Cyber Resilience Act trådte i kraft 10. december 2024, men den gælder i tre trin. Kapitel IV om bemyndigede organer gælder fra 11. juni 2026, indberetningspligten i artikel 14 fra 11. september 2026, og resten af forordningen fra 11. december 2027.
Den sidste dato er den, de fleste taler om. For et softwarehus er det de to første, der allerede har betydning, og rækkefølgen af arbejdet frem mod den tredje.
Datoerne i artikel 71
Artikel 71, stk. 2, fastsætter, hvornår delene af forordningen finder anvendelse:
- 10. december 2024 · Det, der gælder: Forordningen træder i kraft · Hvad det betyder for et softwarehus: Teksten ligger fast; pligterne gælder endnu ikke
- 11. juni 2026 · Det, der gælder: Kapitel IV, artikel 35 til 51 · Hvad det betyder for et softwarehus: Medlemsstaterne kan bemyndige organer, der vurderer vigtige produkter
- 11. september 2026 · Det, der gælder: Artikel 14 · Hvad det betyder for et softwarehus: Pligt til at melde udnyttede sårbarheder og alvorlige hændelser, også for ældre produkter
- 11. december 2027 · Det, der gælder: Resten af forordningen · Hvad det betyder for et softwarehus: Bilag I, artikel 13, dokumentation, erklæring og CE-mærkning
Artikel 69, stk. 2, siger, at software, der kom på markedet inden 11. december 2027, kun bliver omfattet af kravene, hvis de derefter ændres væsentligt. Artikel 14 gælder dog for dem alle efter stk. 3. Hvad det betyder for jeres ældre versioner, står i versioner fra før 11. december 2027.
Det, der er på vej, men ikke afgjort
Tre forhold kan flytte sig, og de bør stå i planen som usikre.
Den danske lov. Regeringens udkast til en dansk lov, der supplerer forordningen, var i høring fra 5. oktober til 2. november 2026. Høringsportalen angiver en forventet ikrafttræden 1. marts 2027. Udkastet udpeger Styrelsen for Samfundssikkerhed som markedsovervågningsmyndighed. Det er ikke vedtaget, og vi har ikke kunnet se det fremsat i Folketinget pr. 13. november 2026. Forordningen gælder direkte, uanset om loven kommer til tiden. Udkastet er gennemgået i CRA-tilsyn i Danmark.
Standarderne. Ingen harmoniseret CRA-standard har fået sin reference offentliggjort i EU-Tidende, så vidt vi har kunnet se 13. november 2026. Kommissionen forlængede 10. november 2026 fristerne for alle produktspecifikke og nogle vandrette standarder med tre måneder. Kommissionens tidslinje nævner flere leverancer til 30. oktober 2027. Det er tæt på slutdatoen, og for produkter i klasse I betyder det, at et bemyndiget organ kan blive nødvendigt.
De bemyndigede organer. Artikel 35, stk. 2, giver medlemsstaterne en målsætning om nok organer senest 11. december 2026. Det er en bestræbelse og ingen garanti for, at der er et organ med tid til netop jeres produkt.
Rækkefølgen af arbejdet
Forordningen siger intet om rækkefølgen. Det følgende er praksis, og den rette rækkefølge afhænger af porteføljen. Vi lover ingen varighed for de enkelte trin, fordi den afhænger af produktet og af, hvad der findes i forvejen.
- Indberetningen virker nu. Pligten gælder allerede. Ved I, hvem der indberetter, til hvilken CSIRT, og hvem der har adgang til platformen?
- Porteføljen er gennemgået. Hvilke produkter er omfattet, hvilke er vigtige efter bilag III, og hvilke udfases før 2027? Kriterierne er beskrevet i produktporteføljen.
- Vejen til overensstemmelse er valgt. Kan produktet vurderes efter modul A, eller kræver det et bemyndiget organ? Det trin afgør, hvor tidligt resten skal være klar.
- Risikovurderingen er lavet. Den skal gennemgå hvert krav i bilag I og er grundlaget for alt det følgende.
- Bilag I er holdt op mod produktet. Fundene prioriteres og rettes i produktet.
- Sårbarhedshåndteringen kører. Komponentliste, politik for koordineret offentliggørelse, rettefrister og opdateringskanal.
- Supportperioden er fastsat, og vilkårene passer. Slutdatoen kan ses ved købet.
- Dokumentationen er samlet. Teknisk dokumentation efter bilag VII, brugeroplysninger efter bilag II, erklæringen og CE-mærket.
Et tænkt eksempel. Et softwarehus med fire produkter beslutter at udfase ét før 2027. Et andet er i klasse I. Det sætter dato for kontakt til et bemyndiget organ som det første, fordi organets kalender er den, huset ikke selv styrer. De to sidste produkter går efter modul A og følger trinene i rækkefølge.
For produkter, der vil blive vurderet efter modul A, er en uvildig gennemgang en mulighed før erklæringen underskrives. Den erstatter ikke fabrikantens egen vurdering.
Produktansvaret kommer først
Det nye produktansvarsdirektiv gælder for produkter, som sættes i omsætning efter 9. december 2026. Det er et år før CRA’s krav. Direktivet regner software som et produkt. Koblingen mellem manglende opdateringer og ansvar er beskrevet i manglende sikkerhedsopdatering som defekt.
Hvad det kræver, og hvad det koster at lade være
Det kræver en plan, hvor de faste datoer står som faste og de usikre som usikre, og en ejer, der følger standarderne, den danske lov og organerne.
Den, der planlægger efter ét slutpunkt i december 2027, overser, at indberetningen allerede gælder, og at et bemyndiget organ kan være en flaskehals længe før.
Det skal I lade være med
- At vente med indberetningen til 2027 · pligten i artikel 14 løber allerede.
- At skrive den danske lovs ikrafttræden ind som fast · udkastet er ikke vedtaget.
- At regne med, at en standard når frem i tide · fristerne er netop forlænget.
Det skal auditten kunne vise
- ☐ En plan med de fire datoer fra artikel 71.
- ☐ En vurdering af hvert produkt: omfattet, klasse og vej til overensstemmelse.
- ☐ En ansvarlig for at følge standarder, dansk lov og bemyndigede organer.
- ☐ Bevis for, at indberetningen virker i dag.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 14, artikel 35, stk. 2, artikel 69, stk. 2-3, og artikel 71, læst 13. november 2026.
- Høringsportalen, udkast til lov om supplerende bestemmelser til forordningen om cyberrobusthed, høring 5. oktober til 2. november 2026, ikke vedtaget, læst 13. november 2026.
- Europa-Kommissionen, Cyber Resilience Act: implementation, sidst opdateret 27. juli 2026, læst 13. november 2026.
- Europa-Kommissionen, Cyber Resilience Act: Standardisation, sidst opdateret 12. november 2026, læst 13. november 2026.
- Direktiv (EU) 2024/2853 om ansvar for defekte produkter, artikel 2, stk. 1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres produkter op i en tabel med klasse, vej til overensstemmelse og den dato, hvor hvert trin skal være færdigt.
Læs også: Indberetningspligten gælder nu · Klasse I uden harmoniseret standard
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
