Artikel 15 giver fabrikanter og alle andre mulighed for at melde sårbarheder, cybertrusler, hændelser og nærvedhændelser frivilligt til en koordinerende CSIRT eller ENISA. En frivillig melding må ikke give den, der indberetter, nye forpligtelser.
Datoerne er værd at holde styr på. Artikel 14 har gældt siden 11. september 2026. Artikel 15 og 17 hører efter artikel 71, stk. 2, til de bestemmelser, der først gælder fra 11. december 2027. Kommissionen omtaler alligevel den frivillige vej i sin vejledning og FAQ, og hvordan frivillige meldinger behandles inden da, er ikke beskrevet i vejledningen eller FAQ’en.
På den fælles indberetningsplatform kan en frivillig melding ikke indgives i dag. ENISA oplyser i sin FAQ, opdateret 15. oktober 2026, at frivillig indberetning efter artikel 15 kommer i en senere fase af platformen.
Ordningen er nyttig for et softwarehus, fordi mange sager ligger lige under tærsklen for den obligatoriske pligt i artikel 14. Spørgsmålet er, hvornår huset vil bruge den.
Hvad der kan meldes
Artikel 15, stk. 1, åbner for frivillige meldinger om enhver sårbarhed i et produkt og om cybertrusler, der kan påvirke produktets risikoprofil. Stk. 2 åbner for meldinger om hændelser med indvirkning på produktets sikkerhed og om nærvedhændelser, der kunne have ført til en sådan hændelse. Begreberne hændelse og nærvedhændelse har forordningen hentet fra NIS2-direktivet (artikel 3, nr. 43 og 45).
Meldingerne kan komme fra fabrikanter og fra andre fysiske eller juridiske personer. En kunde, en forsker eller en konkurrent kan altså også melde.
Hvad der sker med meldingen
CSIRT’en kan prioritere de obligatoriske underretninger over de frivillige (stk. 3). En frivillig melding kan altså ligge, mens CSIRT’en håndterer de pligtige.
Kommer meldingen om en aktivt udnyttet fejl eller en alvorlig hændelse fra en tredjepart, skal CSIRT’en underrette fabrikanten uden unødigt ophold (stk. 4). For et softwarehus betyder det, at en tredjeparts melding om jeres produkt kan nå jer via CSIRT’en. Den henvendelse kan være det, der giver jer kendskab, og dermed starte fristen i artikel 14. Hvornår kendskab foreligger, står i aktivt udnyttet sårbarhed.
Ingen nye pligter og intet øget ansvar
Artikel 15, stk. 5, siger, at frivillig indberetning ikke må medføre yderligere forpligtelser for den, der indberetter. Artikel 17, stk. 4, tilføjer, at en underretning efter artikel 14 eller 15 i sig selv ikke medfører øget ansvar.
Bestemmelserne fjerner ikke de pligter, I har i forvejen. Er en sårbarhed faktisk aktivt udnyttet, er der pligt efter artikel 14, uanset om meldingen kaldes frivillig. Det er derfor vigtigt, at husets vurdering af udnyttelse er gjort, før en melding sendes som frivillig.
Fortrolighed i Danmark
Lovudkastet om supplerende bestemmelser til forordningen undtager i § 13 fabrikanters underretninger til CSIRT’en efter artikel 14 og frivillige indberetninger efter artikel 15 fra aktindsigt efter offentlighedsloven og partsaktindsigt efter forvaltningsloven. Udkastet er fra 5. oktober 2026, høringsfristen var 2. november 2026, og det er ikke vedtaget. Efter udkastets § 18 skulle loven træde i kraft 1. marts 2027. Indtil en lov er vedtaget, gælder undtagelsen ikke.
Hvornår det giver mening at melde frivilligt
Kommissionen nævner frivillig indberetning som muligheden i flere tilfælde. Kommissionens FAQ (punkt 5.2) nævner nuldagssårbarheder fundet i et bug bounty-program eller af et testlaboratorium uden tegn på udnyttelse. Vejledningen (punkt 218) nævner en sårbarhed i en tredjepartskomponent, som enten ikke kan udnyttes i fabrikantens produkt eller ikke er blevet det.
Ud over Kommissionens eksempler kan der være andre grunde til at melde frivilligt. Det er vores vurdering og ikke en regel:
- en sårbarhed i en udbredt komponent, hvor andre fabrikanter kan være udsat
- et forsøg på at kompromittere byggekæden, der blev stoppet i tide
- en trussel rettet mod en hel produkttype, som CSIRT’en kan advare andre om
En frivillig melding kan også gøre det lettere senere, hvis en sag udvikler sig. CSIRT’en kender da baggrunden.
En politik for frivillige meldinger
Forordningen kræver ingen politik for frivillig indberetning. Det er praksis at have en. En kort politik gør det tydeligt, hvem der beslutter, og hvornår. Den kan svare på:
- Hvem må beslutte at melde frivilligt?
- Hvilke typer sager overvejes altid?
- Hvordan sikres det, at vurderingen efter artikel 14 er gjort først?
- Hvordan registreres beslutningen, også når der ikke meldes?
- Hvordan koordineres en melding med vedligeholderen af en berørt komponent?
Det femte punkt er vigtigt for open source. En frivillig melding om en sårbarhed i en andens komponent bør ikke komme bag om ryggen på vedligeholderen. Hvordan meldinger opstrøms håndteres, står i sårbarhed i en andens komponent.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kort politik, en navngiven beslutningstager og et register over overvejede og sendte frivillige meldinger.
Uden en politik bliver frivillig indberetning noget, der sker tilfældigt eller aldrig. Det er ingen overtrædelse at lade være. Men en sag, der blev vurderet som frivillig uden en dokumenteret vurdering af udnyttelse, kan senere vise sig at have været pligtig.
Det skal I lade være med
- At kalde en melding frivillig for at undgå fristerne · er sårbarheden udnyttet, gælder artikel 14.
- At regne med undtagelsen fra aktindsigt i dag · lovudkastet er ikke vedtaget.
- At melde om en andens komponent uden at tale med vedligeholderen · koordinering beskytter brugerne.
Det skal auditten kunne vise
- ☐ En politik for frivillig indberetning med beslutningstager.
- ☐ Et register over overvejede og sendte frivillige meldinger.
- ☐ En vurdering efter artikel 14 forud for hver frivillig melding.
- ☐ Spor af koordinering med vedligeholdere, hvor en komponent er berørt.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 3, nr. 43 og 45, artikel 15 og artikel 17, stk. 4, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252, punkt 218, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 5.2, læst 13. november 2026.
- Høringsportalen, udkast til lov om supplerende bestemmelser til forordningen om cyberrobusthed, §§ 13 og 18, høringsversion 5. oktober 2026, ikke vedtaget, læst 13. november 2026.
- ENISA, SRP Frequently Asked Questions, spørgsmål 4 og 27, opdateret 15. oktober 2026, læst 13. november 2026.
- ENISA, The CRA Single Reporting Platform is launched, 11. september 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv tre sagstyper ned, hvor I vil overveje at melde frivilligt, og hvem der beslutter.
Læs også: Efter indberetningen · Hvad sker der med det, I udleverer?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
