Et bemyndiget organ er et overensstemmelsesvurderingsorgan, som en medlemsstat har udpeget og meddelt til Kommissionen efter artikel 43. Om der findes et organ, der er bemyndiget efter CRA og dækker jeres produktkategori, slår I op i Kommissionens database NANDO.
Vi har ikke kunnet læse NANDO’s status for CRA i november 2026, fordi databasen kræver JavaScript i browseren. Vi skriver derfor hverken, at der findes, eller at der ikke findes CRA-organer. I Danmark var der ifølge bemærkningerne til lovudkastet fra oktober 2026 ingen udpeget bemyndigende myndighed på området.
Hvad et bemyndiget organ er
Artikel 3 definerer et bemyndiget organ som et overensstemmelsesvurderingsorgan, der er udpeget efter artikel 43. Organet deltager, når fabrikanten bruger modul B og C eller modul H, og når et vigtigt eller kritisk produkt kræver en vurdering med tredjepart. Kommissionen forklarer i sin FAQ (punkt 6.9), at bemyndigede organer kan være private eller offentlige enheder, uafhængige af fabrikanter og markedsovervågningsmyndigheder.
Krav til uafhængighed
Artikel 39 stiller en række krav til organerne. De vigtigste for en fabrikant at kende er:
- Organet skal være oprettet efter national ret og være en juridisk person.
- Det skal være et tredjepartsorgan, der er uafhængigt af den organisation eller det produkt, det vurderer.
- Ledelsen og det personale, der vurderer, må ikke være designer, udvikler, fabrikant eller leverandør af de produkter, de vurderer, og må ikke deltage i aktiviteter, der kan stride mod deres objektivitet.
- Organet skal være uvildigt, og aflønningen af ledelse og personale må ikke afhænge af antallet af vurderinger eller deres resultat.
- Personalet har tavshedspligt.
Kravene betyder blandt andet, at den, der har rådgivet jer om at bygge produktet, ikke samtidig kan være det organ, der vurderer det. En uvildig forhåndsgennemgang er noget andet end en vurdering fra et bemyndiget organ og kan ikke erstatte den.
Sådan bliver et organ udpeget
Proceduren står i artikel 42 til 44:
- Organet ansøger den bemyndigende myndighed i den medlemsstat, hvor det er etableret, eventuelt med et akkrediteringscertifikat (artikel 42).
- Myndigheden meddeler organet til Kommissionen og de andre medlemsstater via NANDO (artikel 43, stk. 2).
- Organet må først udføre opgaver som bemyndiget organ, når der ikke er gjort indsigelse inden for to uger, hvis det er akkrediteret, eller inden for to måneder, hvis det ikke er (artikel 43, stk. 5).
- Kommissionen tildeler et identifikationsnummer og offentliggør listen over bemyndigede organer (artikel 44).
Datoerne
Kapitel IV om bemyndigede organer, artikel 35 til 51, har gældt siden 11. juni 2026 (artikel 71, stk. 2). Kommissionen forklarer i FAQ’en (punkt 7.1), at medlemsstaterne skulle have udpeget bemyndigende myndigheder senest den dato. Artikel 35, stk. 2, beder medlemsstaterne arbejde for, at der inden 11. december 2026 er bemyndigede organer nok. Kravene til produkterne gælder fra 11. december 2027.
Danmark: lovudkastet
Ministeriet for Samfundssikkerhed og Beredskab sendte den 5. oktober 2026 et udkast til lov om supplerende bestemmelser til forordningen i høring med frist 2. november 2026. Udkastet er ikke vedtaget.
Efter udkastets § 3 skal Styrelsen for Samfundssikkerhed være bemyndigende myndighed. Efter § 4, stk. 1, skal DANAK vurdere og overvåge organerne. Bemærkningerne til udkastet siger, at der på det tidspunkt hverken fandtes regler om bemyndigelsesprocessen eller en udpeget bemyndigende myndighed på området. Efter udkastets § 18 skulle loven, herunder §§ 3 og 4, træde i kraft 1. marts 2027.
Det betyder ikke, at et dansk softwarehus skal bruge et dansk organ. Fabrikanten indgiver ansøgningen til et bemyndiget organ efter eget valg (bilag VIII, del II, punkt 3, og del IV, punkt 3.1).
Sådan slår I op i NANDO
NANDO er Kommissionens database over bemyndigede organer. Kommissionens side om overensstemmelsesvurdering, sidst opdateret 31. juli 2026, siger, at NANDO viser bemyndigede organer, herunder for CRA, når de foreligger. Søgningen sker efter lovgivning. Vælg forordning (EU) 2024/2847, og se, hvilke organer der er meddelt, for hvilke produktkategorier og procedurer.
Når et organ er fundet, er det værd at kontrollere tre ting: at det er meddelt for den procedure, I vil bruge, at det dækker jeres produktkategori, og at det har kapacitet i den periode, hvor jeres vurdering skal ske.
Kommissionens side nævner også, at ENISA har udgivet tekniske kompetencekrav til CRA-organer. Vi har ikke læst dem i denne gennemgang.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen jævnligt slår status op i NANDO, at tidsplanen for vurderingen tager højde for, at CRA-området er nyt, og at valget af organ er dokumenteret.
Venter et softwarehus med at undersøge organerne, til dokumentationen er færdig, kan det opdage, at de organer, der dækker produktkategorien, ikke har tid før datoen.
Det skal I lade være med
- At gå ud fra, at et organ skal være dansk · fabrikanten vælger organ.
- At regne lovudkastet for gældende · det er ikke vedtaget.
- At lade en rådgiver for produktet være organet · artikel 39 kræver uafhængighed.
Det skal auditten kunne vise
- ☐ Et dateret opslag i NANDO for jeres produktkategori og procedure.
- ☐ Et dokumenteret valg af organ eller en plan for at finde et.
- ☐ En tidsplan, der regner med organets kapacitet.
- ☐ Kendskab til organets uafhængighed efter artikel 39.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 3, artikel 35, stk. 2, artikel 39, artikel 42-44, artikel 71, stk. 2, og bilag VIII, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 6.9 og 7.1, læst 13. november 2026.
- Europa-Kommissionen, Cyber Resilience Act: Conformity assessment, sidst opdateret 31. juli 2026, læst 13. november 2026.
- Høringsportalen, udkast til lov om supplerende bestemmelser til forordningen om cyberrobusthed, §§ 3, 4 og 18, høringsversion 5. oktober 2026, ikke vedtaget, læst 13. november 2026.
- Europa-Kommissionen, NANDO, kunne ikke læses 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Slå forordning (EU) 2024/2847 op i NANDO, og notér datoen og de organer, der dækker jeres produktkategori.
Læs også: Klar til det bemyndigede organ · Styrelsen for Samfundssikkerhed som markedsovervågningsmyndighed
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
