Sådan lever dit smarte modeaccessory op til nye sikkerhedskrav

Annonce – sponsoreret indhold.

Sikkerhedskrav til smarte produkter er blevet et emne for modebranchen, i takt med at smartwatches, smarte ringe, forbundne smykker og sensorer i tøj og tasker bliver en naturlig del af personlig stil. Et accessory med Bluetooth, app eller indbygget software er juridisk set ikke længere bare et designobjekt. Det er et produkt med digitale elementer, og med EU’s Cyber Resilience Act (CRA) bliver brandet bag produktet ansvarligt for dets cybersikkerhed, både når det lanceres, og i hele den periode, det er på markedet. Det første fornuftige skridt er at få afklaret omfang og huller, før der bestilles prototyper eller produktion.

Sikkerhedskrav til smarte produkter: Hvad betyder det for et modebrand?

Smarte accessories har bevæget sig fra nørdet gadget til modetilbehør. Den klassiske urmager konkurrerer med smartwatches i samme udstillingsvindue, smykkedesignere eksperimenterer med ringe, der kan betale, måle søvn eller åbne døre, og tasker får trackere, der kan findes via en app. For et dansk designbrand er det fristende: Man kender sin målgruppe, sit formsprog og sine materialer, og elektronikken kan ofte købes som modul hos en producent.

Problemet er, at lovgivningen ikke interesserer sig for, om produktet er kommet til verden via et moodboard eller et printkort. Cyber Resilience Act, forordning (EU) 2024/2847, stiller horisontale cybersikkerhedskrav til produkter med digitale elementer, der sælges på det europæiske marked. Forordningen er trådt i kraft, og reglerne indfases gradvist. Pligten til at rapportere aktivt udnyttede sårbarheder og alvorlige hændelser gælder fra september 2026, og hovedparten af de øvrige krav gælder fra slutningen af 2027. Det lyder langt væk, men et wearable har ofte en udviklingstid på mange måneder eller år. Et produkt, der designes i dag, skal derfor være klar til reglerne, når det er på markedet.

For et modebrand er den største forandring ansvaret. Før kunne man som brand nøjes med at tænke på materialer, kemikalier og CE-mærkning af elektriske komponenter. Nu skal man også kunne dokumentere, at produktet er designet med sikkerhed for øje, at kendte sårbarheder er håndteret, at brugeren får sikkerhedsopdateringer i en rimelig periode, og at der findes en proces, hvis en sårbarhed opdages efter lancering. Det gælder, uanset om du kommer fra mode eller tech.

Mange mindre brands ved ikke, hvor de skal starte. Her giver det mening at begynde med en CRA foranalyse. Det er en gennemgang, der kortlægger, hvilke af jeres produkter og softwarekomponenter der er omfattet, hvilke krav der gælder, hvor der er huller i dag, og hvad der bør prioriteres. Resultatet er et beslutningsgrundlag, ikke en færdig compliance-løsning. Det gør det muligt at tage stilling til materialer, leverandører, budget og tidsplan, før de store beslutninger er truffet.

Hvornår er et modeaccessory et produkt med digitale elementer?

CRA bruger begrebet “produkter med digitale elementer”. Det dækker hardware- og softwareprodukter, hvis tilsigtede brug omfatter en direkte eller indirekte dataforbindelse til en enhed eller et netværk. Det kan også omfatte løsninger til fjernbehandling af data, som er en del af produktet, for eksempel en app eller cloud-tjeneste, som produktet ikke kan fungere uden. Definitionen er bred med vilje, og netop derfor er det let at undervurdere, hvor mange accessories der er omfattet.

Eksempler fra modens verden

Følgende typer accessories vil typisk være omfattet, fordi de har software og en dataforbindelse:

• Smartwatches og fitnessarmbånd med Bluetooth, Wi-Fi eller mobilforbindelse og tilhørende app.
• Smarte ringe med sensorer, NFC eller Bluetooth, hvor data synkroniseres til en telefon.
• Smykker og nøgleringe med tracker, som kan lokaliseres via en app eller et netværk.
• Tasker, rygsække og tøj med sensorer eller LED, hvis de styres via app eller har en trådløs forbindelse.
• Smart eyewear og høretelefoner med forbindelse til telefon og firmware, der kan opdateres.
• Betalingsaccessories, som ringe eller armbånd med chip, hvor der både er sikkerheds- og betalingsregler at tage hensyn til.

Et rent dekorativt LED-smykke uden nogen form for dataforbindelse er typisk ikke omfattet, men grænsen er ikke altid indlysende. Så snart der er en mulighed for at forbinde eller opdatere produktet trådløst eller via en USB-port, kan det ændre vurderingen. Det er også her, mange designere overser en detalje: Det er produktets tilsigtede brug og funktionalitet, der afgør det, ikke hvor teknisk det ser ud.

Hvem er “producenten”?

Den vigtigste afklaring for et modebrand er rollen i værdikæden. CRA skelner mellem producent, importør, distributør og i nogle tilfælde en tredjepart, som væsentligt ændrer produktet. En producent er den, der udvikler eller fremstiller produktet, eller som får det designet og fremstillet og markedsfører det under eget navn eller varemærke.

Det betyder, at et brand, der køber et færdigt smartwatch fra en fabrik og sælger det under eget navn (private label eller white label), som udgangspunkt selv tager producentens ansvar. Man kan ikke bare henvise til fabrikken, når man skal dokumentere sikkerhed. Det er brandet, der skal kunne vise, at produktet lever op til kravene, og at der findes en proces for sårbarheder og opdateringer. Sælger du derimod andres mærkevarer videre, er du i stedet distributør eller importør med en anden, men stadig reel, forpligtelse til at kontrollere, at produkterne er korrekt mærket og dokumenteret.

Hvad falder uden for?

Nogle produktkategorier er reguleret af andre sæt regler. Medicinsk udstyr er for eksempel dækket af forordningen om medicinsk udstyr (EU 2017/745), og det er ikke CRA, der gælder for dem. Hvis dit wearable har medicinske formål, bør du afklare, hvilken regulering der gælder. Wearables, der blot måler skridt eller puls til almindelig livsstilsbrug, er en gråzone, hvor den tilsigtede brug og din markedsføring får stor betydning. Skriver du, at et produkt kan “overvåge hjertesundhed”, kan du ende i en helt anden regulatorisk kategori end et produkt, der “tæller skridt”.

Hvilke sikkerhedstiltag og hvilken dokumentation forventes?

CRA er ikke en tjekliste, man kan afkrydse ud fra en produktbeskrivelse. Den kræver, at sikkerhed tænkes ind gennem hele produktets livscyklus. Overordnet kan kravene deles op i tre områder: selve produktets sikkerhed, håndtering af sårbarheder samt dokumentation og rapportering.

Sikkerhed i selve produktet

Forordningens bilag I stiller grundlæggende krav til design og udvikling. Uden at gå i teknisk detalje handler de typisk om følgende:

• Ingen kendte udnyttelige sårbarheder i produktet, når det bringes på markedet.
• Sikker standardopsætning, så produktet ikke leveres med svage fabrikskoder eller åbne indstillinger, som brugeren selv skal huske at lukke.
• Beskyttelse mod uautoriseret adgang, for eksempel gennem autentificering og kontrol af, hvem der kan parre eller styre enheden.
• Beskyttelse af data, herunder kryptering af følsomme data under opbevaring og transmission og begrænsning af data til det nødvendige.
• Mulighed for sikkerhedsopdateringer, så fejl kan rettes efter lancering, og brugeren kan blive gjort opmærksom på opdateringer.
• Begrænset angrebsflade, så unødvendige porte, funktioner og grænseflader ikke står åbne.

For et wearable er det let at forestille sig konkrete eksempler. Hvis en smart ring parres med en telefon, hvem kan så parre sig med den? Hvis firmwaren kan opdateres trådløst, hvordan sikrer du, at kun ægte opdateringer fra dig kan installeres? Hvis appen gemmer data om brugerens aktivitet, hvor ligger de, og hvem kan se dem? Det er den type spørgsmål, en foranalyse sætter på dagsordenen.

Sårbarhedshåndtering og supportperiode

CRA kræver, at producenten har en proces til at modtage, vurdere og rette sårbarheder, og at der er et kontaktpunkt, hvor eksterne kan indberette sikkerhedsfejl. Producenten skal som udgangspunkt levere sikkerhedsopdateringer i en supportperiode, der svarer til produktets forventede brugstid, og som normalt skal være mindst fem år, medmindre produktet forventes brugt kortere tid. Det er en væsentlig forskel fra den traditionelle modeverden, hvor produktansvaret slutter ved kassen. Et smart accessory kræver, at nogen i organisationen stadig har ansvaret for softwaren flere år efter, kollektionen er udgået.

Der er også en rapporteringspligt. Aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser skal rapporteres til de relevante myndigheder via den fælles europæiske rapporteringsplatform, som koordineres af ENISA, EU’s cybersikkerhedsagentur. Der er korte frister, og den første varsling skal ske inden for 24 timer. Et lille brand skal derfor vide på forhånd, hvem der gør hvad, hvis det sker.

Dokumentation og overensstemmelse

Producenten skal kunne dokumentere, at kravene er opfyldt. Det omfatter typisk:

1. Cybersikkerhedsrisikovurdering af produktet, som danner grundlag for design og udvikling.
2. Teknisk dokumentation med produktbeskrivelse, design- og udviklingsoplysninger og de valgte sikkerhedsforanstaltninger.
3. SBOM (software bill of materials), en oversigt over de softwarekomponenter, produktet består af, herunder open source-biblioteker og tredjepartskode.
4. Brugerinformation med producentens kontaktoplysninger, vejledning i sikker brug og oplysninger om supportperiode.
5. EU-overensstemmelseserklæring og CE-mærkning, som viser, at produktet opfylder kravene.

Dokumentationen skal opbevares i en periode efter, at produktet er markedsført, og kunne fremvises til myndighederne. For et brand uden teknisk afdeling er dette ofte den største overraskelse: Det er ikke nok, at produktet er sikkert. Det skal også kunne bevises.

Produktkategorier og samspillet med andre regler

CRA arbejder med forskellige kategorier af produkter. De fleste produkter hører til en standardkategori, hvor producenten som udgangspunkt selv kan vurdere overensstemmelse. Nogle produkter anses for “vigtige” eller “kritiske” og er underlagt strengere vurdering. Hvis et wearable er beregnet til sundhedsmonitorering eller til brug af og for børn, kan det blive vurderet i en skærpet kategori. Det er et godt eksempel på, hvorfor markedsføringen og den tilsigtede brug skal afklares tidligt, og hvorfor du bør få en specialist til at vurdere kategorien i stedet for at gætte.

CRA står heller ikke alene. Et smart accessory kan samtidig være omfattet af:

• Radioudstyrsdirektivet (RED), som stiller krav til trådløst udstyr, herunder cybersikkerhed og beskyttelse af persondata for internetforbundet radioudstyr.
• GDPR, hvis produktet eller appen behandler personoplysninger. Datatilsynet er den danske tilsynsmyndighed.
• Regler om elektronik, batterier og kemikalier, som allerede er kendte for mange, der har arbejdet med elektronik i mode.
• Forbrugerregler om information, garanti og markedsføring, hvor Forbrugerombudsmanden fører tilsyn.

Pointen er ikke, at du skal blive ekspert i alle regelsæt, men at du skal kende de afhængigheder, der påvirker designet. Et valg af trådløs teknologi, batteri eller appfunktion kan trække flere regelsæt med sig på én gang. Det er billigere at opdage tidligt end at få afvist et produkt eller trække det tilbage efter lancering.

Sådan griber et lille brand det an uden teknisk afdeling

De fleste modebrands har ikke en CTO, et sikkerhedsteam eller en softwareafdeling, og det behøver de ikke have for at komme i mål. Det kræver dog, at man er bevidst om, hvilke dele man selv kan stå inde for, og hvilke man skal sikre gennem aftaler og rådgivning.

Start med at kortlægge produktet og værdikæden

Før man begynder at tale om krav, bør man have overblik over, hvad produktet faktisk består af. Hvem har udviklet firmwaren? Er der en app, og hvem har lavet den? Hvilke chips og moduler indgår? Hvilke open source-komponenter er brugt? Hvor ligger data? Mange brands opdager, at de ikke kan svare på de spørgsmål, fordi alt er leveret som en samlet pakke fra en underleverandør. Det er netop kortlægningen af produkter, softwarekomponenter og roller i værdikæden, en foranalyse starter med.

Stil krav til leverandører

Når hardware og software kommer udefra, bliver kontrakten dit vigtigste værktøj. Spørg konkret ind til følgende, før du vælger leverandør:

• Kan leverandøren levere en SBOM for firmwaren og eventuelle softwarekomponenter?
• Hvordan håndterer leverandøren sikkerhedsopdateringer, og hvor længe lover de at supportere platformen?
• Har leverandøren en proces for sårbarheder, og hvem kontakter I, hvis der opdages en fejl?
• Kan leverandøren fremlægge teknisk dokumentation og testrapporter, som du kan bruge i din egen dokumentation?
• Hvad sker der med softwaren, hvis leverandøren lukker eller ændrer sin produktlinje?

Et ærligt og detaljeret svar er et godt tegn. Vage svar eller manglende dokumentation er en klar advarsel, især hvis du som brand skal stå som producent over for myndighederne. Du kan ikke outsource ansvaret, men du kan vælge partnere, der gør det lettere at bære.

Tænk sikkerhed ind i designet fra starten

Sikkerhed er billigst, når den indgår i de første designbeslutninger. Det kaldes ofte secure by design. For et accessory betyder det for eksempel, at man bevidst begrænser, hvilke funktioner enheden har, og hvilke data den indsamler. Hver ekstra sensor, forbindelse og funktion gør både produktet og dokumentationen mere kompleks. Spørg dig selv, om den smarte funktion er med til at skabe værdi for brugeren eller blot er teknik for teknikkens skyld.

Materialevalg kan også spille sammen med elektronikken. Metaller, der påvirker trådløs signalstyrke, og kabinetter, der skal kunne rumme batteri og antenne, er designmæssige rammer, der skal besluttes tidligt. Hvis du overvejer en smart ring, kan det være en hjælp at forstå, hvordan titanium, tungsten og kirurgisk stål adskiller sig i hverdagen, fordi materialet både påvirker komfort, holdbarhed og de tekniske muligheder.

Hold designprocessen kørende

Mange designere frygter, at compliance bremser kreativiteten. I praksis sker det oftest, når kravene dukker op sent. En afklaring i starten giver derimod faste rammer at designe inden for. Når du ved, hvilke krav der gælder, hvilken supportperiode du skal planlægge efter, og hvilke dokumenter du skal have fra leverandøren, kan du designe videre med ro i maven. Det er forskellen mellem at få at vide til sidst, at produktet ikke kan sælges, og at vide fra begyndelsen, hvilke rammer man arbejder i.

Hvad får du ud af en foranalyse?

En foranalyse, også kaldet en GAP-analyse, er et overskueligt første skridt, fordi den giver et beslutningsgrundlag uden at forpligte dig til et stort forløb. Hos rådgivere som Nesp.ONE består den af fire trin: en produkt- og omfangsafklaring, en gennemgang af relevante krav til sikkerhed, dokumentation, sårbarhedshåndtering, opdateringer og rapportering, en kortlægning af risici i produkt, proces og software supply chain og en handlingsplan med prioriterede anbefalinger. Udbyderen oplyser, at en foranalyse starter fra 10.000 DKK, og at man kan begynde med en uforpligtende samtale. Priser og indhold afhænger af produktets kompleksitet, så få altid et konkret tilbud.

Hvornår i produktudviklingen skal du kontakte en specialist?

Tidspunktet betyder meget for både pris og fleksibilitet. Som tommelfingerregel gælder det, at jo tidligere afklaringen kommer, desto flere valgmuligheder har du. Her er en praktisk rækkefølge:

1. Idéfasen, før du vælger teknologi. Når du overvejer at gøre et accessory smart, bør du afklare, om produktet bliver omfattet af CRA, hvilken rolle du får, og om funktionerne er værd at tage med. Det er det bedste tidspunkt for en foranalyse.
2. Før du vælger hardware- og softwareleverandør. Her kan en specialist hjælpe med at formulere krav og spørgsmål til leverandørerne, så du ikke binder dig til en platform uden dokumentation eller supportplan.
3. Før prototypen låses. Når design, komponenter og forbindelser er ved at blive fastlagt, bør sikkerhedsarkitekturen og risikovurderingen være på plads.
4. Før produktion og bestilling af større serier. Her skal dokumentation, SBOM, opdateringsproces og kontaktpunkt for sårbarheder være klar, og I skal vide, hvordan overensstemmelsen dokumenteres.
5. Før lancering og markedsføring. Tjek, at tekster, produktinformation og brugervejledning stemmer overens med produktets reelle funktioner og med dokumentationen.
6. Efter lancering. Aftal, hvem der overvåger sårbarheder, vedligeholder softwaren og håndterer eventuelle indberetninger i hele supportperioden.

Har du allerede et produkt på markedet eller i sidste udviklingsfase, er det ikke for sent. Så bliver foranalysen i stedet et værktøj til at prioritere: Hvad skal løses først, hvad kan vente, og hvad kræver ændringer i produktet eller aftaler med leverandører?

Typiske fejl at undgå

• At antage, at leverandøren tager ansvaret. Sætter du dit navn på produktet, har du som regel producentens pligter.
• At vente med dokumentationen til sidst. Risikovurdering og teknisk dokumentation er svære at lave bagudrettet.
• At glemme appen og skyen. Sikkerheden er ikke kun et spørgsmål om selve enheden.
• At undlade at planlægge supporten. Et produkt uden en plan for opdateringer er en risiko, uanset hvor flot det er.
• At overse markedsføringens betydning. Løfter om sundhed, sikkerhed eller betaling kan ændre, hvilke regler der gælder.

Regler og frister kan ændre sig, og forordningen suppleres løbende af vejledninger og standarder. Hold dig derfor opdateret via EU-Kommissionen og ENISA, og søg individuel rådgivning, når du skal vurdere dit konkrete produkt.

Ofte stillede spørgsmål

Gælder CRA for et smart accessory fra et lille dansk brand?

Ja, forordningen skelner ikke mellem store og små virksomheder. Hvis dit accessory har digitale elementer og en direkte eller indirekte dataforbindelse, og du sælger det på det europæiske marked, kan du have producentens forpligtelser. Der findes lempelser og vejledning for mindre virksomheder, men grundkravene gælder stadig.

Hvornår træder kravene i kraft?

CRA er trådt i kraft, og kravene indfases gradvist. Rapporteringspligten for aktivt udnyttede sårbarheder og alvorlige hændelser gælder fra september 2026, og hovedparten af de øvrige krav gælder fra slutningen af 2027. Fordi udviklingstiden for wearables kan være lang, bør du planlægge efter reglerne allerede nu.

Er jeg producent, hvis jeg sælger en white label-smartwatch?

Som udgangspunkt ja. Markedsfører du et produkt under eget navn eller varemærke, har du normalt producentens ansvar, selvom fabrikken har udviklet hardwaren. Du bør sikre dig dokumentation, SBOM, opdateringsproces og aftaler om sårbarhedshåndtering fra leverandøren.

Hvad er forskellen på en foranalyse og en fuld CRA-gennemgang?

En foranalyse kortlægger omfang, krav, huller og prioriteter og ender i en handlingsplan. Den er et beslutningsgrundlag for det videre arbejde. En fuld gennemgang går dybere ind i fx sikker softwareudvikling, secure-by-design-principper, SBOM og den konkrete dokumentation. Hvad der er relevant for dig, afhænger af produktets kompleksitet og modenhed.

Kan jeg selv lave en CRA-vurdering uden teknisk viden?

Du kan godt begynde selv ved at beskrive produktet, funktionerne, dataforbindelserne og leverandørerne. Men vurderingen af produktkategori, risici og dokumentationskrav kræver ofte indsigt i både jura og cybersikkerhed. Mange brands får mest ud af at bruge egne oplysninger som udgangspunkt og lade en specialist kvalitetssikre vurderingen.