{
  "type": "problem",
  "slug": "radio-cybersecurity",
  "lang": "dk",
  "url": "https://www.conphora.com/dk/solutions/problem/radio-cybersecurity/",
  "markdown": "https://www.conphora.com/dk/solutions/problem/radio-cybersecurity.md",
  "title": "Vores opkoblede enhed får nye cybersikkerhedsregler",
  "description": "Radioudstyrsdirektivets cybersikkerhedskrav siden den 1. august 2025, EN 18031-standarderne og datoerne i forordningen om cyberrobusthed.",
  "answer": "Siden den 1. august 2025 gælder radioudstyrsdirektivets krav om beskyttelse af netværk, privatlivets fred og mod svig efter delegeret forordning (EU) 2022/30 for internetforbundet radioudstyr og for legetøj, børnepasningsudstyr og wearables med radio, der behandler personoplysninger. Forordningen om cyberrobusthed, forordning (EU) 2024/2847, tilføjer indberetningspligter fra den 11. september 2026 og finder fuld anvendelse fra den 11. december 2027, hvor delegeret forordning (EU) 2026/339 ophæver 2022/30.",
  "theme": {
    "id": "batteries-electronics",
    "label": "Batterier og elektronik"
  },
  "roles": [
    {
      "id": "manufacturer",
      "label": "Fabrikant"
    }
  ],
  "regulations": [
    "RED"
  ],
  "path": [
    "regulation-library",
    "compliance-radar"
  ],
  "trigger": "En forhandler, et testlaboratorium eller en erhvervskunde spørger, om jeres opkoblede produkt opfylder cybersikkerhedskravene i radioudstyrsdirektivet eller forordningen om cyberrobusthed",
  "keep": "Den tekniske dokumentation og EU-overensstemmelseserklæringen i 10 år efter, at udstyret blev bragt i omsætning, efter radioudstyrsdirektivet (artikel 10, stk. 4); efter forordningen om cyberrobusthed i 10 år eller supportperioden, alt efter hvad der er længst (bilag VIII, del I, punkt 4.2)",
  "why": [
    {
      "text": "Radioudstyrsdirektivet 2014/53/EU har altid indeholdt cybersikkerhedskrav i artikel 3, stk. 3: radioudstyr må ikke skade nettet eller misbruge netressourcer (litra d), skal have sikkerhedsforanstaltninger, der beskytter personoplysninger og privatlivets fred (litra e), og skal understøtte funktioner, der beskytter mod svig (litra f). Kravene får først betydning for de kategorier, Kommissionen udpeger ved delegeret retsakt.",
      "sources": [
        1
      ]
    },
    {
      "text": "Delegeret forordning (EU) 2022/30 udpeger dem. Litra d gælder for internetforbundet radioudstyr; litra e gælder for internetforbundet radioudstyr, radioudstyr til børnepasning, radioudstyr, der er legetøj, og wearables med radio, der kan behandle personoplysninger, trafikdata eller lokaliseringsdata; litra f gælder for internetforbundet radioudstyr, der giver indehaveren mulighed for at overføre penge, pengeværdi eller virtuel valuta (artikel 1). Medicinsk udstyr og medicinsk udstyr til in vitro-diagnostik er undtaget, og radioudstyr, der også er omfattet af forordning (EU) 2018/1139 (civil luftfart), forordning (EU) 2019/2144 (typegodkendelse af motorkøretøjer) eller direktiv (EU) 2019/520 (elektroniske bompengesystemer), er undtaget fra litra e og f (artikel 2). Efter en ændring ved delegeret forordning (EU) 2023/2444 finder den anvendelse fra den 1. august 2025 (artikel 3).",
      "sources": [
        2
      ]
    },
    {
      "text": "De harmoniserede standarder EN 18031-1, -2 og -3:2024 blev offentliggjort med begrænsninger. De giver ingen formodning om overensstemmelse for deres afsnit om begrundelse og vejledning, heller ikke hvis brugeren kan undlade at indstille og bruge en adgangskode, og EN 18031-2 heller ikke for det udstyr, der er omfattet af standardens punkt 6.1.3–6.1.6, hvis adgangskontrol for forældre eller værger ikke er sikret (gennemførelsesafgørelse (EU) 2025/138, bilaget). Har en fabrikant ikke anvendt eller kun delvis anvendt harmoniserede standarder for kravene i artikel 3, stk. 3, skal udstyret gennem EU-typeafprøvning eller fuld kvalitetssikring (radioudstyrsdirektivet artikel 17, stk. 4).",
      "sources": [
        3
      ]
    },
    {
      "text": "Forordningen om cyberrobusthed, forordning (EU) 2024/2847, er det næste lag. Den gælder for produkter med digitale elementer, hvis tilsigtede eller forudsigelige anvendelse omfatter en dataforbindelse til en enhed eller et netværk (artikel 2, stk. 1). Den finder anvendelse fra den 11. december 2027, men indberetningspligterne i artikel 14 gælder fra den 11. september 2026 og reglerne om bemyndigede organer fra den 11. juni 2026 (artikel 71, stk. 2). Fabrikanter underretter om aktivt udnyttede sårbarheder med en tidlig varsling inden for 24 timer og en underretning inden for 72 timer, efter at de har fået kendskab til dem, og en endelig rapport senest 14 dage efter, at en rettelse er tilgængelig (artikel 14, stk. 1 og 2); om alvorlige hændelser underrettes der på samme måde (artikel 14, stk. 3 og 4). Delegeret forordning (EU) 2026/339 ophæver delegeret forordning (EU) 2022/30 med virkning fra den 11. december 2027 (artikel 1).",
      "sources": [
        4,
        5
      ]
    }
  ],
  "steps": [
    {
      "name": "Find ud af, hvilke krav jeres produkt udløser",
      "text": "Netværksbeskyttelse gælder for radioudstyr, der kan kommunikere via internettet, direkte eller via andet udstyr. Beskyttelse af privatlivets fred gælder for internetforbundet radioudstyr, radioudstyr til børnepasning, radioudstyr, der er legetøj, og wearables, der kan behandle personoplysninger, trafikdata eller lokaliseringsdata. Beskyttelse mod svig gælder for internetforbundet radioudstyr, der giver brugeren mulighed for at overføre penge eller virtuel valuta. Medicinsk udstyr og medicinsk udstyr til in vitro-diagnostik er undtaget.",
      "item": "regulation-library"
    },
    {
      "name": "Vælg vejen til overensstemmelse med begrænsningerne for øje",
      "text": "EN 18031-1, -2 og -3:2024 giver formodning om overensstemmelse, men med begrænsninger: ikke hvis brugeren kan undlade at indstille og bruge en adgangskode, ikke for afsnittene om begrundelse og vejledning og, for det udstyr, der er omfattet af punkt 6.1.3–6.1.6 i EN 18031-2, ikke hvis adgangskontrol for forældre eller værger ikke er sikret. Anvender I ikke standarderne fuldt ud, skal et bemyndiget organ inddrages gennem EU-typeafprøvning eller fuld kvalitetssikring."
    },
    {
      "name": "Vurdér alle konfigurationer og dokumentér dem",
      "text": "Gennemfør overensstemmelsesvurderingen for alle tilsigtede driftsforhold og alle de konfigurationer, enheden kan have. Hold den tekniske dokumentation ajour, både før og efter at produktet bringes i omsætning, herunder testrapporter og beskrivelsen af sikkerhedsforanstaltningerne."
    },
    {
      "name": "Forbered produktet på forordningen om cyberrobusthed",
      "text": "Forordningen om cyberrobusthed gælder for produkter med en dataforbindelse til en enhed eller et netværk. Konstruér produktet efter de væsentlige krav i bilag I, del I, fastsæt en supportperiode på mindst fem år, medmindre produktet forventes at blive brugt i kortere tid, udarbejd en softwarestykliste og indfør en politik for koordineret offentliggørelse af sårbarheder.",
      "item": "compliance-radar"
    },
    {
      "name": "Vær klar til at underrette om udnyttede sårbarheder fra den 11. september 2026",
      "text": "Fra den 11. september 2026 underretter en fabrikant det koordinerende CSIRT og ENISA om en aktivt udnyttet sårbarhed via den fælles indberetningsplatform: en tidlig varsling inden for 24 timer og en underretning inden for 72 timer, efter at fabrikanten har fået kendskab til den, og en endelig rapport senest 14 dage efter, at en rettelse er tilgængelig. Om alvorlige hændelser, der påvirker produktets sikkerhed, underrettes der på samme måde. Det gælder også produkter, der er bragt i omsætning før den 11. december 2027."
    }
  ],
  "documents": [
    {
      "name": "Teknisk dokumentation med sikkerhedsvurderingen og testrapporterne",
      "from": "Fabrikanten",
      "ground": "Radioudstyrsdirektivet artikel 17, stk. 1, og artikel 21"
    },
    {
      "name": "EU-overensstemmelseserklæring",
      "from": "Fabrikanten",
      "ground": "Radioudstyrsdirektivet artikel 10, stk. 3"
    },
    {
      "name": "Softwarestykliste og politik for offentliggørelse af sårbarheder (forordningen om cyberrobusthed)",
      "from": "Fabrikanten",
      "ground": "Forordning (EU) 2024/2847 bilag I, del II, punkt 1 og 5"
    }
  ],
  "risks": [
    {
      "title": "Standarden dækker ikke en mulighed uden adgangskode",
      "text": "EN 18031-1, -2 og -3:2024 giver ingen formodning om overensstemmelse, hvis brugeren ved anvendelse af punkt 6.2.5.1 og 6.2.5.2 kan undlade at indstille og bruge en adgangskode (gennemførelsesafgørelse (EU) 2025/138, bilaget).",
      "source": 3
    },
    {
      "title": "Ældre produkter er stadig omfattet af indberetningspligten",
      "text": "Produkter, der er bragt i omsætning før den 11. december 2027, er kun omfattet af forordningen om cyberrobusthed efter en væsentlig ændring, men indberetningspligterne i artikel 14 gælder for alle omfattede produkter, der er bragt i omsætning før den dato (forordning (EU) 2024/2847, artikel 69, stk. 2 og 3).",
      "source": 4
    },
    {
      "title": "Sanktioner efter national ret",
      "text": "Medlemsstaterne fastsætter sanktioner for overtrædelse af radioudstyrsdirektivet; sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning og kan omfatte strafferetlige sanktioner for alvorlige overtrædelser (artikel 46).",
      "source": 1
    }
  ],
  "faq": [
    {
      "q": "Vores produkt bruger kun Bluetooth og kommer aldrig på internettet. Er det omfattet?",
      "a": "Kravet om netværksbeskyttelse omfatter radioudstyr, der kan kommunikere via internettet, enten direkte eller via andet udstyr (delegeret forordning (EU) 2022/30, artikel 1, stk. 1). Børnepasningsprodukter, radioudstyr, der er legetøj, og wearables, der kan behandle personoplysninger, er omfattet af kravet om beskyttelse af privatlivets fred, også når de ikke er internetforbundne (artikel 1, stk. 2, litra b–d)."
    },
    {
      "q": "Erstatter forordningen om cyberrobusthed reglerne i radioudstyrsdirektivet?",
      "a": "Ja, fra den 11. december 2027. Delegeret forordning (EU) 2026/339 ophæver delegeret forordning (EU) 2022/30 med virkning fra den dato, hvor forordningen om cyberrobusthed finder fuld anvendelse, så det samme udstyr ikke er omfattet af begge (artikel 1 og betragtning 4). Indtil da gælder kravene i radioudstyrsdirektivet, og udstyr, der bringes i omsætning mellem den 1. august 2025 og den 10. december 2027, er fortsat underlagt markedsovervågning efter dem (betragtning 5)."
    },
    {
      "q": "Hvor længe skal vi levere sikkerhedsopdateringer?",
      "a": "Efter forordningen om cyberrobusthed fastsætter fabrikanten en supportperiode, der afspejler, hvor længe produktet forventes at være i brug, og den er på mindst fem år, medmindre produktet forventes at blive brugt i kortere tid (forordning (EU) 2024/2847, artikel 13, stk. 8)."
    },
    {
      "q": "Vores produkt er en smartlås eller en babyalarm. Ændrer det noget?",
      "a": "Smart home-produkter med sikkerhedsfunktioner, herunder smarte dørlåse, sikkerhedskameraer og babyovervågningssystemer, er opført som vigtige produkter i klasse I i bilag III til forordningen om cyberrobusthed. Undersøg de regler om overensstemmelsesvurdering, der gælder for vigtige produkter, i god tid før den 11. december 2027."
    },
    {
      "q": "Er medicinsk udstyr omfattet?",
      "a": "Nej. Cybersikkerhedskravene i radioudstyrsdirektivet gælder ikke for radioudstyr, der er omfattet af forordning (EU) 2017/745 eller 2017/746 (delegeret forordning (EU) 2022/30, artikel 2, stk. 1), og forordningen om cyberrobusthed undtager også disse produkter (artikel 2, stk. 2)."
    }
  ],
  "sources": [
    {
      "title": "Direktiv 2014/53/EU om radioudstyr (konsolideret tekst af 30. maj 2026)",
      "publisher": "EUR-Lex",
      "url": "https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02014L0053-20260530",
      "accessed": "2026-10-04"
    },
    {
      "title": "Delegeret forordning (EU) 2022/30 om de væsentlige krav i artikel 3, stk. 3, litra d, e og f, i direktiv 2014/53/EU (konsolideret tekst af 27. oktober 2023)",
      "publisher": "EUR-Lex",
      "url": "https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02022R0030-20231027",
      "accessed": "2026-10-04"
    },
    {
      "title": "Gennemførelsesafgørelse (EU) 2025/138 om harmoniserede standarder for cybersikkerhed i radioudstyr (EN 18031)",
      "publisher": "EUR-Lex",
      "url": "https://eur-lex.europa.eu/eli/dec_impl/2025/138/oj",
      "accessed": "2026-10-04"
    },
    {
      "title": "Forordning (EU) 2024/2847 om horisontale cybersikkerhedskrav til produkter med digitale elementer (forordningen om cyberrobusthed)",
      "publisher": "EUR-Lex",
      "url": "https://eur-lex.europa.eu/eli/reg/2024/2847/oj",
      "accessed": "2026-10-04"
    },
    {
      "title": "Delegeret forordning (EU) 2026/339 om ophævelse af delegeret forordning (EU) 2022/30",
      "publisher": "EUR-Lex",
      "url": "https://eur-lex.europa.eu/eli/reg_del/2026/339/oj",
      "accessed": "2026-10-04"
    }
  ],
  "related": [
    "charger-common-port",
    "emc-test-failed",
    "new-regulation",
    "authority-letter"
  ],
  "reviewer": "Conphora compliance team",
  "reviewedAt": "2026-10-04",
  "notice": "General information, not legal advice."
}