Cyber Resilience Act: ny vejledning fra ENISA om SBOM'er og sikre opdateringer
ENISA har udgivet tekniske vejledninger om softwarestyklister (22. oktober) og sikre opdateringsmekanismer (4. november) til producenter under CRA.
Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) udgav den 22. oktober 2026 en Technical Advisory for Software Bill of Materials og den 4. november 2026 en Technical Advisory on Secure Update Mechanisms. Begge er skrevet til producenter under Cyber Resilience Act (CRA), især små og mellemstore. De er vejledning, ikke lov, og giver ingen formodning om overensstemmelse.
Hvad ændrer sig
CRA kræver en SBOM i et almindeligt anvendt, maskinlæsbart format, der dækker mindst afhængighederne på øverste niveau, og en markedsovervågningsmyndighed kan bede om den (bilag I, del II, og bilag VII). Sikkerhedsopdateringer skal distribueres sikkert, uden ophold og gratis, så vidt muligt adskilt fra funktionsopdateringer. ENISA viser nu, hvordan det gøres i praksis:
- SBOM'er: brug CycloneDX eller SPDX, generér en SBOM ved hvert build, og validér, signér, opbevar og vedligehold den. Gem dokumentation til audits og myndighedsanmodninger, og notér hullerne i dækningen.
- Opdateringer: signér opdateringsmetadata og beskyt nøglerne, accepter kun opdateringer fra betroede kilder over krypterede forbindelser, og afvis forældede eller genafspillede metadata. Installér sikkerhedsopdateringer automatisk som standard, hvor det er muligt, og udgiv en klar meddelelse med hver rettelse.
Vigtige datoer
- 11. september 2026: indberetning af aktivt udnyttede sårbarheder og alvorlige hændelser via ENISA's fælles indberetningsplatform gælder allerede. Fælles EU-erklæringer om kritiske PHP-sårbarheder (21. oktober) og om hændelser i kølesystemer (4. november) mindede producenterne om det.
- 11. december 2027: CRA gælder fuldt ud, herunder SBOM'er, sikre opdateringer og en supportperiode på mindst fem år, medmindre produktet forventes brugt i kortere tid (artikel 13, stk. 8).
Læs mere: Cyber Resilience Act: indberetning er i gang.
Hvad du gør nu
Kortlæg dine produkter i anvendelsesområdet, lav en SBOM for hver udgivelse, og tjek, hvem der må signere en opdatering, og hvordan enhederne verificerer den. Dazr Compliance samler det i ét CRA-modul: produktklassificering, upload af SBOM i CycloneDX eller SPDX JSON med kontrol af kendte sårbarheder, indberetningsfrister efter artikel 14 og teknisk dokumentation efter bilag VII.
Kilder
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
Kun til orientering, ikke juridisk rådgivning. Senest opdateret 7. november 2026.
Findes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Svenska, Norsk bokmål