Hører en importør eller distributør om en sårbarhed i et produkt, de sælger, skal fabrikanten underrettes uden unødigt ophold. Myndighederne skal kun underrettes omgående, når produktet udgør en væsentlig cybersikkerhedsrisiko, og salget stoppes, når der er grund til at tro, at produktet ikke er i overensstemmelse med forordning (EU) 2024/2847.
Pligterne gælder fra 11. december 2027. Artiklen er skrevet som et hændelsesforløb, fordi det er sådan, situationen opleves hos en forhandler. Kontrollen før salg står i importørens artikel og forhandlerens artikel.
Trin 1: Underret fabrikanten
Artikel 19, stk. 5, andet afsnit, siger om importøren: “Når importøren bliver bekendt med en sårbarhed i produktet med digitale elementer, underretter importøren uden unødigt ophold fabrikanten om denne sårbarhed.” Artikel 20, stk. 4, andet afsnit, giver distributøren samme pligt.
Pligten gælder enhver sårbarhed. Den er ikke begrænset til aktivt udnyttede eller alvorlige sårbarheder. Den udløses, når importøren eller distributøren bliver bekendt med sårbarheden, uanset om det sker gennem en kunde, en sikkerhedsforsker eller en offentlig database.
I praksis betyder det, at forhandleren har brug for en kendt kontaktvej til hver fabrikant og en intern rutine, der sikrer, at en melding fra en kunde når frem til den, der videresender. Rutinen er ikke reguleret, men uden den er det svært at vise, at underretningen skete uden unødigt ophold.
Trin 2: Vurder, om risikoen er væsentlig
Udgør produktet en væsentlig cybersikkerhedsrisiko, skal importøren og distributøren endvidere omgående underrette markedsovervågningsmyndighederne i de lande, hvor produktet er gjort tilgængeligt. Underretningen skal indeholde oplysninger om den manglende overholdelse og de foranstaltninger, der er truffet.
Artikel 3, nr. 38, beskriver en væsentlig cybersikkerhedsrisiko ud fra risikoens tekniske træk. Det afgørende er, om man ud fra dem må regne med en stor sandsynlighed for en hændelse, der kan gøre alvorlig skade. Vurderingen af, om en konkret sårbarhed når den tærskel, er en faglig vurdering, som forhandleren sjældent kan lave alene. Det taler for at spørge fabrikanten og at notere, hvad der blev vurderet, og på hvilket grundlag.
For importøren tilføjer artikel 19, stk. 3, andet afsnit, en særlig regel. Er der grund til at tro, at produktet er en betydelig risiko af andre end tekniske grunde, skal myndighederne også have besked.
Trin 3: Skal salget stoppes?
Artikel 19, stk. 3, og artikel 20, stk. 3, siger, at finder importøren eller distributøren, eller har de grund til at tro, at produktet eller fabrikantens processer ikke er i overensstemmelse, må produktet ikke bringes i omsætning eller gøres tilgængeligt, før det er bragt i overensstemmelse.
Teksten siger ikke, at en kendt sårbarhed i sig selv gør produktet ikke-overensstemmende. Salgsstoppet følger af manglende overensstemmelse og ikke af sårbarheden alene. Om en konkret sårbarhed giver grund til at tro, at produktet ikke opfylder bilag I, er en vurdering. En udnyttelig sårbarhed, som fabrikanten ikke vil eller kan rette, kan efter vores tolkning være netop sådan en grund. Spørg fabrikanten, og notér svaret.
Trin 4: Produkter, der allerede er solgt
For produkter, der allerede er gjort tilgængelige, kræver artikel 19, stk. 5, første afsnit, at importøren omgående træffer korrigerende foranstaltninger, der er nødvendige for at bringe produktet i overensstemmelse eller om relevant trække det tilbage eller kalde det tilbage. Artikel 20, stk. 4, første afsnit, har en tilsvarende pligt for distributøren. For software vil den korrigerende foranstaltning typisk være fabrikantens rettelse, og forhandlerens rolle bliver at få den ud til kunderne.
Hvem indberetter efter artikel 14
Indberetningen af aktivt udnyttede sårbarheder og alvorlige hændelser efter artikel 14 påhviler fabrikanten. Importøren og distributøren indberetter ikke efter artikel 14, medmindre artikel 21 har gjort dem til fabrikant, fordi de sælger under eget navn eller har ændret produktet væsentligt. Artikel 14 gælder allerede fra 11. september 2026 for fabrikanterne.
Trin 5: Dokumentér
Efter forløbet skal forhandleren kunne vise, hvornår sårbarheden blev kendt, hvornår fabrikanten blev underrettet, hvilken vurdering der blev lavet af risikoen, og om salget blev stoppet. En logbog pr. hændelse er praksis og ikke et krav, men den er det enkleste bevis.
Et tænkt eksempel. En kunde ringer til en dansk forhandler og fortæller om en offentliggjort sårbarhed i et program. Forhandleren noterer tidspunktet, sender meldingen til producentens kontaktpunkt samme dag og spørger, om sårbarheden er udnyttelig i den version, der sælges. Producenten bekræfter og lover en rettelse. Forhandleren stopper salget af den berørte version, indtil rettelsen er ude, og logbogen viser hvert trin.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kontaktvej til hver fabrikant, en rutine for meldinger udefra og en person, der kan træffe beslutning om salgsstop.
En forhandler, der fortsætter salget af et produkt, den har grund til at tro ikke er i overensstemmelse, overtræder artikel 19 eller 20. Bøderammen står i artikel 64, stk. 3.
Det skal I lade være med
- At vente med at underrette fabrikanten, til sårbarheden er bekræftet · pligten gælder, når I bliver bekendt med den.
- At underrette myndigheden om alt · den omgående underretning gælder væsentlig cybersikkerhedsrisiko.
- At indberette efter artikel 14 i fabrikantens sted · det er fabrikantens pligt, medmindre I selv er fabrikant.
Det skal auditten kunne vise
- ☐ En kontaktvej til hver fabrikant i sortimentet.
- ☐ En rutine for, hvordan meldinger om sårbarheder fra kunder videresendes.
- ☐ En logbog med tidspunkter for kendskab, underretning og beslutninger.
- ☐ Den dokumenterede vurdering af, om risikoen var væsentlig.
Kilder
- Forordning (EU) 2024/2847 om cyberrobusthed, artikel 3, nr. 38, artikel 14, 19, 20, 21 og 64, stk. 3, læst 13. november 2026 i Publikationskontorets udgave af EUT-teksten.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvem hos jer der modtager en melding om en sårbarhed fra en kunde, og hvem der sender den videre til fabrikanten.
Læs også: Aktivt udnyttet sårbarhed: hvornår har I “fået kendskab”? · Politik for koordineret offentliggørelse og det centrale kontaktpunkt
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
