Tre måneder til den første CRA-frist, der for alvor gælder
Det meste af forordningen om cyberrobusthed (CRA) føles stadig langt væk. Forordningen, forordning (EU) 2024/2847, finder fuldt ud anvendelse fra den 11. december 2027, og det er den dato, de fleste produktteams har i deres planer for krav om indbygget sikkerhed, overensstemmelsesvurdering og CE-mærkning.
Men én forpligtelse kommer meget tidligere. Fra den 11. september 2026 skal fabrikanter af produkter med digitale elementer underrette myndighederne om aktivt udnyttede sårbarheder og alvorlige hændelser. Forpligtelsen er ikke begrænset til nye produkter: Den omfatter også forbundne produkter, der allerede er på markedet. For en virksomhed, der sælger smarthome-enheder, forbundet legetøj, wearables eller ethvert andet produkt med software eller en netværksforbindelse, er der nu tre måneder tilbage til at indføre en proces, der virker inden for 24 timer.
CRA’s tre datoer
Artikel 71, stk. 2, i forordningen om cyberrobusthed fastsætter tre anvendelsesdatoer:
- Den 11. juni 2026 – kapitel IV (artikel 35–51) om notifikation af overensstemmelsesvurderingsorganer finder anvendelse. Det er grundlaget for de organer, der senere skal vurdere de mere kritiske produktklasser.
- Den 11. september 2026 – artikel 14, fabrikanternes indberetningspligter, finder anvendelse.
- Den 11. december 2027 – resten af forordningen finder anvendelse, herunder de væsentlige cybersikkerhedskrav i bilag I.
Forordningen definerer et produkt med digitale elementer som „et software- eller hardwareprodukt og dets løsninger til fjerndatabehandling“, herunder komponenter, der bringes i omsætning separat. I praksis dækker det de fleste forbrugerprodukter, der forbindes med en telefon, et netværk eller skyen.
Hvad der skal indberettes
Artikel 14 indfører to indberetningspligter.
Aktivt udnyttede sårbarheder (artikel 14, stk. 1). En fabrikant skal underrette om enhver aktivt udnyttet sårbarhed i sit produkt, som den får kendskab til. Forordningen definerer en aktivt udnyttet sårbarhed som en sårbarhed, „for hvilken der er pålidelig dokumentation for, at en ondsindet aktør har udnyttet den i et system uden tilladelse fra systemejeren“. En sårbarhed, som I selv finder ved test, og som ingen har udnyttet, er ikke omfattet af denne obligatoriske pligt, men artikel 15 giver mulighed for frivillig indberetning.
Alvorlige hændelser (artikel 14, stk. 3). En fabrikant skal også underrette om enhver alvorlig hændelse, der har indvirkning på produktets sikkerhed. Efter artikel 14, stk. 5, er en hændelse alvorlig, når den påvirker eller kan påvirke produktets evne til at beskytte tilgængeligheden, autenticiteten, integriteten eller fortroligheden af følsomme eller vigtige data eller funktioner, eller når den har ført eller kan føre til, at ondsindet kode indføres eller afvikles i produktet eller i en brugers net- og informationssystemer.
24 timer, 72 timer, 14 dage og en måned
Begge pligter følger en trinvis tidsplan, der er fastsat i artikel 14, stk. 2 og 4:
| Trin | Aktivt udnyttet sårbarhed | Alvorlig hændelse |
|---|---|---|
| Tidlig varsling | Inden for 24 timer efter at have fået kendskab til den | Inden for 24 timer efter at have fået kendskab til den |
| Underretning | Inden for 72 timer med generelle oplysninger om produktet, udnyttelsen og eventuelle korrigerende eller afbødende foranstaltninger | Inden for 72 timer med en indledende vurdering og de trufne foranstaltninger |
| Endelig rapport | Senest 14 dage efter, at en korrigerende eller afbødende foranstaltning er tilgængelig | Inden for en måned efter underretningen om hændelsen |
Den tidlige varsling skal, hvor det er relevant, angive de medlemsstater, hvor fabrikanten ved, at produktet er gjort tilgængeligt. For hændelser skal den også angive, om hændelsen mistænkes for at være forårsaget af ulovlige eller ondsindede handlinger. Den CSIRT, der modtager indberetningen, kan bede om en foreløbig rapport om relevante statusopdateringer (artikel 14, stk. 6).
Indberetningen til myndighederne er kun halvdelen. Efter artikel 14, stk. 8, skal fabrikanten også informere de berørte brugere og, hvor det er hensigtsmæssigt, alle brugere om sårbarheden eller hændelsen og om de foranstaltninger, de kan træffe for at begrænse virkningen.
Hvor indberetningerne skal hen
Underretninger indgives via den fælles indberetningsplatform, som artikel 16 pålægger ENISA, EU’s agentur for cybersikkerhed, at oprette og drive. Fabrikanten bruger det elektroniske underretningsendepunkt hos den CSIRT, der er udpeget som koordinator i den medlemsstat, hvor fabrikanten har sit hovedforretningssted i Unionen, og underretningen er samtidig tilgængelig for ENISA (artikel 14, stk. 7).
En fabrikants hovedforretningssted er dér, hvor beslutningerne om produkternes cybersikkerhed overvejende træffes. En fabrikant uden hovedforretningssted i EU følger en rækkefølge, der er fastsat i artikel 14, stk. 7: medlemsstaten for den bemyndigede repræsentant, der handler for flest af fabrikantens produkter, dernæst medlemsstaten for den importør, der bringer flest af produkterne i omsætning, dernæst medlemsstaten for den distributør, der gør flest tilgængelige, og endelig den medlemsstat, der har flest brugere. For et mærke uden for EU, der sælger gennem en importør i EU, betyder det, at importørens land kan afgøre, hvilken CSIRT der modtager indberetningen.
Produkter, der allerede er på markedet
Den detalje, der overrasker mange virksomheder, står i overgangsbestemmelserne. Som hovedregel er produkter, der er bragt i omsætning før den 11. december 2027, kun omfattet af forordningen, hvis de ændres væsentligt efter den dato (artikel 69, stk. 2). Artikel 69, stk. 3, gør en undtagelse: Indberetningspligterne i artikel 14 gælder for alle produkter inden for anvendelsesområdet, der er bragt i omsætning før den 11. december 2027.
Et forbundet produkt, som I lancerede i 2024 og stadig understøtter, er altså omfattet af indberetningspligten fra den 11. september 2026, selv om det ikke skal gennemgå en overensstemmelsesvurdering efter forordningen, medmindre det ændres væsentligt fra den 11. december 2027.
Forordningen knytter også reelle sanktioner til pligten. Efter artikel 64, stk. 2, kan manglende overholdelse af forpligtelserne i artikel 14 føre til administrative bøder på op til 15 mio. EUR eller, for en virksomhed, op til 2,5 % af dens samlede globale årlige omsætning i det foregående regnskabsår, alt efter hvilket beløb der er størst.
En forberedelsesplan for sommeren
Med tre måneder tilbage er arbejdet mest organisatorisk:
- Opfør hvert forbundet produkt, I har bragt i omsætning, herunder udgåede modeller, der stadig er i brug, og de softwareversioner, der er i drift.
- Udpeg, hvem der er ansvarlig for inden for få timer at afgøre, om en sag er en „aktivt udnyttet“ sårbarhed eller en „alvorlig hændelse“, og hvem der sender den tidlige varsling.
- Indfør en modtagelse af oplysninger om sårbarheder fra leverandører, forskere, kunder og jeres egen overvågning, så I ved, hvornår 24-timersfristen begynder at løbe.
- Kortlæg, hvor jeres hovedforretningssted er, eller hvilken medlemsstat der gælder efter rækkefølgen i artikel 14, stk. 7, hvis I er uden for EU.
- Forbered skabeloner til kommunikationen med brugerne efter artikel 14, stk. 8, på sprogene i de markeder, hvor produktet sælges.
- Aftal rollerne med jeres importør eller bemyndigede repræsentant, så oplysningerne hurtigt når frem til fabrikanten.
Er jeres produkt også radioudstyr, så læs vores regulativside om radioudstyrsdirektivet og problemsiderne om nye cybersikkerhedsregler for forbundne enheder og at tilføje Bluetooth eller wi-fi til et eksisterende produkt.
Sådan hjælper Conphora
Indberetningspligten efter forordningen om cyberrobusthed er et fristproblem: De oplysninger, I har brug for i de første 24 timer, skal være klar, før noget sker. Med Conphora kan I:
- Føre et register over jeres forbundne produkter med modeller, softwareversioner, markeder og de involverede erhvervsdrivende.
- Knytte hvert produkt til de ansvarlige personer og dokumenter, så den, der skal tage stilling til en indberetning, finder alt ét sted.
- Følge CRA-datoerne pr. produkt fra indberetningspligten i september 2026 til fuld anvendelse i december 2027.
- Gemme indberetninger og meddelelser til brugerne ved det produkt, de vedrører, klar til en anmodning fra markedsovervågningen.
Se, hvordan Conphora virker, og hvordan platformen holder produktoplysningerne klar til myndighederne.
Vil I have jeres forbundne produkter klar til den 11. september? Se abonnement og priser →