Kommissionens delegerede forordning (EU) 2026/339 ophæver Kommissionens delegerede forordning (EU) 2022/30 med virkning fra 11. december 2027. Den bevarer markedsovervågning og overensstemmelseskontrol efter RED for omfattet radioudstyr, der er bragt i omsætning på EU-markedet mellem 1. august 2025 og 10. december 2027 og var omfattet af de relevante krav.
Ophævelsesdatoen og overgangsgrænsen
Europa-Kommissionen vedtog Kommissionens delegerede forordning (EU) 2026/339 den 16. februar 2026. Den blev offentliggjort i Den Europæiske Unions Tidende den 29. april 2026 og ophæver Kommissionens delegerede forordning (EU) 2022/30 med virkning fra 11. december 2027. Selve ophævelsesforordningen trådte i kraft på tyvendedagen efter offentliggørelsen.
Indtil 10. december 2027 finder Kommissionens delegerede forordning (EU) 2022/30 fortsat anvendelse. Fra 11. december 2027 gælder de almindelige anvendelsesregler i Cyber Resilience Act for produkter med digitale elementer, der falder inden for dens anvendelsesområde.
Hvorfor Kommissionen ophæver den delegerede retsakt
Betragtning 3 i Kommissionens delegerede forordning (EU) 2026/339 fastslår, at de væsentlige cybersikkerhedskrav i bilag I til Cyber Resilience Act omfatter alle elementer i kravene i artikel 3, stk. 3, litra d), e) og f), i direktivet om radioudstyr.
Betragtning 4 forklarer, at ophævelsen skal skabe retssikkerhed og forhindre, at radioudstyr samtidig bliver omfattet af cybersikkerhedskrav efter begge regelsæt. Ophævelsen er derfor tilpasset datoen for den almindelige anvendelse af Cyber Resilience Act.
Hvad der gælder indtil 11. december 2027
For de kategorier og klasser af radioudstyr, der er omfattet af Kommissionens delegerede forordning (EU) 2022/30, gælder følgende krav i artikel 3, stk. 3, i direktivet om radioudstyr fortsat:
- Litra d) vedrører beskyttelse af netværk og deres funktion mod skade samt beskyttelse mod misbrug af netværksressourcer.
- Litra e) vedrører beskyttelse af personoplysninger og privatlivets fred for brugere og abonnenter.
- Litra f) vedrører beskyttelse mod svig.
Referencerne til EN 18031-1:2024, EN 18031-2:2024 og EN 18031-3:2024 blev offentliggjort i Den Europæiske Unions Tidende med begrænsninger. Når en harmoniseret standard dækker det relevante krav, og de offentliggjorte begrænsninger overholdes, kan anvendelsen af den skabe en formodning om overensstemmelse. Anvendelse af harmoniserede standarder er fortsat frivillig og erstatter ikke producentens ansvar for overensstemmelsesvurderingen. Se Kommissionens gennemførelsesafgørelse (EU) 2025/138.
Betragtning 5 i Kommissionens delegerede forordning (EU) 2026/339 bevarer markedsovervågning og overensstemmelseskontrol efter direktivet om radioudstyr for omfattet radioudstyr, der er bragt i omsætning på EU-markedet mellem 1. august 2025 og 10. december 2027 og var omfattet af de pågældende krav. Ophævelsen fjerner ikke dette vurderingsgrundlag med tilbagevirkende kraft for disse produkter.
Hvad der gælder fra 11. december 2027
Cyber Resilience Act finder generelt anvendelse fra 11. december 2027. For radioudstyr med digitale elementer skal de gældende krav derefter vurderes i forhold til Cyber Resilience Acts anvendelsesområde og overgangsbestemmelser.
Bilag I til Cyber Resilience Act indeholder væsentlige cybersikkerhedskrav til produkter og krav til håndtering af sårbarheder. Harmoniserede standarder kan skabe en formodning om overensstemmelse, når deres referencer er offentliggjort i Den Europæiske Unions Tidende, og de dækker det pågældende krav. Et udkast eller en standardiseringsanmodning alene skaber ikke denne formodning.
Praktiske konsekvenser for producenter
Arbejdet, der er udført efter direktivet om radioudstyr, er fortsat relevant, indtil ophævelsen får virkning. Producenter bør dog føre særskilte optegnelser over retsakten, produktversionen, datoen, hvor produktet blev bragt i omsætning, og den offentliggjorte standardreference, der understøtter hver vurdering.
Eksisterende risikovurderinger, autentificeringsdesign, sårbarhedsprocesser og teknisk dokumentation kan være nyttige input til forberedelsen til Cyber Resilience Act. Genbrug heraf dokumenterer ikke i sig selv overensstemmelse med Cyber Resilience Act. Dokumentationen skal vurderes i forhold til forordningens faktiske krav, den konkrete produktstatus og de harmoniserede standarder, der gælder på det pågældende tidspunkt.
Spørgsmål og svar
Forsvinder cybersikkerhedskravene til radioudstyr
Nej. Kommissionens delegerede forordning (EU) 2022/30 finder fortsat anvendelse indtil 10. december 2027. Fra 11. december 2027 er Cyber Resilience Act den relevante ramme for produkter inden for dens anvendelsesområde. Behandlingen af et bestemt produkt afhænger blandt andet af dets anvendelsesområde og de gældende overgangsbestemmelser.
Hvad sker der med radioudstyr, der allerede er bragt i omsætning
I henhold til betragtning 5 påvirker ophævelsen ikke markedsovervågning og overensstemmelseskontrol efter direktivet om radioudstyr for omfattet radioudstyr, der er bragt i omsætning på EU-markedet mellem 1. august 2025 og 10. december 2027 og var omfattet af de pågældende krav.
Skal alle produkter vurderes igen efter 11. december 2027
Ikke automatisk. Artikel 69 i Cyber Resilience Act indeholder overgangsbestemmelser for produkter med digitale elementer, der er bragt i omsætning før 11. december 2027. Vurderingen afhænger af produktet, datoen, hvor det blev bragt i omsætning, og eventuelle væsentlige ændringer.
Hvilken rolle spiller EN 18031
De tre dele af EN 18031 er harmoniseret efter direktivet om radioudstyr med udtrykkeligt offentliggjorte begrænsninger. Deres anvendelse er frivillig. En formodning om overensstemmelse opstår kun for de omfattede krav og under forudsætning af de begrænsninger, der er offentliggjort i Den Europæiske Unions Tidende.
Hvilke standarder vil gælde efter Cyber Resilience Act
De europæiske standardiseringsorganisationer udvikler standarder under standardiseringsanmodning M/606. Kun referencer til harmoniserede standarder, der er offentliggjort i Den Europæiske Unions Tidende, kan skabe en formodning om overensstemmelse for de krav, de dækker. Producenter bør skelne mellem arbejdsudkast, offentliggjorte standarder og harmoniserede standarder, der er refereret i Den Europæiske Unions Tidende. Europa-Kommissionens oplysninger om CRA-standardisering beskriver det aktuelle arbejde.
Tjekliste for overgangen
- Bekræft, om radioudstyret er omfattet af Kommissionens delegerede forordning (EU) 2022/30, før ophævelsen får virkning.
- Registrer produktversionen og datoen, hvor det blev bragt i omsætning på EU-markedet.
- Hold dokumentation for de relevante krav i artikel 3, stk. 3, litra d), e) og f), adskilt fra fremtidig dokumentation efter Cyber Resilience Act.
- Når EN 18031 anvendes, skal det relevante omfattede krav og de offentliggjorte begrænsninger kontrolleres.
- Vurder anvendelsesområdet og overgangsbestemmelserne i Cyber Resilience Act for produkter med digitale elementer.
- Behandl eksisterende RED-dokumentation som input til senere arbejde, ikke som bevis for overensstemmelse med Cyber Resilience Act.