Love og krav til den, der laver software

Den, der laver software, møder reglerne fra den anden side af bordet end den, der køber den. Her handler det om, hvad produktet skal kunne, hvad der skal stå i køreplanen, og hvem i virksomheden der ejer hvert regelsæt. Hvilke regler der rammer jer, afhænger af, hvad I leverer, hvordan det når frem til brugeren, og hvem der køber det. Siden giver et overblik og en indgang til artiklerne. Den er ledelsesviden til planlægning, og konkrete spørgsmål om jeres aftaler og ansvar hører hjemme hos en advokat.

Fem spørgsmål, der sorterer reglerne

Tag spørgsmålene på et ledelsesmøde sammen med den, der kender produktet bedst.

1. Kører noget af produktet hos brugeren? Det gælder fx en mobilapp, en skrivebordsklient eller en browserudvidelse. Så skal I forholde jer til Cyber Resilience Act, som ligger under sikkerhed i produktet.
2. Sælger I produktet som en tjeneste over nettet? Så er I sandsynligvis udbyder efter Data Act, og kunden skal kunne forlade jer.
3. Er der en AI-model inde i en funktion? Så skal rollen efter AI-forordningen afklares for hver funktion.
4. Rammer produktet forbrugere? Det kan betyde noget for både produktansvar og tilgængelighed, også når I selv kun sælger til virksomheder, og jeres kunder sælger videre.
5. Hvem har skrevet koden? Svaret afgør, om rettighederne er på plads af sig selv, eller om de skal aftales.

Cyber Resilience Act

CRA, på dansk forordningen om cyberrobusthed, er et af de største emner for et softwarehus, og det har sit eget sted på sitet. Underretningspligten gælder allerede siden 11. september 2026, og hovedkravene gælder fra 11. december 2027. Læs overblikket over forordningen, og afgør derefter jeres egen stilling med artiklen om webapps og SaaS. Ifølge Kommissionens vejledning, som ikke er bindende, afhænger svaret af, om noget installeres eller kører hos brugeren.

Overblik og datoer

• Regler for softwarevirksomheder: datoer frem mod 2028 En samlet kalender med en linje til hvert regelsæt og den, der ejer det hos jer.

AI i produktet

• AI-forordningen: er I udbyder eller idriftsætter? Bygger I en funktion på en sprogmodel og sælger den under eget navn, er I efter vores læsning formentlig udbyder. Vejledning om grænsen ventes stadig.
• Chatbot og genereret indhold: gennemsigtighedskravene i produktet Art. 50 gælder siden 2. august 2026, og det får konkrete følger for brugerflade og output.

De tekniske valg bag funktionerne står under AI i produktet.

Ansvar, forbrugere og særlige produkter

• Nyt produktansvar: software bliver et produkt Lovforslaget er endnu ikke vedtaget. Artiklen forklarer, hvem der er beskyttet, og hvad opdateringer får af betydning.
• Tilgængelighedsloven: gælder den jeres software? Loven retter sig mod tjenester til forbrugere, og kunder kan stille kravet videre til jer.
• Software med sundhedsformål: er det medicinsk udstyr? Formålet afgør det, og en ny formulering i produktbeskrivelsen kan flytte produktet ind under reglerne.

Kunder, der skal kunne forlade jer

• Jeres SaaS skal kunne forlades: Data Act set fra udbyderen Dataeksport, åbne grænseflader, varsel og overgangsperiode er blevet krav til selve produktet.
• Standardvilkår og skiftegebyrer: hvad ændrer sig i januar 2027? Skiftegebyrer er forbudt fra 12. januar 2027, så vilkårene bør gennemgås i god tid.

Koden og rettighederne

• Hvem ejer koden: ansatte, freelancere og udviklingshuse Ophavsretslovens § 59 dækker ansatte. Med alle andre skal rettighederne aftales, før arbejdet begynder.
• Open source-licenser i et SaaS-produkt Licensens egen tekst er kilden, og hvad den kræver af jer, afhænger af licenstypen og af, hvordan produktet leveres.

Virksomheden som helhed

• Er jeres SaaS selv omfattet af NIS2? En SaaS kan være en cloudcomputingtjeneste, og det er noget andet end at levere til en kunde, der selv er omfattet.

Er I omfattet, er næste emne ledelsens pligter, og dem kan I læse om under NIS2 og ledelsens ansvar. CRA og NIS2 ser på noget forskelligt: den første på produktet, den anden på virksomhedens egne systemer og tjenester.

Det, der stadig kan ændre sig

Tre ting er ikke afgjort pr. november 2026. Lovforslaget om produktansvar er fremsat og 1. behandlet, men ikke vedtaget. Det danske udkast til supplerende regler til CRA er et høringsudkast. Digital Omnibus foreslår lempelser af skiftereglerne i Data Act, og intet af det er vedtaget. Planlæg derfor efter de regler, der gælder i dag, og sæt en dato i kalenderen, hvor I ser på status igen.

Det skal I lade være med

• At lade én artikel eller én kollega afgøre det hele · kundernes krav, aftalerne og produktets opbygning skal ses sammen.
• At skrive “reglerne gælder ikke for SaaS” i et svar til en kunde · svaret afhænger af produktet, og udsagnet kan blive stående i en kontrakt.
• At vente med køreplanen til datoen er tæt på · eksport, logning og sårbarhedshåndtering tager tid at bygge.

Det skal I kræve af den eksterne

• ☐ Henvisning til kilden ved hver påstand om, hvad en regel kræver.
• ☐ Klar besked om, hvad der er gældende, hvad der er foreslået, og hvad der er en læsning.
• ☐ En ejer i virksomheden for hvert regelsæt, der rammer jer.
• ☐ Krav omsat til punkter i den tekniske køreplan med en plan for rækkefølgen.
• ☐ Besked, når et spørgsmål skal videre til en advokat.

Kilder

• Kommissionen: Cyber Resilience Act og vejledning af 27. juli 2026: datoer og afgrænsning. Vejledningen er ikke bindende.
• Høringsportalen: udkast til supplerende regler til CRA: dansk høringsudkast.
• AI Act Service Desk: art. 50 og Digitaliseringsstyrelsen om AI-forordningen: gennemsigtighed og ændringer.
• Digitaliseringsstyrelsen om cloudtjenester i dataforordningen: skift af udbyder.
• Ophavsretsloven, tilgængelighedsloven og NIS2-loven på retsinformation.dk.
• Høringsudkast til lov om produktansvar: grundlag for artiklen om produktansvar.

Senest gennemgået: november 2026.

Næste skridt

• Sikkerhed i produktet og i udviklingsprocessen
• Når kunderne stiller krav til produktet

Læs også: Regler for softwarevirksomheder: datoer frem mod 2028 · Artikler om CTO as a Service

→ Kontakt · Tlf. 70 13 63 23 · Ekstern CTO hos Nielco IT