En indberetning efter artikel 14 bliver ikke liggende hos den koordinerende CSIRT. Den kan sendes videre til andre landes CSIRT’er og ENISA, oplysninger kan gå til markedsovervågningen, og når en rettelse er ude, kan sårbarheden blive optaget i den europæiske sårbarhedsdatabase efter aftale med jer.
Forløbet står i artikel 16 og 17. Ifølge artikel 71, stk. 2, gælder de to artikler fra 11. december 2027, mens selve indberetningspligten har gældt siden 11. september 2026. Hvordan platformen håndterer indberetningerne i dag, beskriver ENISA i sin vejledning.
Første led: CSIRT’erne og ENISA
Efter artikel 16, stk. 2, formidler den modtagende CSIRT straks underretningen via platformen til CSIRT’erne i de medlemsstater, I har angivet. Der er undtagelser, hvor formidlingen kan udsættes. De er beskrevet i kan indberetningen holdes tilbage.
ENISA’s vejledning om indgivelse og opdatering beskriver, hvordan det sker på platformen i dag. De berørte CSIRT’er modtager først indberetningen, når den koordinerende CSIRT har formidlet den manuelt. ENISA modtager den tidlige varsling automatisk og 72-timers meddelelsen og den endelige rapport automatisk, når PEC ikke er påberåbt.
For softwarehuset betyder det, at oplysningerne i en indberetning skal kunne tåle at blive læst af myndigheder i flere lande. Det er en god grund til at være konkret om følsomhed.
Andet led: markedsovervågningen
Artikel 16, stk. 3, siger, at CSIRT’erne giver markedsovervågningsmyndighederne de oplysninger, de har brug for til deres opgaver. En indberetning er altså ikke adskilt fra tilsynet med produktet.
Forordningen siger her, at oplysningerne kan nå markedsovervågningen. Om de fører til tilsyn, afgøres andetsteds. Hvad tilsynet kan, er beskrevet under tilsyn og sanktioner. Der er endnu ingen dansk tilsynspraksis pr. november 2026.
Lovudkastet om supplerende bestemmelser til forordningen giver i § 11 den danske CSIRT adgang til at videregive oplysninger til andre myndigheder eller virksomheder. Udkastet er ikke vedtaget.
Tredje led: omfattende hændelser
Ved omfattende hændelser kan ENISA efter artikel 17, stk. 1, give oplysninger til EU-CyCLONe. For et softwarehus er det nok at vide, at en sag med bred virkning kan nå det niveau, og at oplysningerne da bevæger sig længere væk fra den CSIRT, I talte med.
Når offentligheden skal vide det
Artikel 17, stk. 2, handler om alvorlige hændelser. Den koordinerende CSIRT kan efter høring af fabrikanten informere offentligheden om hændelsen eller kræve, at fabrikanten gør det. Det kan ske i samarbejde med ENISA.
Høringen er jeres mulighed for at påvirke tidspunkt og indhold. Den kræver, at nogen i huset kan svare hurtigt og kender sagen. En CSIRT, der beder om jeres syn, kan beslutte uden det, hvis svaret ikke kommer.
Den europæiske sårbarhedsdatabase
Artikel 17, stk. 5, siger, at ENISA efter aftale med fabrikanten tilføjer en offentligt kendt sårbarhed til den europæiske sårbarhedsdatabase, når en sikkerhedsopdatering eller anden foranstaltning er tilgængelig. Tre ting er værd at bemærke:
- Det sker efter aftale med jer.
- Det gælder offentligt kendte sårbarheder.
- Det sker, når en rettelse eller afbødning er tilgængelig.
Databasens egen beskrivelse af proceduren har vi ikke læst. Artiklen bygger derfor på forordningens tekst.
Ansvaret
Efter artikel 17, stk. 4, gør selve det at indberette efter artikel 14 eller 15 ikke den indberettendes ansvar større. Bestemmelsen handler om selve handlingen at indberette. Et ansvar, der fandtes i forvejen, består. Hvordan produktansvaret i øvrigt hænger sammen med sårbarheder, er beskrevet under produktansvar.
Rapporter om tendenser
ENISA laver hver 24. måned en teknisk rapport om tendenser i de indberettede sårbarheder og hændelser (artikel 17, stk. 3).
Jeres egen journal over sagen
Når indberetningen først er sendt, er det let at miste overblikket over, hvad der er sagt til hvem. Forordningen kræver ingen journal, så det er praksis at føre en. Den kan rumme kopier af varsling, meddelelse og endelig rapport, hver opdatering med dato, spørgsmål og svar fra CSIRT’en, eventuelle høringer om offentlig omtale og jeres svar på en anmodning om optagelse i databasen.
Journalen har to formål. Den sikrer, at kundebeskeder og pressesvar ikke siger noget andet end indberetningen. Og den er det spor, I kan vise, hvis markedsovervågningen senere spørger, hvad der skete, og hvornår. Opbevar den sammen med den tekniske dokumentation for produktet, så den kan findes, også når de personer, der håndterede sagen, er gået videre.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at indberetningen skrives, så den kan læses af flere myndigheder, at der er en person, der kan svare på en høring, og at huset har taget stilling til, hvordan det vil svare på en anmodning om optagelse i databasen.
Uden forberedelsen kan en høring om offentlig omtale ende med, at CSIRT’en beslutter uden jeres input. Kunderne får da historien fortalt uden jeres viden om produktet.
Det skal I lade være med
- At skrive en indberetning, som om kun én CSIRT læser den · den kan blive formidlet til flere lande.
- At ignorere en høring fra CSIRT’en · den er jeres mulighed for at påvirke udmeldingen.
- At gå ud fra, at indberetningen beskytter mod ansvar · et ansvar, der fandtes i forvejen, består.
Det skal auditten kunne vise
- ☐ En procedure for at svare på høringer fra CSIRT’en.
- ☐ En navngiven person, der kan godkende offentlig kommunikation om en hændelse.
- ☐ En holdning til optagelse i den europæiske sårbarhedsdatabase.
- ☐ Indberetninger skrevet med konkret vurdering af følsomhed.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 16, stk. 2-3, artikel 17, stk. 1-5, og artikel 71, stk. 2, læst 13. november 2026.
- ENISA, CRA SRP Guidance, AR Notification submission and update, læst 13. november 2026.
- Høringsportalen, udkast til lov om supplerende bestemmelser til forordningen om cyberrobusthed, § 11, høringsversion 5. oktober 2026, ikke vedtaget, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Aftal, hvem der svarer, hvis CSIRT’en hører jer om offentlig omtale af en hændelse.
Læs også: Frivillig indberetning efter artikel 15 · Når rettelsen er ude
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
