Forordningen fastsætter et loft for bøder i tre niveauer, og hvert land bestemmer, hvordan bøderne pålægges. Det danske lovudkast foreslår, at overtrædelser straffes med bøde ved domstolene efter politianmeldelse.
Artikel 64 finder først anvendelse 11. december 2027. Det danske lovudkast blev sendt i høring 5. oktober 2026 og var endnu ikke fremsat i Folketinget pr. 13. november 2026. Ingen dansk domstol har udmålt en bøde efter reglerne, og der er intet dansk niveau at pege på. Artiklen gengiver reglerne; den er ikke juridisk rådgivning.
Artikel 64: rammen for landene
Efter artikel 64, stk. 1, fastsætter medlemsstaterne sanktioner, der skal være “effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning”. Forordningen sætter derefter et loft i tre niveauer. Hvert loft er bygget på samme måde. Det består af et fast beløb og en procentdel af virksomhedens samlede globale årsomsætning i det foregående regnskabsår, og det højeste af de to gælder. Beløbet og procentdelen er størst i stk. 2 og mindst i stk. 4. Tallene står i artikel 64 og gengives ikke her, fordi de ikke siger noget om, hvad en dansk domstol vil udmåle.
- Stk. 2 (højeste loft) · Bilag I og artikel 13 og 14
- Stk. 3 (mellemste loft) · Artikel 18-23, 28, 30, stk. 1-4, 31, stk. 1-4, 32, stk. 1-3, 33, stk. 5, og 39, 41, 47, 49 og 53
- Stk. 4 (laveste loft) · Ukorrekte, ufuldstændige eller vildledende oplysninger til bemyndigede organer og markedsovervågningsmyndigheder
For et softwarehus betyder opdelingen, at produktets egenskaber, sårbarhedshåndteringen og indberetningen hører til det øverste niveau. Erklæringen, CE-mærket, den tekniske dokumentation og samarbejdet med myndigheden efter artikel 53 hører til det midterste. Forkerte svar til myndigheden har sit eget niveau.
Hvad der indgår i udmålingen
Artikel 64, stk. 5, nævner tre hensyn:
- art, grovhed, varighed og konsekvenser af overtrædelsen,
- om der tidligere er givet bøder for en lignende overtrædelse,
- virksomhedens størrelse og markedsandel, navnlig for mikro-, små og mellemstore virksomheder.
Efter stk. 9 kan bøder komme oven i andre foranstaltninger, fx et påbud om at bringe produktet i overensstemmelse. Efter stk. 8 kan bøderne afhængigt af landets retssystem pålægges af domstole.
Undtagelserne
Artikel 64, stk. 10, indeholder to undtagelser fra bøderne.
Mikro- og små fabrikanter kan ikke få bøde for at overskride 24-timersfristerne for tidlig varsling efter artikel 14, stk. 2, litra a, og stk. 4, litra a. Pligten til at underrette gælder stadig. Undtagelsen dækker kun fristen for den tidlige varsling, og kun bøden.
Open source-forvaltere kan ikke få administrative bøder efter forordningen.
Hvad der ellers lempes for små virksomheder, og hvad der ikke gør, står i lempelserne for mikro- og små softwarehuse.
Den danske model i udkastet
Udkastets § 17 bruger samme opdeling som artikel 64.
- § 17, stk. 1, nr. 1 · Bødestraf for at undlade at overholde bilag I eller artikel 13 eller 14
- § 17, stk. 1, nr. 2 · Bødestraf for overtrædelse af de bestemmelser, der svarer til artikel 64, stk. 3
- § 17, stk. 1, nr. 3 · Bødestraf for at afgive ukorrekte, ufuldstændige eller vildledende oplysninger
- § 17, stk. 2 · Undtagelser svarende til artikel 64, stk. 10
- § 17, stk. 3 · Juridiske personer kan straffes
- § 17, stk. 5 · Forældelsesfristen er fem år
Udkastet nævner ingen beløb. Ifølge bemærkningerne pålægges bøder ikke administrativt. Sagerne går i det strafferetlige system efter politianmeldelse, og der skal ikke kunne udstedes administrative bødeforlæg. Bemærkningerne siger, at der lægges vægt på hensynene i artikel 64, stk. 5, og begrunder de fem års forældelse med sagernes størrelse og kompleksitet.
Efter § 18 træder § 17 i kraft 11. december 2027. Alt i dette afsnit er forslag og kan ændre sig, før et lovforslag fremsættes.
Gruppesøgsmål for forbrugere
Artikel 65 gør direktiv (EU) 2020/1828 om gruppesøgsmål gældende for overtrædelser af forordningen, der skader eller kan skade forbrugernes kollektive interesser. Udkastets bemærkninger nævner det. For et softwarehus med forbrugere som brugere er det en anden vej til en sag end tilsynet. Hvordan den bruges i Danmark, er ikke afklaret i de læste kilder.
Sådan læser I listen i stk. 3
Listen i stk. 3 ser teknisk ud, men den rammer mange af de pligter, et softwarehus møder i hverdagen. Artikel 18 handler om den bemyndigede repræsentant. Artikel 19 til 23 handler om importører, distributører og sporbarheden i handelsleddet. Artikel 28 er EU-overensstemmelseserklæringen, artikel 30 CE-mærket og artikel 31 den tekniske dokumentation. Artikel 32 er valget af procedure for overensstemmelsesvurdering, og artikel 33, stk. 5, er det forenklede format for mikro- og små virksomheder. Artikel 53 er pligten til at give myndigheden adgang til data.
Det er altså de formelle pligter omkring produktet. En mangelfuld erklæring eller en ufuldstændig teknisk dokumentation er en formel fejl, og den kan også give bøde. Hvordan myndigheden kan reagere på netop de fejl, står i artikel 58 om formelle mangler.
Hvad tallene ikke siger
Lofterne fortæller, hvor højt en bøde kan blive. De siger intet om, hvad danske domstole vil udmåle. Der er ingen praksis, og udkastet fastsætter ingen niveauer. Skriv derfor ikke forventede bødestørrelser i interne notater eller i salgsmateriale. Brug opdelingen til at se, hvilke pligter forordningen selv vægter højest.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I ved, hvilke pligter der hører til hvilket niveau, og at svar til myndigheden kan stå for et eftersyn. Det sidste niveau handler om vildledende oplysninger, og en hurtig, upræcis besvarelse kan i sig selv blive en sag.
At lade være betyder, at virksomheden først lærer reglerne at kende, når en sag er i gang. Den danske model med politianmeldelse og fem års forældelse gør, at gamle versioner og gamle beslutninger kan blive aktuelle længe efter.
Det skal I lade være med
- At regne et bødeeksempel ud fra omsætningen · lofterne er ikke en forventning, og der er ingen praksis.
- At tro, at små virksomheder er fritaget for indberetning · kun bøden for 24-timersfristen falder bort.
- At svare myndigheden hurtigt og upræcist · ukorrekte oplysninger har eget bødeniveau.
Det skal auditten kunne vise
- ☐ En oversigt, der kobler jeres pligter til de tre niveauer i artikel 64.
- ☐ En arbejdsgang for, hvordan svar til myndigheden kontrolleres, før de sendes.
- ☐ Oplysning om virksomhedens størrelse, hvis I vil påberåbe jer undtagelsen i artikel 64, stk. 10.
- ☐ Opbevaring af beslutninger og dokumentation, der dækker forældelsesfristen i udkastet.
Kilder
- Forordning (EU) 2024/2847, artikel 64, 65 og 71, læst 13. november 2026.
- Ministeriet for Samfundssikkerhed og Beredskab, udkast til lov om supplerende bestemmelser til forordningen om cyberrobusthed, høringsversion 5. oktober 2026, §§ 17-18 og bemærkningerne, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sæt jeres pligter efter forordningen op mod de tre niveauer, og se, hvor jeres dokumentation er tyndest.
Læs også: Væsentlig cybersikkerhedsrisiko · Indberetningspligten gælder nu
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
