Ja, men det er som udgangspunkt CSIRT’ens beslutning. Den koordinerende CSIRT kan udsætte videreformidlingen til andre landes CSIRT’er, når betingelserne i Kommissionens delegerede forordning (EU) 2026/881 er opfyldt. Fabrikanten kan bede om det, og i tre særlige tilfælde kan fabrikanten selv anføre grunde, der begrænser, hvad ENISA får.
De to ordninger blandes ofte sammen. De har forskelligt grundlag, og det, et softwarehus kan gøre, er forskelligt i de to.
Udgangspunktet: videreformidling straks
Efter artikel 16, stk. 2, første afsnit, formidler den CSIRT, der modtager underretningen, den straks via platformen til CSIRT’erne i de lande, fabrikanten har angivet. Andet afsnit åbner for, at CSIRT’en i ekstraordinære tilfælde kan udsætte formidlingen, navnlig efter anmodning fra fabrikanten og i lyset af oplysningernes følsomhed, i en strengt nødvendig periode. CSIRT’en skal underrette ENISA om udsættelsen, grunden og hvornår den formidler.
Efter artikel 71, stk. 2, anvendes artikel 16 først fra 11. december 2027. Den delegerede forordning er offentliggjort 20. april 2026, og ENISA’s platform har allerede funktionerne. Hvordan reglerne bruges frem til december 2027, fremgår ikke af de kilder, vi har adgang til.
Første ordning: CSIRT’ens udsættelse efter forordning 2026/881
Den delegerede forordning fastlægger, hvornår CSIRT’en kan udsætte. Betragtning 1 og artikel 3 gør det klart, at CSIRT’en “kan”, men ikke er forpligtet til det. Artikel 3 kræver først, at risikoen ved at formidle vejer tungere end fordelen, og at risikoen ikke kan afbødes med protokoller for deling som TLP eller PAP. Dertil skal mindst én af fire betingelser være opfyldt:
- Rettelse inden for 72 timer. Fabrikanten har meddelt, at en effektiv foranstaltning, fx en sikkerhedsopdatering eller en brugervejledning, ventes inden for 72 timer. Kommer den ikke, formidles underretningen.
- Oplysningerne kan bruges til angreb. Oplysningerne er nok til at udvikle en udnyttelsesteknik, navnlig når sårbarheden let kan udnyttes af aktører med begrænsede færdigheder. Underretningen formidles, når en foranstaltning er tilgængelig.
- Begrænset deling er nok. CSIRT’en kan dele tilstrækkeligt til, at de andre kan træffe foranstaltninger. Hele underretningen formidles, når en foranstaltning er tilgængelig.
- Koordineret offentliggørelse. Sårbarheden er under koordineret offentliggørelse med CSIRT’en som betroet formidler.
Artikel 4 lader CSIRT’en udsætte over for en bestemt CSIRT, der er ramt af en hændelse eller ikke har kapacitet. Artikel 5 dækker det tilfælde, at platformen selv er ramt. Efter betragtning 7 behøver CSIRT’en ikke formidle, hvis produktet kun er gjort tilgængeligt i CSIRT’ens egen medlemsstat.
Betingelserne er rammen for CSIRT’ens skøn. De giver ikke softwarehuset en ret til udsættelse.
Anden ordning: fabrikantens særligt ekstraordinære omstændigheder
Artikel 16, stk. 2, tredje afsnit, er en anden mekanisme. Her er det fabrikanten, der i meddelelsen efter 72 timer om en aktivt udnyttet sårbarhed kan anføre et af tre tilfælde:
- sårbarheden er kun udnyttet i CSIRT’ens medlemsstat
- videre formidling vil sandsynligvis afsløre oplysninger i strid med medlemsstatens væsentlige interesser
- formidlingen giver en overhængende høj risiko
Anfører fabrikanten et af tilfældene, får ENISA kun begrænsede oplysninger, indtil den fulde underretning formidles. Ser ENISA en systemisk risiko, anbefaler den formidling.
På platformen hedder det “Particularly Exceptional Circumstances” (PEC). Ifølge ENISA’s vejledning slås PEC til i skabelonen for 72-timers meddelelsen med en begrundelse, og status bliver “72h Submitted under PEC”. CSIRT’en afgør herefter, om og hvornår der formidles.
PEC gælder kun sårbarheder, og det kan kun anføres i 72-timers meddelelsen. Ved en alvorlig hændelse og i den tidlige varsling findes muligheden ikke.
Det, I altid kan angive
Uanset ordningerne kan fabrikanten i 72-timers meddelelsen angive, hvor følsomme den vurderer oplysningerne at være (artikel 14, stk. 2, litra b). ENISA’s glossar beder i feltet om følsomhed udtrykkeligt om, at man ikke bruger en generel fortrolighedserklæring. Glossaret har også et valgfrit felt om, hvorvidt en afbødende foranstaltning ventes snart.
De to felter er de naturlige steder at give CSIRT’en grundlaget for at vurdere første og andet punkt i den delegerede forordning. En konkret vurdering af følsomheden og en realistisk dato for rettelsen er mere værd end en standardtekst.
Hvad gennemgangen ser efter
En gennemgang af punktet ser på, om huset kan begrunde en anmodning, hvis behovet opstår. Er der en skabelon til vurdering af følsomhed? Ved de, der skal udfylde 72-timers meddelelsen, at PEC findes, og hvornår den kan bruges? Kan huset give en realistisk dato for en rettelse inden for 72 timer, eller er det et løfte, der ikke holder? Spørgsmålene er praksis.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at de personer, der indberetter, kender forskellen mellem de to ordninger, og at der findes en skabelon til en konkret vurdering af følsomhed.
Uden den forståelse bliver anmodninger enten ikke stillet eller stillet på et forkert grundlag. Et løfte om en rettelse inden for 72 timer, som ikke holder, fører til formidling og svækker troværdigheden ved næste sag.
Det skal I lade være med
- At skrive, at I har ret til udsættelse · den delegerede forordning beskriver CSIRT’ens skøn.
- At bruge en standardtekst om fortrolighed · ENISA beder om en konkret vurdering.
- At love en rettelse inden for 72 timer, I ikke kan levere · så formidles underretningen alligevel.
Det skal auditten kunne vise
- ☐ En skabelon til vurdering af oplysningernes følsomhed.
- ☐ Kendskab hos de indberettende til PEC og dens tre tilfælde.
- ☐ En procedure for, hvem der godkender en anmodning om udsættelse.
- ☐ Realistiske tidsestimater for rettelser, der kan stå i meddelelsen.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 14, stk. 2, artikel 16, stk. 2, og artikel 71, stk. 2, læst 13. november 2026.
- Kommissionens delegerede forordning (EU) 2026/881, betragtning 1, 2 og 7 og artikel 3-6, læst 13. november 2026.
- ENISA, CRA SRP Guidance, Particularly Exceptional Circumstances, læst 13. november 2026.
- ENISA, CRA SRP Glossary, version 1.6, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv en konkret vurdering af følsomhed for en tænkt sårbarhed i jeres produkt, og se, om den holder uden standardtekst.
Læs også: Felterne i varsling og slutrapport · Politik for koordineret offentliggørelse
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
