En indberetning efter artikel 14 går til den koordinerende CSIRT i det land, hvor fabrikantens hovedforretningssted i EU ligger. For en koncern med moderselskab i ét land og udvikling i to andre er svaret ikke oplagt, og analysen bør ligge færdig, før den første sag kommer.
Indberetningspligten har gældt siden 11. september 2026. En forkert valgt koordinator er ikke en formalitet. Ifølge ENISA’s FAQ risikerer indberetningen at blive afvist som ugyldig, og så skal den indgives på ny hos den korrekte CSIRT.
Reglen i artikel 14, stk. 7
Artikel 14, stk. 7, peger på det sted, hvor fabrikanten for det meste beslutter sig om sikkerheden i sine produkter. Lader det sig ikke fastslå, tæller I medarbejdere: det land i EU, hvor fabrikanten har sin største afdeling målt på ansatte, bliver afgørende.
Har fabrikanten slet intet hovedforretningssted i EU, gælder en rækkefølge. Først den medlemsstat, hvor den bemyndigede repræsentant handler. Dernæst den, hvor importøren gør flest af produkterne tilgængelige. Så den, hvor distributøren gør det. Og til sidst den medlemsstat, hvor produkterne har flest brugere. ENISA gentager rækkefølgen i sin FAQ, opdateret 15. oktober 2026.
Fabrikanten vælger selv koordinatoren på platformen. ENISA’s vejledning om registrering lægger ansvaret for valget hos fabrikanten.
Hvorfor det er svært i en koncern
Ordet “fabrikant” er knyttet til den juridiske person, der bringer produktet i omsætning under sit navn eller varemærke. I en koncern kan det være moderselskabet, et datterselskab eller flere forskellige selskaber for hver sin produktlinje. Det første spørgsmål er derfor, hvem der er fabrikant for hvilket produkt. Det står ofte på produktsiden og i EU-overensstemmelseserklæringen, når den findes.
Det andet spørgsmål er, hvor beslutningerne om produktets cybersikkerhed træffes. Typiske tegn, som en analyse kan se på, er:
- hvor den person sidder, der godkender releases og sikkerhedsrettelser
- hvor ledelsen af sårbarhedshåndteringen og risikovurderingen sidder
- hvor budgettet til produktets sikkerhed besluttes
- hvor politikken for koordineret offentliggørelse er vedtaget
Listen er vores forslag og ikke en opregning fra forordningen. Peger tegnene i forskellige retninger, falder analysen tilbage på antallet af ansatte. Det kræver en opgørelse pr. land, som HR kan levere.
ENISA’s FAQ siger desuden, at en koncern med flere datterselskaber i EU kun skal indberette én gang for samme aktivt udnyttede sårbarhed eller alvorlige hændelse. Koordineringen internt er koncernens egen sag. Det kræver, at selskaberne ved, hvem der indberetter.
Analysen skrives ned før første hændelse
Under en sag løber 24-timersfristen fra kendskab til tidlig varsling. Der er ikke tid til at finde ud af, hvor beslutningerne om sikkerheden træffes. Analysen er derfor et dokument, der laves i ro. Forordningen kræver det ikke. Det er praksis.
Et notat kan have disse felter:
- Fabrikant · Det juridiske selskab bag produktet (datterselskabet i Danmark)
- Produkter · Hvilke produkter notatet dækker (fagsystem og app)
- Beslutningssted · Hvor sikkerhedsbeslutningerne træffes, med begrundelse (udviklingschefen i Aarhus godkender rettelser)
- Koordinator · Den valgte CSIRT og medlemsstat
- Opsamlingsregel · Om reglen om flest ansatte er brugt, og tallene
- Indberetter · Hvem der indberetter for koncernen, og hvem der orienteres
- Senest vurderet · Dato og ansvarlig
Når fabrikanten sidder uden for EU
En dansk virksomhed kan også være datterselskab af en koncern uden for EU, hvor produktet bringes i omsætning af moderselskabet. Så er det moderselskabet, der er fabrikant, og det har intet hovedforretningssted i EU. Rækkefølgen ovenfor afgør da koordinatoren, og den danske enhed er måske slet ikke en del af den. Har moderselskabet udpeget det danske selskab som bemyndiget repræsentant, peger reglen på Danmark. Er det danske selskab importør, afhænger det af, hvor de fleste produkter gøres tilgængelige.
I den situation er det vigtigt, at den danske enhed ved, hvilken rolle den har. En bemyndiget repræsentant har pligter efter sin fuldmagt, og en importør har sine egne pligter. Rollerne er beskrevet i den bemyndigede repræsentants rolle.
Notatet holdes ajour
Notatet skal opdateres, når koncernen ændrer sig. Et opkøb, en flytning af udviklingsafdelingen eller en ny produktchef i et andet land kan flytte beslutningsstedet.
Hvad en gennemgang kontrollerer
En gennemgang af indberetningsparatheden ser efter, at notatet findes, og at det passer med virkeligheden. Den sammenligner notatets beslutningssted med, hvem der faktisk godkender releases i versionsstyringen og i referater. Den spørger, om de udpegede repræsentanter på platformen kender notatet. Og den ser efter, om valget er det samme for alle produkter, eller om der er grund til forskellige koordinatorer.
Rollerne på platformen og den danske koordinator er beskrevet i den fælles indberetningsplatform. Hvornår fristen begynder at løbe, står i aktivt udnyttet sårbarhed.
Er koncernen også omfattet af NIS2 som organisation, hører koncernens samlede hændelsesberedskab under en sikkerhedsaudit af organisationen. Valget af CSIRT efter CRA er en særskilt analyse for produkterne.
Hvad det kræver, og hvad det koster at lade være
Det kræver et skriftligt notat pr. fabrikant med begrundet valg af koordinator, en opgørelse af ansatte pr. land som reserve og en aftale om, hvem i koncernen der indberetter.
Uden analysen risikerer I at sende den første indberetning til den forkerte CSIRT. Den kan blive afvist, og så begynder I forfra, mens fristerne løber.
Det skal I lade være med
- At vælge moderselskabets land, fordi det er hovedkontoret · reglen ser på, hvor sikkerhedsbeslutningerne træffes.
- At lade flere datterselskaber indberette den samme sag · ENISA beder om én indberetning.
- At lave analysen først, når en sag er i gang · 24 timer rækker ikke til det.
Det skal auditten kunne vise
- ☐ Et notat pr. fabrikant med valgt koordinator og begrundelse.
- ☐ En opgørelse af ansatte pr. medlemsstat, hvis opsamlingsreglen bruges.
- ☐ En aftale om, hvem i koncernen der indberetter.
- ☐ En dato for seneste vurdering og en hændelse, der udløser en ny.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 3, nr. 13, artikel 14, stk. 7, og artikel 71, læst 13. november 2026.
- ENISA, SRP Frequently Asked Questions, spørgsmål 8 og 18, opdateret 15. oktober 2026, læst 13. november 2026.
- ENISA, CRA SRP Guidance, AR User Registration, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvem der godkendte jeres seneste sikkerhedsrettelse, og i hvilket land personen sidder.
Læs også: Underretning af brugerne · Hvem ejer CRA i en produktvirksomhed?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
