Status 13. november 2026 er, at EU-Tidende endnu ikke har bragt en eneste reference til en harmoniseret standard under forordning (EU) 2024/2847, og fristerne for en stor del af standarderne er netop blevet forlænget. En gennemgang kan stadig måle et softwareprodukt mod en udkaststandard eller en anden teknisk specifikation, men det giver ikke formodning om overensstemmelse.
Status for CRA-standarderne ændrer sig løbende. Overblikket her vedligeholdes. Grundlaget er Kommissionens standardiseringsside, som vi gennemlæste den 13. november 2026. Tjek altid siden selv, før I planlægger efter en dato.
Hvad formodning betyder
Artikel 27, stk. 1, giver formodning om overensstemmelse med de væsentlige krav for produkter, der er i overensstemmelse med harmoniserede standarder, hvis referencer er offentliggjort i Den Europæiske Unions Tidende. Ordene om offentliggørelse er afgørende. En standard, der er færdig hos standardiseringsorganisationerne, men hvis reference ikke står i EUT, giver ikke formodning.
Formodningen er en bevislettelse. Fabrikanten, der følger en sådan standard, behøver ikke selv at argumentere for, at løsningen opfylder de krav, standarden dækker. Uden formodning skal fabrikanten selv kunne vise, at kravene er opfyldt.
Artikel 27 har to andre veje. Efter stk. 2 og 5 kan Kommissionen vedtage fælles specifikationer, hvis standarderne udebliver. Efter stk. 8 kan certifikater efter forordning (EU) 2019/881 give formodning i det omfang, de dækker kravene. Ingen af de to veje er nærmere behandlet her.
Standardiseringsanmodningen
Kommissionen har vedtaget standardiseringsanmodning M/606 med 41 standarder til støtte for forordningen. Anmodningen omfatter både vandrette standarder og lodrette, produktspecifikke standarder.
De vandrette standarder giver fælles rammer og processer, herunder for sårbarhedshåndtering. De produktspecifikke skal give formodning for bestemte produkttyper, og den første anmodning prioriterer de vigtige og kritiske produktkategorier i bilag III og IV. Ifølge Kommissionens side arbejder standardiseringsorganisationerne også på støttedokumenter om terminologi, metode til sektorvis risikovurdering og et fælles trusselskatalog.
De forlængede frister
Den 10. november 2026 blev anmodningen ændret, så fristen for levering af alle produktspecifikke standarder og nogle vandrette standarder blev forlænget med tre måneder. Kommissionens side om standardisering blev opdateret 12. november 2026. De nye datoer står ikke på siden.
Kommissionens FAQ i version 1.4 fra september 2026 angiver frister for leverancerne. De er ændret med forlængelsen, og vi gengiver dem derfor ikke. Planlægger I efter en dato fra FAQ’en, bør I gå ud fra, at den kan være forældet.
Status pr. 13. november 2026
- M/606 · Emne: Anmodningen om 41 standarder · Status: Accepteret af CEN, CENELEC og ETSI 3. april 2025. Ændret 10. november 2026 med tre måneders længere frist for alle produktspecifikke og nogle vandrette standarder · Senest tjekket: 13. november 2026
- EN 40000-1-1 og EN 40000-1-2 · Emne: De første vandrette standarder, som de omtales i fagpressen · Status: Forventet udgivet i efteråret 2026, ikke bekræftet i primærkilde. Vi har ikke kunnet læse standardiseringsorganisationernes egen registrering · Senest tjekket: 13. november 2026
- Produktspecifikke standarder · Emne: Kategorierne i bilag III og IV · Status: Frist forlænget tre måneder. De nye datoer står ikke på Kommissionens side · Senest tjekket: 13. november 2026
- Referencer i EUT · Emne: Formodning efter artikel 27, stk. 1 · Status: Ingen reference til en harmoniseret CRA-standard fundet · Senest tjekket: 13. november 2026
- EUCC · Emne: Delegeret retsakt om formodning · Status: Planlagt til fjerde kvartal 2026 i Kommissionens tidslinje. Ikke set vedtaget · Senest tjekket: 13. november 2026
En standard, der er udgivet hos standardiseringsorganisationerne, kan bruges som målestok, før referencen står i EUT. Formodning giver den først bagefter.
Hvad en gennemgang kan måle efter i mellemtiden
FAQ’en siger i afsnit 7.4, at harmoniserede standarder er en måde at påvise overensstemmelse på, men ikke den eneste. Bilag VII, punkt 5, beder om, at dokumentationen beskriver de anvendte løsninger og andre tekniske specifikationer, når harmoniserede standarder ikke er anvendt.
I praksis kan en gennemgang derfor bruge en målestok, der ikke er harmoniseret. Det kan være et offentliggjort udkast fra standardiseringsarbejdet, en international standard eller en anden anerkendt teknisk specifikation. Valget er fabrikantens og gennemgangens, og forordningen siger ikke, hvilke specifikationer der er bedst egnede.
Forskellen skal stå tydeligt i rapporten. En målestok bruges til at stille spørgsmål og finde huller. Den giver ikke fabrikanten nogen bevislettelse over for myndigheden. Selv hvis produktet lever fuldt op til et udkast, skal fabrikanten stadig selv argumentere for, at bilag I er opfyldt.
Et tænkt eksempel. Et softwarehus måler sin sårbarhedshåndtering mod et offentliggjort udkast til en vandret standard og finder to huller i behandlingen af indkomne meldinger. Hullerne lukkes, og rapporten noterer udkastets udgave. I dokumentationen beskriver softwarehuset sin egen proces efter bilag VII, punkt 5, og henviser til udkastet som inspiration. Det, der står over for myndigheden, er beskrivelsen og beviserne.
Når standarden kommer
Et udkast kan ændre sig, før det bliver harmoniseret. Det er en grund til at registrere, hvilken udgave af en målestok der er brugt. Når referencen en dag står i EUT, kan fabrikanten sammenligne den endelige tekst med den, der blev målt efter, og se, hvor der er forskelle.
For produkter i klasse I har tidspunktet en særlig betydning, fordi brugen af modul A efter artikel 32, stk. 2, er knyttet til anvendte harmoniserede standarder. Hvad en fabrikant af et klasse I-produkt kan gøre imens, står i artiklen om klasse I uden harmoniseret standard.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen følger standardiseringen og opdaterer jeres egen plan, når fristerne flytter sig. Det kræver også disciplin i sproget. Rapporter og salgsmateriale må ikke antyde formodning, hvor der kun er en målestok.
Den, der venter med alt arbejde, til standarderne er offentliggjort, kan stå med kort tid til 11. december 2027. Den, der antager formodning ud fra et udkast, kan stå uden bevis den dag, en myndighed spørger.
Det skal I lade være med
- At skrive “i overensstemmelse med standarden” om et udkast · kun referencer i EUT giver formodning.
- At bruge FAQ’ens gamle frister i planen · de blev ændret 10. november 2026.
- At udskyde risikovurderingen, til standarderne kommer · bilag VII, punkt 5, beder om en beskrivelse af egne løsninger.
Det skal auditten kunne vise
- ☐ Hvilken målestok der er brugt, med udgave og dato.
- ☐ En tydelig sondring i rapporten mellem målestok og formodning.
- ☐ En beskrivelse af egne løsninger i den tekniske dokumentation, punkt 5.
- ☐ En dato for, hvornår status for standarderne sidst blev tjekket.
Kilder
- Europa-Kommissionen, Cyber Resilience Act – Standardisation, sidst opdateret 12. november 2026, læst 13. november 2026.
- Forordning (EU) 2024/2847 om cyberrobusthed, artikel 27 og 32 samt bilag VII, læst 13. november 2026 i Publikationskontorets udgave af EUT-teksten.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, afsnit 6.10 og 7.4, læst 13. november 2026.
- CEN-CENELEC, Cyber Resilience Act: Standardization Request Officially Accepted by CEN, CENELEC, and ETSI, 1. maj 2025, læst 13. november 2026.
- Europa-Kommissionen, Cyber Resilience Act: implementation, sidst opdateret 27. juli 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvilken målestok I bruger i dag, og hvilken udgave. Sæt en dato for næste tjek af Kommissionens side.
Læs også: Standarden dækker kun kernefunktionen · CRA foreskriver ingen metode
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
