Et softwarehus møder i disse år flere regelsæt, der falder på hver sin dato. Her er kalenderen fra 11. september 2026 til 2. august 2028, hvor hvert regelsæt får en linje og et forslag til en ejer i virksomheden. Ikke alle datoer er jeres. Det kommer an på produktet og kunderne. Brug kalenderen til at finde ud af, hvad der skal afklares, og hos hvem. Den er en orientering og ingen juridisk rådgivning, og to af punkterne bygger på forslag, der kan ændre sig. Artiklen opdateres, når de er vedtaget.
Det, der allerede gælder
- NIS2-loven siden 1. juli 2025, se er jeres SaaS selv omfattet af NIS2?.
- Tilgængelighedsloven for produkter og tjenester fra 28. juni 2025, se tilgængelighedsloven.
- Data Act siden 12. september 2025, se jeres SaaS skal kunne forlades.
- AI-forordningens gennemsigtighedskrav, art. 50, siden 2. august 2026, se chatbot og genereret indhold.
Kalenderen
11. september 2026. CRA: underretning. Fabrikanter skal varsle om aktivt udnyttede sårbarheder og alvorlige hændelser. Ejer: den tekniske leder. Se 24 timer til ENISA.
12. september 2026. Data Act: forbundne produkter. Reglerne om direkte adgang til data rammer produkter og tjenester, der kommer på markedet efter denne dato. Rammer jer, hvis jeres software hører til et fysisk produkt. Mikro- og små virksomheder er som udgangspunkt undtaget datadelingspligterne. Ejer: produktansvarlig.
2. december 2026. AI-forordningen: mærkning og nye forbud. Systemer bragt i omsætning før 2. august 2026 skal senest nu opfylde art. 50, stk. 2, om maskinlæsbar mærkning. Samme dag begynder nye forbud mod genereret seksualiseret deepfake-indhold og overgrebsmateriale. Ejer: produktansvarlig. Se AI-forordningen for softwareproducenter.
9. december 2026. Produktansvarsdirektivet. Sidste frist for gennemførelse, og direktivet rammer produkter, der kommer på markedet efter datoen. Lovforslag L 32 mangler vedtagelse og foreslår ikrafttræden samme dag. Ejer: direktøren med advokat. Se nyt produktansvar.
12. januar 2027. Data Act: skiftegebyrer. Skiftegebyrer forbydes. Lempelser er foreslået i Digital Omnibus, men intet er vedtaget. Ejer: den, der ejer standardvilkårene. Se standardvilkår og skiftegebyrer.
1. marts 2027. Foreslået dansk CRA-lov. Høringsudkastet planlægger ikrafttræden denne dag, med enkelte dele senere, og teksten er stadig et udkast. Ejer: den tekniske leder følger sagen.
2. august 2027. AI-modeller til almen brug. Modeller fra før 2. august 2025 skal opfylde reglerne senest denne dato. Det rammer dem, der udbyder selve modellen. Ejer: produktansvarlig, hvis I gør det.
30. oktober 2027. Standarder til CRA. Flere leverancer er planlagt til denne dato. Status skal slås op, se CE-mærke på software.
2. december 2027. AI-forordningen: højrisiko, bilag III. Gælder, hvis jeres system falder ind under bilagets områder. Ejer: produktansvarlig med advokat.
11. december 2027. CRA: hovedkravene. Væsentlige krav, risikovurdering, teknisk dokumentation, overensstemmelsesvurdering, erklæring, CE-mærke, komponentliste og supportperiode. Ejer: den tekniske leder, og direktøren tager stilling til underskriften. Se Cyber Resilience Act.
2. august 2028. AI-forordningen: højrisiko, bilag I. Ejer: produktansvarlig.
Hvem bør eje hvad?
I et softwarehus uden compliance-funktion ender reglerne ofte hos den, der først læste om dem. Vi foreslår en enkel fordeling:
- Direktøren ejer overblikket, ansvaret og samspillet med advokat og revisor.
- Den tekniske leder ejer CRA, produktets sikkerhed og det tekniske i Data Act.
- Den produktansvarlige ejer AI-forordningen pr. funktion og tilgængelighed.
- Den, der ejer kundeaftalerne, ejer standardvilkår, supportperiode i tilbud og skiftegebyrer.
I en mindre virksomhed kan det være samme person. Pointen er, at hvert regelsæt har et navn. Sikkerhedsledelse er en opgave for sig, og NIS2-lovens krav til ledelsesorganet rækker ud over produktet.
Hvad gør I nu?
- Læg alle datoerne i en fælles kalender.
- Gennemgå listen, og marker, om punktet gælder jer, ikke gælder jer, eller skal afklares.
- Giv hvert relevant punkt en ejer.
- Læg arbejdet ind i den tekniske køreplan, så det ikke kommer oveni.
- Sæt et fast punkt på ledelsesmødet to gange om året. Tjek især status på L 32, det danske CRA-lovudkast og Digital Omnibus.
Skal nogen samle de tekniske valg i en plan, teamet kan følge, kan Nielco IT tage rollen som fractional CTO. Opgaven er afgrænset til ledelse, leverandører, teknologivalg og team, så selve koden bliver hos jer. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At behandle hver regel som et selvstændigt projekt · meget af arbejdet overlapper.
- At skrive forslag ind i aftaler som gældende ret · L 32 og det danske CRA-lovudkast er ikke vedtaget.
- At vente på den sidste dato · dokumentation tager tid at bygge op.
Det skal I kræve af den eksterne
- ☐ En kalender med status for hvert punkt.
- ☐ En navngiven ejer pr. regelsæt.
- ☐ Tydelig markering af det, der kun er foreslået.
- ☐ En plan, der hænger sammen med køreplanen.
- ☐ Henvisning til advokat eller revisor, hvor det er nødvendigt.
Kilder
- Kommissionen: Cyber Resilience Act: datoer.
- Kommissionen: gennemførelse af CRA: standarder.
- Høringsportalen: udkast til CRA-lov: kun et udkast.
- AI Act Service Desk: art. 111 og art. 113: overgang og datoer.
- Digitaliseringsstyrelsen: AI-omnibus: ændrede datoer og nye forbud.
- Kommissionen: modeller til almen brug: datoer.
- Digitaliseringsstyrelsen: forbundne produkter: Data Act.
- Digitaliseringsstyrelsen: cloudtjenester: skift og skiftegebyrer.
- Direktiv (EU) 2024/2853: produktansvar.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem ejer koden: ansatte, freelancere og udviklingshuse · Er vores webapp omfattet af Cyber Resilience Act?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern CTO hos Nielco IT
