Artikel 14 i Cyber Resilience Act har gældt siden 11. september 2026, også for software, I solgte længe før. Får I kendskab til en aktivt udnyttet sårbarhed eller en alvorlig hændelse i et af jeres produkter, løber der nu tre frister, og den første er på 24 timer.
Resten af forordningen venter til 11. december 2027. Netop derfor bliver indberetningen let glemt. Pligten hviler på mennesker og arbejdsgange. Nogen skal kunne beslutte hurtigt, også en lørdag nat.
De tre frister for en sårbarhed
Artikel 14, stk. 2, beskriver forløbet for en aktivt udnyttet sårbarhed:
- Tidlig varsling hurtigst muligt og aldrig senere end 24 timer efter kendskab. Hvor det er relevant, angives de medlemsstater, hvor I ved, at produktet er gjort tilgængeligt.
- Meddelelse om sårbarhed senest 72 timer efter kendskab med generelle oplysninger om produktet, udnyttelsen og sårbarheden, de korrigerende eller afbødende foranstaltninger, I har truffet, og dem, brugerne selv kan træffe. I kan også angive, hvor følsomme I vurderer oplysningerne at være.
- Endelig rapport inden for 14 dage fra det tidspunkt, hvor en rettelse eller afbødning er tilgængelig, med en beskrivelse af sårbarhedens alvor og indvirkning, oplysninger om ondsindede aktører, hvis I har dem, og oplysninger om sikkerhedsopdateringen.
De tre frister for en alvorlig hændelse
For en alvorlig hændelse med indvirkning på produktets sikkerhed er rytmen næsten den samme (artikel 14, stk. 4). Varslingen inden for 24 timer skal mindst sige, om I mistænker ulovlige eller ondsindede handlinger. Efter 72 timer kommer underretningen om hændelsen med en indledende vurdering. Den endelige rapport har en frist på en måned efter 72-timers underretningen og skal beskrive alvor, indvirkning, trusselstype eller grundlæggende årsag og de afbødende tiltag.
Ved 72-timers meddelelsen og den endelige rapport står forbeholdet “medmindre de relevante oplysninger allerede er afgivet”. CSIRT’en kan desuden bede om en foreløbig rapport med statusopdateringer (stk. 6). Kommissionen forklarer i sin vejledning, at ordningen er bygget til at blive udfyldt trinvis, efterhånden som undersøgelsen skrider frem. I behøver altså ikke vente på det fulde billede, før I varsler.
Modtageren er en anden end ved NIS2
Mange softwarehuse kender allerede NIS2-reglerne for deres egen drift. CRA-pligten hænger på produktet. Indberetningen går samtidig til den koordinerende CSIRT og til ENISA via den fælles indberetningsplatform (artikel 14, stk. 1 og 3). For Danmark peger ENISA’s liste på Forsvarets Efterretningstjeneste som koordinerende CSIRT.
NIS2-hændelser i Danmark meldes via virk.dk. Ifølge den danske CSIRT er der på nuværende tidspunkt ingen integration mellem virk.dk og platformen. Er jeres virksomhed også NIS2-enhed, er det to adskilte spor. Hvordan en organisation auditeres efter NIS2, hører hjemme under NIS2-audit af hele organisationen.
Er platformen nede, anbefaler ENISA ifølge den danske CSIRT at indsende, så snart den er tilgængelig igen. Kontakt direkte til CSIRT’en kan bruges ved akut behov, men den erstatter ikke den formelle indberetning.
En gennemspillet sag afslører hullerne
Forordningen nævner hverken øvelser eller vagtordninger. Det er praksis, og det er den mest direkte måde at finde ud af, om fristerne kan holdes. En gennemgang kan bede om at se en øvelse spillet igennem med en tænkt sag.
Et tænkt forløb kunne se sådan ud. Fredag kl. 22 skriver en kunde til supporten, at en ukendt aktør har brugt en fejl i jeres login til at hente data. Supporten svarer mandag. Herefter er spørgsmålene:
- Hvem i supporten ved, at netop den slags henvendelse skal videre med det samme?
- Hvem kan lave en første vurdering af, om udnyttelsen er reel?
- Hvem har adgang til platformen og kender den rigtige CSIRT?
- Hvem må beslutte at sende en varsling uden at vente på ledelsen?
- Hvor finder I de versioner og lande, varslingen spørger efter?
Hvornår klokken begynder at løbe, er et spørgsmål for sig. Kommissionens forklaring står i hvornår I har fået kendskab. Felterne og de registre, der skal ligge klar, står i felterne i varsling og slutrapport.
Små virksomheder og bøderne
Mikrovirksomheder og små virksomheder kan ikke få administrative bøder for at overskride 24-timersfristen. Undtagelsen gælder ikke 72-timers fristen eller den endelige rapport (artikel 64, stk. 10, litra a). Ifølge den danske CSIRT kan der først gives bøder for brud på artikel 14 fra 11. december 2027. Pligten gælder alligevel nu, og en manglende varsling kan stadig være et brud, selv om sanktionen kommer senere.
Artikel 17, stk. 6, pålægger de koordinerende CSIRT’er at yde helpdesk-støtte til fabrikanter, særligt mikro-, små og mellemstore virksomheder. Den bestemmelse finder efter artikel 71, stk. 2, først anvendelse fra 11. december 2027.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kort, skrevet arbejdsgang fra den første henvendelse til den tidlige varsling, navngivne personer med stedfortrædere og en øvelse, der viser, at kæden holder uden for kontortid.
Uden den bliver det tilfældigt, om en kundemail fredag aften når frem til nogen, der kan vurdere den. Fristen på 24 timer er kort nok til, at en weekend kan æde den. Vil I have arbejdsgangen og øvelsen efterprøvet af en uafhængig part, er det en del af det, Nielco IT gennemgår.
Det skal I lade være med
- At vente med varslingen, til årsagen er fundet · ordningen er bygget til trinvis udfyldning.
- At sende CRA-sagen ad NIS2-sporet · modtager og kanal er forskellige.
- At lade adgangen til platformen hænge på én person · i en weekend er nogen altid væk.
Det skal auditten kunne vise
- ☐ En skrevet arbejdsgang fra henvendelse til tidlig varsling.
- ☐ Navngivne beslutningstagere med stedfortrædere uden for arbejdstid.
- ☐ En dokumenteret øvelse med tidsstempler og de fund, den gav.
- ☐ Kendskab til den koordinerende CSIRT og til platformen hos de udpegede.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 14, stk. 1-6, artikel 17, stk. 6, artikel 64, stk. 10, artikel 69, stk. 3, og artikel 71, læst 13. november 2026.
- Europa-Kommissionen, vejledning om anvendelsen af forordning (EU) 2024/2847, C(2026) 5252, punkt 215, læst 13. november 2026.
- Forsvarets Efterretningstjeneste, Cyber Resilience Act (CRA), læst 13. november 2026.
- ENISA, List of CSIRTs Designated as Coordinators, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spil en tænkt sag igennem fra kundemail til varsling, og notér, hvor lang tid hvert led tog.
Læs også: Alvorlig hændelse i kodelager eller byggemiljø · Hvem ejer CRA i en produktvirksomhed?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
