniveauet: listen er kun rigtig, hvis den stemmer med det, der faktisk kører. Hvordan listen bygges fra kilderne i miljøet, står i systemlisten bygget fra systemerne selv.
Udløb, der skal opdages i tide
En dato i et register hjælper ikke, hvis ingen ser på den. Det er almindelig praksis at trække de versioner ud, der mister support i løbet af de kommende tolv måneder, og gennemgå den på et fast møde, hvor ejerne deltager. Det giver tid til at budgettere, teste og planlægge et servicevindue.
Programmets egen meddelelse om, at supporten er slut, er et godt signal, men den når kun brugeren af den maskine, den vises på. På servere og i programmer uden brugerflade bliver den sjældent set. Den erstatter ikke registret.
Når en version passerer slutdatoen, bliver den et udgået system. Så skal der være en beslutning, en ejer og kompenserende tiltag, som beskrevet i undtagelseslisten.
Ældre opdateringer, der stadig kan hentes
Sikkerhedsopdateringer, der er udsendt i supportperioden, skal fabrikanten holde tilgængelige i ti år, eller hele supportperioden, hvis den er længst (artikel 13, stk. 9). Det har betydning for driften ved gendannelse. Skal et system genetableres på en bestemt version, fx efter en hændelse, kan de opdateringer, der hører til versionen, hentes hos fabrikanten. Fabrikantens side af sagen står i artiklen om opdateringsarkivet og de ti år.
Det, gennemgangen ser efter
Gennemgangen tager en stikprøve af systemer og læser versionen på hver. Versionen slås op i registret, og gennemgangen kontrollerer, at slutdatoen står med kilde og dato for opslaget. Står der en dato uden kilde, er det et fund, fordi ingen kan efterprøve den.
Dernæst ses på listen over versioner, hvis support slutter inden for et år, og om hver har en plan med ejer og dato. Til sidst kontrolleres det, at versioner, der allerede er passeret slutdatoen, står i undtagelseslisten.
Hvad det kræver, og hvad det koster at lade være
Det kræver et felt mere i systemlisten, et fast opslag hos fabrikanterne og en ejer for hvert system, der vil tage stilling. Datoerne for produkter fra før 2027 skal fortsat findes hos producenterne, og de er sværere at finde.
Uden registreringen bliver det en sårbarhed uden rettelse, der afslører, at versionen er løbet tør for opdateringer. Så er opgraderingen ikke længere noget, der kan planlægges.
Det skal I lade være med
- At skrive slutdatoen ind uden version · datoen gælder den version, fabrikanten har oplyst den for.
- At stole på programmets meddelelse alene · på servere bliver den sjældent set.
- At glemme systemer fra før december 2027 · de har ingen supportperiode efter forordningen og skal slås op hos producenten.
Det skal gennemgangen kunne vise
- ☐ Slutdato med kilde og dato for opslag for hver version i stikprøven.
- ☐ Installeret version læst fra systemet, som stemmer med registret.
- ☐ En liste over versioner, hvis slutdato falder inden for tolv måneder.
- ☐ En udskiftningsplan med ansvarlig og tidspunkt for hver af dem.
- ☐ Versioner efter slutdatoen ført i undtagelseslisten.
Kilder
- Forordning (EU) 2024/2847 (Cyber Resilience Act), artikel 13, stk. 8, 9, 10 og 19, artikel 69, stk. 2, artikel 71 og bilag II, nr. 7, læst 13. november 2026.
- Europa-Kommissionen, Commission guidance on the application of Regulation (EU) 2024/2847, C(2026) 5252, 27. juli 2026, punkt 126, 130 og 131 med fodnote 18, læst 13. november 2026.
- Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 3.1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tilføj et felt til slutdatoen i systemlisten, og udfyld det for de ti vigtigste systemer med kilde og dato for opslaget.
Læs også: Opdateringsniveau · Når et system lukkes
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
