Forordningen lægger alle pligterne på “fabrikanten” og siger intet om, hvem i virksomheden der løfter dem. Fordelingen er derfor jeres egen, og den bør gå til de funktioner, en produktvirksomhed allerede har: produktansvar, release, support og vagt.
Ingen af de kilder, der er læst, beskriver en rollefordeling. Det følgende er praksis. Pligterne, der skal fordeles, står i forordningens tekst og er angivet med artikel og stykke.
Pligterne, der skal have en ejer
- Risikovurdering og ajourføring af den · Bestemmelse: Artikel 13, stk. 2-3 og 7 · Gælder fra: 11. december 2027
- Supportperiode og sårbarhedshåndtering · Bestemmelse: Artikel 13, stk. 8 · Gælder fra: 11. december 2027
- Teknisk dokumentation og EU-overensstemmelseserklæring · Bestemmelse: Artikel 13, stk. 12-13 · Gælder fra: 11. december 2027
- Centralt kontaktpunkt for brugerne med mindst én menneskelig kanal · Bestemmelse: Artikel 13, stk. 17 · Gælder fra: 11. december 2027
- Oplysninger til brugerne og slutdato for supporten · Bestemmelse: Artikel 13, stk. 18-19 · Gælder fra: 11. december 2027
- Korrigerende foranstaltninger · Bestemmelse: Artikel 13, stk. 21 · Gælder fra: 11. december 2027
- Svar til markedsovervågningsmyndigheden · Bestemmelse: Artikel 13, stk. 22 · Gælder fra: 11. december 2027
- Tidlig varsling inden 24 timer, meddelelse efter højst 72 timer og slutrapport senest 14 dage, regnet fra det tidspunkt, hvor en rettelse eller anden afhjælpning findes · Bestemmelse: Artikel 14, stk. 2 · Gælder fra: 11. september 2026
- Underretning af brugerne · Bestemmelse: Artikel 14, stk. 8 · Gælder fra: 11. september 2026
De to nederste rækker gælder allerede. Resten gælder fra december 2027, men arbejdet med dem begynder længe før.
En mulig fordeling
Fordelingen nedenfor er et tænkt eksempel. Den skal tilpasses virksomhedens størrelse og organisering.
- (Produktchef) · Tilsigtet formål, risikovurderingen på produktniveau, supportperiodens længde, oplysningerne til brugerne
- (Udviklings- eller arkitekturansvarlig) · Design efter bilag I, del I, komponentlisten, vurdering af væsentlige ændringer
- (Release-ansvarlig) · Den tekniske dokumentation pr. version, erklæringen og CE-mærket, kontrol af de formelle punkter før udgivelse
- (Sikkerheds- eller sårbarhedsansvarlig) · Sårbarhedshåndteringen efter bilag I, del II, beslutninger om rettelser, korrigerende foranstaltninger
- (Support) · Det centrale kontaktpunkt og modtagelsen af indberetninger fra brugere
- (Vagtordning) · Tidlig varsling inden for 24 timer
- (Ledelse) · Godkendelse af erklæringen og svar til myndigheden
I en lille virksomhed kan én person have flere roller. Det afgørende er, at hver pligt har en navngiven ejer og en stedfortræder.
Læg mærke til, at flere pligter krydser rollerne. Risikovurderingen begynder hos produktchefen, men bygger på udviklingens viden om arkitektur og komponenter. Sårbarhedshåndteringen begynder ofte hos support, der modtager en henvendelse, og ender hos release, der udsender rettelsen. En fordeling, der kun angiver én ejer pr. pligt, bør derfor også beskrive overleveringerne mellem rollerne, så det er klart, hvornår en sag skifter hænder.
Den, der kan indberette om natten
Artikel 14, stk. 2, litra a, kræver en tidlig varsling “senest 24 timer efter, at fabrikanten har fået kendskab hertil”. Fristen løber fra kendskab, også uden for arbejdstid. At nogen derfor skal kunne indberette om natten eller i en weekend, er en praktisk følge af ordlyden. Forordningen siger ikke, hvordan det organiseres.
Det rejser tre spørgsmål, som en gennemgang typisk stiller. Hvem kan træffe beslutningen om, at en sårbarhed er aktivt udnyttet? Hvem har adgang til indberetningsplatformen? Og hvem afløser, når den person er syg eller på ferie? Hvordan platformen og repræsentanterne er sat op, står i den fælles indberetningsplatform.
For mikro- og små fabrikanter giver artikel 64, stk. 10, ingen bøde for at overskride 24-timersfristen. Pligten til at varsle består.
Kontaktpunktet kræver en menneskelig kanal
Efter artikel 13, stk. 17, vælger brugeren selv, hvordan kontakten sker, og fabrikanten må ikke nøjes med at tilbyde automatiserede kanaler. Efter ordlyden er en chatbot eller en formular alene derfor ikke nok. Det giver support en rolle, som mange virksomheder ikke har tænkt ind i sikkerhedsarbejdet.
Ejerskab på tværs af produkter
En produktvirksomhed med mange produkter kan vælge at have ét fælles sårbarhedsteam og én vagtordning, men en ejer af dokumentationen for hvert produkt. Modellen er ét valg blandt flere, og forordningen kræver ingen bestemt model. Uanset modellen bør det kunne ses for hvert produkt, hvem der ejer hvad.
Det almene spørgsmål om, hvem der ejer sikkerhed og compliance i en organisation, hører til den almene auditmetode og modenhedsarbejdet. Når kunder vil vide, hvem der svarer for produktet hos jer, handler det om, hvordan kunder kontrollerer deres leverandører. Her handler det om de funktioner, kun en produktvirksomhed har.
Ejerskab i udgivelsesprocessen
Mange af pligterne får deres praktiske form i release-processen. Hver ny version rejser de samme spørgsmål. Er ændringen væsentlig? Er risikovurderingen ajourført? Passer dokumentationen og erklæringen til netop denne version? Er komponentlisten opdateret? En release-ansvarlig, der ikke kan frigive en version, før spørgsmålene er besvaret og underskrevet af de rette ejere, binder fordelingen sammen. Det er en almindelig måde at gøre det på i praksis. Forordningen nævner ingen release-ansvarlig.
Når en ejer skifter job
Pligterne løber i hele supportperioden, og dokumentationen skal efter artikel 13, stk. 13, kunne stilles til rådighed i mindst ti år eller supportperioden, hvis den er længere. En overdragelse, hvor den nye ejer får adgang til registre, beslutninger og indberetningsplatformen, er derfor en del af ejerskabet. Uden den forsvinder viden, når folk går.
En gennemgang ser typisk på, om fordelingen er opdateret efter de seneste personaleskift, og om stedfortræderne faktisk har adgang til det, de skal bruge.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fordeling, som ledelsen har godkendt, og som de udpegede kender og har accepteret. Det kræver også en vagtordning, der faktisk kan nå 24-timersfristen, og en afprøvning af den.
Er fordelingen ikke på plads, ender pligterne mellem produkt, udvikling og support. Indberetningen er den pligt, der gælder nu, og den er den mest tidsfølsomme.
Det skal I lade være med
- At lægge hele CRA på én compliance-ansvarlig · pligterne ligger i produkt, release og support.
- At regne med, at indberetning kan vente til mandag · fristen løber fra kendskab.
- At gøre kontaktpunktet helt automatisk · artikel 13, stk. 17, tillader det ikke.
Det skal auditten kunne vise
- ☐ En godkendt fordeling af hver pligt med navngiven ejer og stedfortræder.
- ☐ En vagtordning, der kan sende den tidlige varsling i artikel 14, stk. 2, inden fristen.
- ☐ En afprøvning af indberetningen uden for arbejdstid.
- ☐ Et kontaktpunkt, hvor brugeren kan vælge et ikke-automatiseret middel.
Kilder
- Forordning (EU) 2024/2847, artikel 13, stk. 2-3, 7, 8, 12-13, 17-19 og 21-22, artikel 14, stk. 2 og 8, artikel 64, stk. 10, og artikel 71, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv pligterne i tabellen op med en navngiven ejer og en stedfortræder, og få fordelingen godkendt af ledelsen.
Læs også: Politik for koordineret offentliggørelse og det centrale kontaktpunkt · Produktporteføljen
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
