Svaret afhænger af, hvad der kører hos brugeren. Efter Kommissionens opfattelse er en webapplikation, der udelukkende bruges gennem browseren, som udgangspunkt ikke et produkt med digitale elementer. Kommer der derimod en app, en desktop-klient eller en browserudvidelse ud på brugerens maskine, er den et produkt, og den backend, klienten ikke kan undvære, regnes med. Samme SaaS kan altså stå uden for med en ren webflade og være omfattet, når der kommer en mobilapp til. Vejledningen er ikke bindende, og domstolene har det sidste ord. Tre spørgsmål giver jer et første svar. Artiklen er ingen juridisk rådgivning.
Spørgsmål 1: Kører noget hos brugeren?
Software er ifølge vejledningen omfattet, når den leveres til brugeren, modtages og kører på eller som del af brugerens system. Kommissionens eksempler og beskrivelser dækker:
- App fra en app-butik.
- Pakket skrivebordsprogram.
- Browserudvidelse.
- App bygget med webteknologi, som kører lokalt.
Uden for ligger efter vejledningen webapplikationer, som kun åbnes i en browser, progressive webapps af samme slags og rene informationssider, medmindre de understøtter funktionen af et produkt.
Se efter det, der er let at glemme: en lille synkroniseringsagent, et kommandolinjeværktøj til kundens udviklere, et plugin til et andet system eller et SDK, altså et kodebibliotek, kunderne bygger ind i deres egen software. Alt dette er software, der leveres til nogen, og det skal vurderes. Lav listen, før I konkluderer. App, webapp eller begge? tager valget, hvis I endnu ikke har besluttet jer.
Spørgsmål 2: Hænger en klient sammen med jeres backend?
Fjerndatabehandling er forordningens ord for databehandling på afstand, hvis fravær ville forhindre produktet i at udføre en funktion, og hvis software er designet og udviklet af jer eller under jeres ansvar. Vejledningen lægger vægt på alle tre led.
Har I en mobilapp, som intet kan uden jeres API, er backend’en en del af produktet. Så kan kravene række ind i det, I ellers tænker på som ren SaaS. Det punkt overrasker mange.
Spørgsmål 3: Hvis kode er det?
Vejledningen skelner mellem jeres egen kode og andres tjenester:
- Egen kode på en andens platform. Kører jeres kode på en tredjeparts IaaS eller PaaS, altså lejet infrastruktur eller platform, kan det være fjerndatabehandling. Hvem der driver løsningen, er ikke afgørende.
- En andens færdige SaaS. En tjeneste til fx betaling eller mail, der indgår i produktet, er ikke fjerndatabehandling. Den behandles som en komponent, og I skal vurdere og håndtere risikoen ved integrationen. Det er uddybet i tredjepartsbiblioteker, SBOM og byggepipeline.
- Interne systemer. HR, løn, CRM og CI/CD-pipelines er ikke fjerndatabehandling. CRA dækker ikke virksomhedens samlede IT.
Tre tænkte eksempler
Tænkt eksempel 1. Et softwarehus leverer et bookingsystem, som kunderne alene bruger i browseren. Efter Kommissionens opfattelse ligger det uden for begrebet. Afklaringen skal stå skrevet og gentages ved ændringer.
Tænkt eksempel 2. Samme softwarehus lancerer en mobilapp til kundernes medarbejdere. Appen kræver backend’en for at virke. Appen er nu et produkt, og backend’en kan være fjerndatabehandling, som følger med.
Tænkt eksempel 3. En webapp bruges i browseren, men leveres sammen med en lille agent, kunden installerer for at hente data ind. Agenten kan være et produkt. Webfladen skal vurderes i lyset af, hvad agenten er afhængig af.
Tjek også, om I er fabrikant
Den virksomhed, der leverer under eget navn eller varemærke som led i kommerciel aktivitet, er fabrikant. Det kan også gælde uden betaling, se overblikket over forordningen. Fri software er efter vejledningen kun fri software i forordningens forstand, hvis licensen giver alle rettigheder, og kildekoden deles åbent. Kode, der alene deles med betalende kunder, tæller ikke.
Det svar, kunden skal have
Spørger en kunde, om I er omfattet, er det bedste svar kort og præcist. Undgå et rungende nej. Et svar kan lyde sådan her:
“Vi har gennemgået vores leverance efter forordningen og Kommissionens vejledning. Vores webapplikation tilgås alene i browser, og efter Kommissionens opfattelse er den i den form ikke et produkt med digitale elementer. Vores mobilapp behandler vi som omfattet, og vi følger forordningens krav og datoer for den. Vurderingen er senest gennemgået i november 2026 og gentages ved ændringer i produktet.”
Svaret skal naturligvis passe til jeres situation, og alle i kundedialogen skal bruge det samme. Det hører til de faste svar i kundens spørgeskema om produktet.
Hvad gør I nu?
- Lav en liste over alt, der leveres til kunderne, også de små værktøjer.
- Besvar de tre spørgsmål for hver del, og skriv begrundelsen ned.
- Få en advokat til at se på tvivlstilfælde.
- Læg en kontrol ind, så nye klienter og apps udløser en ny vurdering.
- Er noget omfattet, så placer ansvaret for underretningen, for den gælder allerede.
Står I uden for CRA, kan andre regler stadig ramme produktet, se regler for softwarevirksomheder.
Det skal I lade være med
- At svare, at CRA ikke gælder SaaS · det er for bredt, og det kan være forkert for jer.
- At glemme de små klienter · en agent eller et plugin kan ændre svaret.
- At lade vurderingen stå uændret · den holder, til produktet ændrer sig.
Det skal I kræve af den eksterne
- ☐ En liste over alt, der leveres til kunderne.
- ☐ En skriftlig vurdering pr. del med begrundelse.
- ☐ Et fast svar til kunderne.
- ☐ Tydeligt skel mellem forordningens tekst og Kommissionens opfattelse.
- ☐ En kontrol, der udløses ved nye klienter.
Kilder
- Kommissionens vejledning C(2026) 5252: ikke bindende, afsnit 2, nr. 17 til 21 med eksempel 3 til 6, nr. 44 til 47 og afsnit 8.
- Kommissionens FAQ: selvstændig SaaS.
- Forordning (EU) 2024/2847: art. 3, nr. 2.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Fra installeret software til SaaS · Er jeres SaaS selv omfattet af NIS2?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern CTO hos Nielco IT
