Myndighederne i flere lande kan efter Cyber Resilience Act gennemføre samtidige, koordinerede kontrolaktioner af en bestemt produktkategori. Et lille softwarehus kan derfor møde tilsynet, fordi hele kategorien bliver undersøgt, uden at nogen har klaget over netop dets produkt.
Reglerne står i artikel 59 og 60 og gælder fra 11. december 2027. Ingen kontrolaktioner efter forordningen er gennemført endnu. På engelsk kaldes den slags aktioner ofte en sweep.
Fælles aktiviteter efter artikel 59
Artikel 59 lader markedsovervågningsmyndighederne aftale fælles aktiviteter for specifikke produkter. Teksten nævner “navnlig produkter med digitale elementer, der ofte viser sig at udgøre en cybersikkerhedsrisiko”.
Kommissionen eller ENISA foreslår fælles aktiviteter, når der er tegn på manglende overholdelse i flere lande. Aftalen om en fælles aktivitet offentliggøres med parternes navne efter stk. 5.
Kontrolaktioner efter artikel 60
Artikel 60 går et skridt videre:
- Stk. 1 · Myndighederne gennemfører “samtidige, koordinerede kontrolaktioner” af bestemte produkter eller kategorier, som “kan omfatte inspektioner af produkter med digitale elementer, der er erhvervet under en dækidentitet”
- Stk. 2 · Kommissionen koordinerer, medmindre andet aftales; koordinatoren gør, hvor det er hensigtsmæssigt, de samlede resultater offentligt tilgængelige
- Stk. 3 · ENISA kan foreslå kontrolaktioner, bl.a. på grundlag af underretninger efter artikel 14
- Stk. 4 · Myndighederne kan bruge beføjelserne i artikel 52-58
Tre ting skiller kontrolaktionen ud fra et almindeligt tilsyn. Flere lande undersøger samme kategori på samme tid. Produktet kan være købt uden, at sælgeren ved, at køberen er en myndighed. Og resultaterne kan blive offentliggjort samlet.
Indberetninger kan sætte en aktion i gang
Stk. 3 kobler kontrolaktionerne til indberetningspligten. ENISA kan foreslå en aktion på grundlag af de underretninger, fabrikanter indgiver efter artikel 14. Indberetningspligten har gældt siden 11. september 2026.
Sammenhængen betyder, at mange indberetninger om sårbarheder i samme slags software kan få myndighederne til at se på hele kategorien. Det er en tolkning af, hvordan bestemmelsen kan virke. Teksten siger kun, at ENISA kan foreslå aktioner bl.a. på det grundlag.
Supportperioder som anledning
Artikel 52, stk. 16, giver en anden anledning. Viser data, at supportperioderne i en kategori er utilstrækkelige, kan den administrative samarbejdsgruppe, ADCO, henstille, at myndighederne fokuserer på bestemte kategorier.
En kort supportperiode uden begrundelse kan altså gøre en hel kategori interessant for tilsynet. Hvordan begrundelsen for supportperioden skrives ind i dokumentationen, står i supportperioden og begrundelsen.
Den danske rolle i udkastet
Det danske lovudkast af 5. oktober 2026 foreslår i § 6, stk. 2, at Styrelsen for Samfundssikkerhed koordinerer det danske samarbejde, herunder om fælles aktiviteter og kontrolaktioner. Udkastets § 8, stk. 1, foreslår, at myndighederne kan udtage produkter ved brug af skjult identitet.
Udkastet var ikke fremsat 13. november 2026, og paragrafferne om markedsovervågning træder efter udkastet først i kraft 11. december 2027. Hvordan rollerne er fordelt efter udkastet, står i Styrelsen for Samfundssikkerhed i lovudkastet.
Hvad en aktion typisk vil se
Hvad en kontrolaktion konkret vil undersøge, siger forordningen ikke. Når et produkt købes under dækidentitet, ser myndigheden det dog som en kunde ser det. Det er en tolkning. Den peger på de punkter, der kan kontrolleres udefra.
- om CE-mærket kan findes på erklæringen eller produktets websted,
- om erklæringen følger med og identificerer produktet,
- om oplysningerne efter bilag II følger med, herunder slutdatoen for supportperioden,
- om der er et kontaktpunkt for indberetning af sårbarheder.
Mangler i de første punkter er formelle mangler efter artikel 58, som gennemgås i formelle mangler. Myndigheden kan også bruge alle beføjelser i artikel 52-58 og dermed gå videre til produktets egenskaber.
Også forhandlere og importører
Kontrolaktionen er rettet mod produkter, og et produkt kan købes mange steder. En aktion kan derfor ramme den forhandler eller importør, der har softwaren i sit sortiment, lige så vel som fabrikanten. Importøren skal efter artikel 19 kunne fremlægge dokumenter, der viser, at kontrollen før salg er udført. Distributøren skal efter artikel 20 kontrollere CE-mærket og de oplysninger, der følger med.
For et dansk softwarehus, der sælger gennem forhandlere i andre lande, betyder det, at et fund kan komme fra en myndighed langt fra Danmark. Den dokumentation, forhandleren beder om, bør derfor svare til det, I selv ville vise den danske myndighed. Det sidste er en anbefaling; forordningen kræver det ikke.
Offentliggørelse
Efter artikel 60, stk. 2, kan de samlede resultater blive gjort offentligt tilgængelige. Teksten taler om samlede resultater. Om enkelte virksomheder nævnes, afklarer de læste kilder ikke. Aftalen om en fælles aktivitet efter artikel 59 offentliggøres med parternes navne, og parterne er myndighederne.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hvert produkt, der kan købes, er i orden set udefra: mærke, erklæring, brugeroplysninger og kontaktpunkt. Det kræver også, at supportperioden er begrundet, fordi den selv kan være anledning til fokus.
Lader I være, kan en aktion rettet mod hele kategorien ramme jer uden varsel. Efter artikel 60 kan produktet være erhvervet under dækidentitet.
Det skal I lade være med
- At tro, at tilsynet kun kommer efter en klage · kontrolaktioner rettes mod kategorier.
- At regne med at blive varslet · produkter kan være købt under dækidentitet.
- At sætte en kort supportperiode uden begrundelse · utilstrækkelige perioder kan give fokus på kategorien.
Det skal auditten kunne vise
- ☐ En kontrol af produktet set fra købssiden: mærke, erklæring, oplysninger og kontaktpunkt.
- ☐ En dokumenteret begrundelse for supportperioden.
- ☐ En vurdering af, hvilken produktkategori jeres software hører til.
- ☐ En ansvarlig, der kan svare, hvis en myndighed henvender sig efter et køb.
Kilder
- Forordning (EU) 2024/2847, artikel 52, stk. 16, 58, 59 og 60, læst 13. november 2026.
- Ministeriet for Samfundssikkerhed og Beredskab, udkast til lov om supplerende bestemmelser til forordningen om cyberrobusthed, høringsversion 5. oktober 2026, §§ 6, 8 og 18, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Køb jeres eget produkt som en almindelig kunde, og se efter mærke, erklæring, slutdato og kontaktpunkt.
Læs også: CE-mærket på software · Oplysninger og anvisninger til brugeren efter bilag II
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
