I har fået kendskab, når en første vurdering giver jer en rimelig grad af sikkerhed for, at en sårbarhed i produktet bliver udnyttet aktivt. Sådan forklarer Kommissionen det i sin vejledning, og det tidspunkt starter fristen på 24 timer i artikel 14.
Forordningen selv definerer ikke “kendskab”. Derfor bliver det tidspunkt, I skriver i varslingen, et af de mest kritiske oplysninger i hele sagen. Det skal kunne forklares bagefter.
Hvad forordningen definerer
Artikel 3, nr. 42, definerer en aktivt udnyttet sårbarhed som en sårbarhed, hvor der foreligger pålidelig dokumentation for, at en ondsindet aktør har udnyttet den i et system uden tilladelse fra systemets ejer. Det er tre led, der alle skal være til stede: pålidelig dokumentation, en ondsindet aktør og manglende tilladelse.
En sårbarhed, der kan udnyttes (nr. 41), er noget andet. Mange fund i jeres egen test vil være udnyttelige uden at være udnyttet. Indberetningspligten i artikel 14, stk. 1, gælder den aktivt udnyttede.
Kommissionens forklaring af kendskab
Kommissionen forklarer i vejledningen (punkt 211 til 214), at fabrikanten bør vurdere en mistænkelig hændelse eller en henvendelse fra en tredjepart straks. Kendskab foreligger, når fabrikanten efter den første vurdering har en rimelig grad af sikkerhed for aktiv udnyttelse eller for, at en alvorlig hændelse har kompromitteret produktets sikkerhed. Tidspunktet afhænger af omstændighederne. Vægten ligger på, at den første vurdering sker hurtigt.
Kommissionen har afstemt forklaringen med betragtning 31 i gennemførelsesforordning (EU) 2024/2690 under NIS2 og med EDPB’s retningslinjer 9/2022 om brud på persondatasikkerheden. Har I allerede en praksis for, hvornår et persondatabrud er “konstateret”, ligner logikken.
Vejledningen er Kommissionens læsning og binder ikke. Den er alligevel det bedste holdepunkt, der findes i november 2026. Der er endnu ingen dansk tilsynspraksis.
Hvor kendskabet kommer fra
Kommissionens FAQ (punkt 5.1) nævner en række kilder, som kan give kendskab:
- en kunde eller partner, der melder usædvanlig aktivitet
- trusselsrapporter fra forskere eller sikkerhedsfirmaer
- offentlige cybersikkerhedsmyndigheder
- etiske hackere
- egen overvågning, scanning, telemetri, honeypots eller overvågning af fora
FAQ’en siger udtrykkeligt, at listen ikke betyder, at fabrikanten skal udføre de aktiviteter for at overholde indberetningspligten. En fodnote minder dog om, at bilag I, del II, fra 11. december 2027 bl.a. kræver et kontaktpunkt for sårbarheder og en politik for koordineret offentliggørelse. Dem kan I læse om i politik for koordineret offentliggørelse.
Sårbarheder, I kendte før 11. september 2026
Kommissionen forklarer (vejledningen punkt 217 og FAQ 5.3), at der ikke er pligt til at indberette en sårbarhed, hvis aktive udnyttelse I allerede kendte før 11. september 2026. Der er ingen bagudrettet indberetning.
Pligten gælder derimod, hvis I kendte sårbarheden før datoen, men først efter den får at vide, at den bliver udnyttet. Det er udnyttelsen, der skal være ny viden. Har I gamle sager liggende, er det derfor værd at kunne vise, hvornår I lærte hvad.
Tidspunktet i varslingen
På ENISA’s platform er feltet for dato og tidspunkt for kendskab obligatorisk i den tidlige varsling. Ifølge ENISA’s glossar angives et bedste skøn, markeret som skøn, hvis det præcise tidspunkt ikke kendes. Glossaret forklarer feltet med ordene “first detected”. Den formulering stemmer ikke helt med Kommissionens forklaring, og vi læser feltet i lyset af vejledningen. Det er vores tolkning.
I praksis betyder det, at I skal kunne skelne tre tidspunkter i jeres egne noter:
- Hvornår henvendelsen eller signalet kom ind.
- Hvornår den første vurdering var færdig.
- Hvad der i vurderingen gav den rimelige grad af sikkerhed.
Er der langt fra første til andet tidspunkt, vil en myndighed spørge hvorfor. Vurderingen skal ske straks, og en henvendelse, der ligger urørt i en indbakke, flytter ikke starttidspunktet ud i fremtiden.
Hvad en gennemgang kigger efter
En gennemgang af punktet tager typisk et antal indkomne henvendelser fra support, sikkerhedspostkasse og overvågning og ser, hvordan de blev behandlet. Var der en første vurdering? Hvem lavede den? Står det skrevet, hvorfor sagen blev eller ikke blev vurderet som aktiv udnyttelse? Fremgår tidsstemplerne?
Metoden er praksis og ikke et krav i forordningen. Den viser, om “straks” i Kommissionens forklaring også er straks hos jer. Hvordan fristerne derefter løber, står i indberetningspligten og de tre frister.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kort procedure for første vurdering, kriterier for, hvornår der er rimelig grad af sikkerhed, og en log, der bevarer tidsstemplerne. Supporten skal vide, hvilke henvendelser der skal videre med det samme.
Uden dem kan I ikke forklare, hvorfor varslingen kom, da den kom. Et starttidspunkt, der ikke kan begrundes, er svært at forsvare, og en myndighed kan vælge sit eget.
Det skal I lade være med
- At vente på fuld vished, før I erklærer kendskab · Kommissionen taler om rimelig grad af sikkerhed.
- At lade henvendelser ligge uden vurdering · forsinkelsen bliver en del af sagen.
- At blande udnyttelig og udnyttet sammen · kun den udnyttede udløser pligten.
Det skal auditten kunne vise
- ☐ En procedure for første vurdering med navngivne ansvarlige.
- ☐ Tidsstempler for signal, vurdering og konklusion i hver sag.
- ☐ Begrundelsen for, at en sag blev eller ikke blev vurderet som aktiv udnyttelse.
- ☐ Overblik over sårbarheder, hvis udnyttelse var kendt før 11. september 2026.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 3, nr. 41-42, og artikel 14, stk. 1, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252, punkt 211-217, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 5.1 og 5.3, læst 13. november 2026.
- ENISA, CRA SRP Glossary, version 1.6, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de sidste fem sikkerhedshenvendelser og se, om I kan sætte tidsstempel på den første vurdering.
Læs også: En udnyttet sårbarhed i et bibliotek · Ingen kendte udnyttelige sårbarheder ved frigivelse
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
