Forordning (EU) 2024/2847 har nogle få lempelser for mikro- og små virksomheder, men ingen af dem fjerner kravene til produktet. Et lille softwarehus skal opfylde bilag I og artikel 13 og 14 på samme måde som et stort, og lempelserne handler om bøder, dokumentationens form, gebyrer og støtte.
Søger man efter CRA for små virksomheder med software, får man let indtryk af, at de små er fritaget. Det er de ikke. Artiklen gennemgår, hvad der faktisk står i forordningen og i det danske lovudkast, og hvad der står tilbage. Hvordan virksomhedens størrelse opgøres, gennemgås ikke her.
Bødefritagelsen for de korteste frister
Artikel 64, stk. 10, litra a, fritager mikro- og små fabrikanter for administrative bøder for to frister. Den ene er den tidlige varsling om en aktivt udnyttet sårbarhed inden for 24 timer (artikel 14, stk. 2, a). Den anden er den tidlige varsling om en alvorlig hændelse (artikel 14, stk. 4, a).
Fritagelsen gælder bøden. Varslingen skal stadig sendes, og de øvrige frister i artikel 14 er ikke omfattet. Reglerne om indberetning gælder allerede, nemlig fra 11. september 2026.
Det danske lovudkast fra oktober 2026 gentager undtagelsen for bødestraf i § 17, stk. 2, nr. 1. Udkastet er et høringsudkast, og paragraffernes ordlyd og numre kan ændre sig.
Forenklet teknisk dokumentation
Artikel 33, stk. 5, giver mikro- og små virksomheder mulighed for at levere elementerne i bilag VII i et forenklet format. Kommissionen fastsætter formularen ved en gennemførelsesretsakt. Vælger virksomheden den forenklede vej, skal formularen bruges, og bemyndigede organer skal acceptere den.
Vi har ikke undersøgt, om gennemførelsesretsakten med formularen er vedtaget. Indtil den foreligger, kan man ikke planlægge efter den. Bemærk også, at det er formatet, der forenkles. Indholdet i bilag VII skal stadig være der.
Lavere gebyrer hos bemyndigede organer
Artikel 32, stk. 6, siger, at gebyrer for overensstemmelsesvurdering skal tage hensyn til mikro-, små og mellemstore virksomheders interesser og reduceres i forhold hertil. Bestemmelsen nævner ingen størrelse på nedsættelsen. Den betyder kun noget for produkter, der skal vurderes med et bemyndiget organ, og under modul A, der bruges for produkter uden for bilag III og IV, deltager intet organ.
Støtte og sandkasser
Artikel 33, stk. 1-2, pålægger medlemsstaterne, hvor det er relevant, at iværksætte oplysnings- og uddannelsesaktiviteter, en særlig kommunikationskanal og støtte til afprøvning. Medlemsstaterne kan oprette reguleringsmæssige sandkasser.
Lovudkastets § 10 foreslår, at Styrelsen for Samfundssikkerhed iværksætter de samme tre tiltag, hvor det er relevant, og at ministeren kan fastsætte regler om sandkasser. Hvad det bliver til i praksis, står ikke i udkastet.
Det, der ikke lempes
Bilag I, artikel 13 og artikel 14 gælder fuldt ud. Der er ingen størrelsesundtagelse i de bestemmelser, der er læst til denne artikel. Det betyder, at et lille softwarehus fra 11. december 2027 skal have:
- en vurdering af cybersikkerhedsrisici for hvert produkt,
- en sårbarhedshåndtering efter bilag I, del II, med komponentliste og kontaktpunkt,
- en fastsat supportperiode og sikkerhedsopdateringer i den,
- teknisk dokumentation, erklæring og CE-mærke.
Størrelsen tæller med ved udmålingen af en eventuel bøde, fordi litra c i artikel 64, stk. 5, lader domstol eller myndighed se på, hvor stor virksomheden er, og hvor meget af markedet den har. Det er et hensyn ved udmålingen.
Hvad det betyder for planlægningen
Efter vores tolkning ligger den største forskel for et lille softwarehus i ressourcerne. Der er færre hænder til at skrive dokumentation og holde vagt for indberetninger. Det taler for at bygge det enkleste setup, der dækker kravene, fremfor at kopiere en større virksomheds proces.
Et tænkt eksempel. Et team på fem udviklere samler risikovurdering, komponentliste og begrundelsen for supportperioden i ét levende dokument pr. produkt. Den samme person ejer kontaktpunktet og indberetningsproceduren og har en navngiven stedfortræder. Forordningen anviser ingen bestemt model, men opdelingen gør det muligt at vise, hvem der gør hvad.
Den almene fremgangsmåde for at planlægge og afgrænse en audit findes i sikkerhedsauditten trin for trin. Får I spørgsmål fra kunder om, hvordan I lever op til forordningen, er det kundens side af sagen, der er beskrevet i kontrol af leverandører.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen kender forskellen på pligt og bøde. Bødefritagelsen kan friste til at tage 24-timersfristen let, men pligten består, og en manglende varsling er stadig en overtrædelse af artikel 14.
Den, der regner med en forenklet formular, der endnu ikke er set, kan stå med for lidt dokumentation den dag, kravene gælder.
Det skal I lade være med
- At læse bødefritagelsen som en fritagelse for varsling · artikel 14 gælder også for de små.
- At planlægge efter en formular, der ikke er set vedtaget · vent på gennemførelsesretsakten.
- At antage, at bilag I er lempet · der er ingen størrelsesundtagelse i kravene til produktet.
Det skal auditten kunne vise
- ☐ En procedure for tidlig varsling inden for 24 timer, også selv om bøden er fritaget.
- ☐ En dokumenteret vurdering af, om virksomheden er mikro eller lille.
- ☐ Teknisk dokumentation med alle elementer i bilag VII, uanset format.
- ☐ Bevis for, at bilag I, del I og II, er dækket for hvert produkt.
Kilder
- Forordning (EU) 2024/2847 om cyberrobusthed, artikel 14, 32, stk. 6, artikel 33 og 64, stk. 5 og 10, læst 13. november 2026 i Publikationskontorets udgave af EUT-teksten.
- Ministeriet for Samfundssikkerhed og Beredskab, udkast til forslag til lov om supplerende bestemmelser til forordningen om cyberrobusthed, høringsversion 5. oktober 2026, § 10 og § 17, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv op, hvem der hos jer sender en tidlig varsling inden for 24 timer, også på en fridag.
Læs også: Modul A for et softwareprodukt · Findes der et bemyndiget organ til jeres software?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
