Indberetning efter artikel 14

Artikel 14 er den del af Cyber Resilience Act, der allerede gælder. Siden 11. september 2026 skal en fabrikant, der opdager, at en sårbarhed i produktet bliver udnyttet, eller at produktets sikkerhed er ramt af en alvorlig hændelse, melde det med en tidlig varsling inden for 24 timer, en meddelelse inden for 72 timer og en endelig rapport senere. Pligten gælder også for software, der kom på markedet før forordningen. Artiklerne her viser, hvordan beredskabet afprøves, før den første sag kommer, og hvad der sker med oplysningerne bagefter.

Pligten og fristerne

• Indberetningspligten gælder nu: kan I nå 24 timer, 72 timer og slutrapporten? Vejen fra kendskab til varsling, afprøvet.
• Aktivt udnyttet sårbarhed: hvornår har I “fået kendskab”? Tidspunktet, fristen løber fra.
• Alvorlig hændelse: kompromitteret kodelager, byggemiljø eller opdateringsserver Produktets sikkerhed skilt fra driften.
• Produkter fra før 2027, hvor byggemiljøet er væk: I skal kun indberette, men kan I det? Berørte versioner og brugere fundet.

Platformen og indholdet

• Den fælles indberetningsplatform: repræsentanter, den danske koordinator og en arbejdsgang, der er prøvet af Personlige logins og rollerne.
• Felterne i varsling, 72-timers meddelelse og slutrapport: de registre, I skal have i forvejen Hvert felt kræver et register.
• Platformens vilkår: personlige adgange, ansvaret for repræsentanterne og fem års tavshedspligt Det, repræsentanten accepterer.
• Ret og opdatér en indgivet indberetning, før slutrapporten låser den Tilstande og rettelser.
• Hvilken CSIRT er jeres koordinator? Hovedforretningssted i en koncern med udvikling i flere lande Analysen efter artikel 14, stk. 7, skrevet ned før første hændelse.

Brugerne og de andre pligter

• Underretning af brugerne efter artikel 14, stk. 8: hvor langt pligten rækker, og hvornår CSIRT’en overtager Besked til de berørte.
• Samme hændelse, tre pligter: CRA-indberetning, NIS2-underretning og persondatabrud Tre forløb side om side.
• En udnyttet sårbarhed i et bibliotek, mange bruger: en gennemspillet sag om, hvem der indberetter Tænkte softwarehuse, samme bibliotek.

Grænserne og efterforløbet

• Fundet af egne testere, dusørjægere eller forskere: nuldagssårbarheder uden indberetningspligt Ingen tegn på udnyttelse, ingen pligt.
• Frivillig indberetning efter artikel 15: sårbarheder, trusler og nærvedhændelser Det, der kan meldes uden pligt.
• Kan indberetningen holdes tilbage fra andre landes CSIRT’er? CSIRT’ens skøn og jeres tre særlige tilfælde Udsættelse og begrundelse.
• Efter indberetningen: hvem får oplysningerne, hvornår kan CSIRT’en gå offentligt ud, og hvad ender i den europæiske sårbarhedsdatabase? Oplysningernes vej videre.

Sådan kommer I i gang

Udpeg de personer, der kan logge ind på platformen og indberette, og sørg for, at mindst én af dem kan træffes uden for arbejdstid. Lav en kort arbejdsgang fra det øjeblik, nogen hos jer hører om en udnyttelse, til varslingen er sendt, og spil den igennem med en tænkt sag. Notér, hvilke oplysninger I manglede, og hvor længe det tog. Har virksomheden også pligter efter NIS2, skal de to forløb kunne køre samtidig; den organisatoriske del er beskrevet på sitet om sikkerhedsaudit. Den frivillige indberetning i artikel 15 gælder først fra 11. december 2027.

Hvad det kræver, og hvad det koster at lade være

Beredskabet kræver navngivne personer med adgang, en arbejdsgang på en side og en øvelse om året. Uden det går de 24 timer med at lede efter den, der har adgang og mandat, og en for sen varsling er en overtrædelse, også for de små virksomheder, der er fritaget for bøder på netop den frist.

Det skal I lade være med

• At vente med beredskabet til december 2027 · pligten gælder allerede.
• At give én person eneret på platformen · fristen løber også, når vedkommende har fri.
• At sende en NIS2-underretning og tro, at CRA er dækket · modtagere og frister er andre.

Det skal auditten kunne vise

• ☐ Navngivne repræsentanter med personlig adgang til platformen.
• ☐ En skrevet arbejdsgang fra kendskab til varsling, meddelelse og slutrapport.
• ☐ Referat af mindst én gennemspillet sag.
• ☐ Registre over produkter, versioner og brugere, der kan bruges i felterne.

Senest gennemgået: november 2026.

Næste skridt

• Indberetningspligten gælder nu
• Aktivt udnyttet sårbarhed

Læs også: Sårbarheder og opdateringer · Anledninger og organisering

→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT