Cyber Resilience Act: indberetning gælder nu, resten følger i 2027

Udgivet 19. oktober 2026 · Af Dazr

Siden 11. september 2026 indberetter producenter udnyttede sårbarheder og alvorlige hændelser til ENISA's platform. Hele CRA gælder fra 11. december 2027.

Cyber Resilience Act (forordning (EU) 2024/2847) fastsætter sikkerhedskrav til hardware og software, der sælges i EU. Den første forpligtelse med reel vægt gælder nu, og hovedkravene følger om lidt over et år.

Hvad der gælder siden 11. september 2026

Producenter af produkter med digitale elementer skal indberette to slags hændelser via ENISA's fælles indberetningsplatform, som blev lanceret den 11. september 2026:

Aktivt udnyttede sårbarheder i deres produkter: en tidlig varsling inden for 24 timer efter, at de er blevet bekendt med dem, en underretning inden for 72 timer og en endelig rapport senest 14 dage efter, at en afhjælpende eller begrænsende foranstaltning er tilgængelig.
Alvorlige hændelser, der påvirker sikkerheden i deres produkter: en tidlig varsling inden for 24 timer, en underretning inden for 72 timer og en endelig rapport senest en måned efter underretningen.

Indberetningen går til CSIRT'en i producentens medlemsstat, som koordinerer, og samtidig til ENISA. Producenten skal også informere produktets brugere, om nødvendigt om de foranstaltninger, de kan træffe.

Pligterne gælder også produkter, der allerede er på markedet, ikke kun nye (artikel 69, stk. 3). Mikro- og små producenter er også omfattet; de kan dog ikke få bøde, hvis de kun overskrider fristen for den tidlige varsling på 24 timer.

Hvad der kommer

11. december 2027: CRA gælder fuldt ud: sikkerhed fra designfasen, håndtering af sårbarheder i hele supportperioden, teknisk dokumentation, overensstemmelsesvurdering og CE-mærkning. Fra samme dato gælder indberetningspligten også for forvaltere af open source-software (open-source stewards).
Siden 11. juni 2026 har reglerne om notifikation af overensstemmelsesvurderingsorganer gældt, så bemyndigede organer kan være klar før 2027.

Hvad I kan gøre nu

Beslut, hvem i organisationen der kan indberette inden for 24 timer, også i weekenden, og test adgangen til platformen.
Før én registrering pr. hændelse med tidspunktet for, hvornår I blev bekendt med den, for alle frister regnes fra det tidspunkt.
Forbered en kort skabelon til at informere brugerne.
Brug tiden frem til december 2027 på kravene til design og dokumentation: en oversigt over omfattede produkter, en softwarestykliste (SBOM) og en proces for håndtering af sårbarheder.

Artikel 14 i detaljer i vores guide: indberetning under Cyber Resilience Act.

Kilder

Kun til orientering, ikke juridisk rådgivning. Senest opdateret 19. oktober 2026.

Emner: Cyber Resilience Act, ENISA, EU

Findes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Svenska, Norsk bokmål