Indberetninger efter artikel 14 sendes via den fælles indberetningsplatform, som ENISA driver. Adgangen kræver en personlig EU Login-konto med flerfaktorautentifikation, og for et dansk softwarehus er den koordinerende CSIRT Forsvarets Efterretningstjeneste.
Platformen åbnede 11. september 2026 og blev opgraderet til version 1.3 den 4. november 2026. ENISA oplyser, at dokumentationen er ved at blive opdateret. Det følgende bygger på ENISA’s vejledning om registrering, sidst opdateret i september 2026, og kan derfor ændre sig.
Hvem der driver hvad
ENISA opretter, driver og vedligeholder platformen (artikel 16, stk. 1). Indberetningen sker via adgangspunktet hos CSIRT’en i den medlemsstat, hvor fabrikanten har sit hovedforretningssted i EU. Hovedforretningsstedet er efter artikel 14, stk. 7, der, hvor beslutningerne om produkternes cybersikkerhed overvejende træffes. Kan det ikke afgøres, er det der, hvor fabrikanten har flest ansatte i EU.
Har fabrikanten intet hovedforretningssted i EU, gælder en rækkefølge: den bemyndigede repræsentant, importøren, distributøren og til sidst den medlemsstat, hvor der er flest brugere.
ENISA’s vejledning siger, at fabrikanten selv har ansvaret for at vælge den rigtige CSIRT efter den regel. For en dansk koncern med udvikling i flere lande er det ikke nødvendigvis Danmark. Valget bør derfor stå skrevet med begrundelse.
ENISA’s FAQ om platformen, opdateret 15. oktober 2026, tilføjer to ting. Vælges den forkerte koordinator, kan indberetningen blive erklæret ugyldig og skal sendes igen til den rigtige. Og en koncern med flere datterselskaber i EU sender én indberetning pr. sag, uanset hvor mange af selskaberne der er berørt. Selskaberne må selv aftale, hvem der gør det. Hvordan analysen laves, når hovedforretningsstedet ikke er oplagt, står i koordinerende CSIRT i en koncern.
Den danske koordinator
ENISA’s liste over CSIRT’er udpeget som koordinatorer peger for Danmark på Forsvarets Efterretningstjeneste. FE’s situationscenter varetager CSIRT-opgaven efter NIS2. Af bemærkningerne til lovudkastet om supplerende bestemmelser til forordningen fremgår, at netsikkerhedstjenesten med CSIRT-opgaven blev i Forsvarsministeriet ved ressortoverdragelsen i 2024.
Styrelsen for Samfundssikkerhed er altså ikke modtager af indberetningerne. Styrelsen henviser til ENISA og har en adresse til spørgsmål om implementeringen. Lovudkastet er ikke vedtaget. Dets § 12, stk. 4, ville give ministeren hjemmel til regler om et adgangspunkt for fabrikanters underretninger.
Adgangen til platformen sker med en personlig EU Login-konto og flerfaktor. Det fremgår både af ENISA’s vejledning, af vilkårene for platformen og af FE’s egne svar om indberetning på sin side om CRA.
De to roller på platformen
ENISA beskriver to slags repræsentanter for en fabrikant:
- Primær repræsentant registrerer sig, vælger den koordinerende CSIRT, accepterer den juridiske aftale og indtaster fabrikantens oplysninger. Tilknytningen sendes derefter til CSIRT’en til validering.
- Sekundær repræsentant kan kun inviteres af en primær repræsentant med status “Verified”. Invitationen udløber efter syv dage.
Valideringen sker efter registreringen og er ikke en betingelse for at sende en indberetning. Procedurerne kan variere mellem CSIRT’erne.
Ifølge ENISA’s brugermanual kan en sekundær repræsentant anmode om at overtage rollen som primær, og CSIRT’en godkender anmodningen. En primær kan fjerne sin egen og de sekundæres tilknytning. Repræsentanter for samme fabrikant kan se og opdatere hinandens indberetninger.
Registrér først, når der er noget at indberette
ENISA råder fabrikanter til at registrere sig og starte valideringen, når der skal sendes en konkret indberetning, frem for at registrere sig på forhånd. En gennemgang bør derfor ikke tælle, hvem der allerede er oprettet på platformen. Det er heller ikke et tegn på mangel, at ingen er det.
Det, der kan prøves, er forberedelsen uden for platformen. Har de udpegede personer et personligt EU Login med flerfaktor, som de kan bruge? Ved de, hvor platformen ligger, og hvilken CSIRT der er den rigtige? Er der aftalt en stedfortræder, hvis den primære er syg eller har forladt virksomheden? Står fabrikantens oplysninger klar, så de ikke skal findes frem under tidspres?
Vilkårene, der accepteres ved første login, giver flere kontrolpunkter for til- og fratrædelse. De er gennemgået i platformens vilkår.
En arbejdsgang, der er prøvet af
En øvelse er praksis, og forordningen kræver den ikke. Den viser til gengæld, om personerne faktisk kan logge på EU Login med deres flerfaktor uden for kontoret, og hvor lang tid det tager at finde fabrikantens oplysninger. En øvelse kan gennemføres uden at oprette noget på platformen ved at gå trinnene igennem på papir og kontrollere adgangen til EU Login.
Øvelsen bør også dække det tilfælde, hvor den primære repræsentant er væk, og en sekundær skal overtage. Overtagelsen kræver CSIRT’ens godkendelse, og det tager tid, I ikke har midt i en sag. Derfor er det klogt at have tænkt over, hvem der kan træde ind som primær fra start, og at notere, hvem der skal invitere hvem, når den første indberetning bliver aktuel. Notatet ligger hos jer selv, og det kan opdateres, hver gang en nøgleperson skifter job.
Felterne, der skal udfyldes, er beskrevet i felterne i varsling og slutrapport.
Hvad det kræver, og hvad det koster at lade være
Det kræver mindst to personer, der kan agere som repræsentant, et skrevet valg af CSIRT med begrundelse efter artikel 14, stk. 7, og fabrikantens stamoplysninger samlet ét sted.
Uden forberedelsen skal en person oprette konto, sætte flerfaktor op, finde den rigtige CSIRT og samle virksomhedens oplysninger, mens 24-timersfristen løber. Det er her, timerne forsvinder.
Det skal I lade være med
- At sende indberetningen til en styrelse · den danske koordinator er FE via ENISA’s platform.
- At dele én EU Login-konto i et team · adgangsmidlerne er personlige efter vilkårene.
- At gå ud fra, at Danmark er den rigtige medlemsstat · det afhænger af hovedforretningsstedet.
Det skal auditten kunne vise
- ☐ Et skrevet valg af koordinerende CSIRT med begrundelse efter artikel 14, stk. 7.
- ☐ Mindst to udpegede personer med personligt EU Login og flerfaktor.
- ☐ Samlede stamoplysninger om fabrikanten, klar til første registrering.
- ☐ En gennemført øvelse af trinnene uden for platformen.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 14, stk. 7, og artikel 16, stk. 1, læst 13. november 2026.
- ENISA, CRA SRP Guidance, AR User Registration, læst 13. november 2026.
- ENISA, Single Reporting Platform, læst 13. november 2026.
- ENISA, SRP Frequently Asked Questions, spørgsmål 8 og 18, opdateret 15. oktober 2026, læst 13. november 2026.
- ENISA, SRP AR User Manual, version 1.1, afsnit 1.5 og 4.4-4.6, læst 13. november 2026.
- ENISA, List of CSIRTs Designated as Coordinators, læst 13. november 2026.
- Forsvarets Efterretningstjeneste, Cybertruslen og Cyber Resilience Act (CRA), læst 13. november 2026.
- Høringsportalen, udkast til lov om supplerende bestemmelser til forordningen om cyberrobusthed, høringsversion 5. oktober 2026, ikke vedtaget, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvilken CSIRT der er jeres, og hvem der har et personligt EU Login med flerfaktor klar.
Læs også: Indberetningspligten gælder nu · Bemyndiget repræsentant for en producent uden for EU
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
