Den, der logger på ENISA’s indberetningsplatform for jeres virksomhed, accepterer et sæt vilkår. De gør adgangen strengt personlig, lader virksomheden stå til ansvar for de personer, den har givet adgang, og pålægger tavshedspligt i fem år efter, at adgangen er ophørt.
Vilkårene er ENISA’s “Terms and Conditions” for platformen, version 1.0 af 10. september 2026. Vi har kontrolleret den 13. november 2026, at det stadig er den version, ENISA henviser til. Vilkårene er skrevet på engelsk. Gengivelsen her er vores egen sammenfatning på dansk og ingen juridisk vurdering af dem.
Hvornår vilkårene gælder
Efter punkt 2.4 gælder vilkårene, når man anmoder om adgang, tilgår eller bruger platformen. Brugere kan blive bedt om at acceptere dem udtrykkeligt ved første login. ENISA oplyser om ændringer, men brugerne opfordres i punkt 2.5 til selv at holde øje med nye versioner. Efter punkt 6.3 gælder en ændret version ved næste brug.
Den, der første gang logger på under tidspres, accepterer altså en aftale på virksomhedens vegne. Det er en god grund til at have læst den på forhånd.
Adgang og repræsentation
Adgangen kræver en EU Login-konto (punkt 3.1.1). Brugeren skal sikre, at oplysningerne ved registreringen er sande, korrekte og fuldstændige. Ved at registrere sig eller sende en indberetning indestår brugeren for at være virksomhedens repræsentant og bemyndiget til at handle for den (punkt 3.1.4). CSIRT’erne kan efterprøve det (punkt 3.1.6), og ENISA kan suspendere eller afvise adgangen, hvis oplysningerne viser sig at være forkerte (punkt 3.1.7).
For en virksomhed betyder det, at den person, der skal indberette, bør have en bemyndigelse, der kan vises. Om den skal være skriftlig, siger vilkårene ikke. Det er vores råd, at den er det.
Personlige adgangsmidler
Punkt 3.1.8 er det mest konkrete for den daglige drift. Adgangsmidlerne er strengt personlige. Brugeren skal beskytte dem, må ikke overdrage eller sælge dem, og al brug af en konto tilskrives den autoriserede bruger. Efter punkt 3.1.9 skal tab, tyveri eller risiko for misbrug af adgangsmidlerne straks meldes til ENISA på cra-srp-security@enisa.europa.eu. ENISA kan suspendere adgangen uden varsel ved mistanke om brud.
Punkt 4.6.1 lader ENISA afvise et login, hvis der allerede er en aktiv session med samme EU Login.
En fælles konto for et sikkerhedsteam strider derfor mod vilkårene. Hver person, der skal kunne indberette, skal have sin egen adgang.
Ansvaret for de autoriserede
Efter punkt 4.1.4 er brugeren fuldt ansvarlig for enhver brug af platformen, også misbrug af egne adgangsmidler. Punkt 4.1.5 lægger ansvaret for handlinger og undladelser hos de personer, man har autoriseret, på den bruger, der autoriserede dem. Organisationen skal sikre, at de overholder vilkårene, og skal straks tilbagekalde eller opdatere adgangen, når autorisationen ophører. Efter punkt 4.1.6 holder brugeren ENISA skadesløs ved brug i strid med vilkårene eller forordningen.
Punkt 4.1.5 giver to kontrolpunkter for personaleprocesser. Ved tiltrædelse skal det være klart, hvem der autoriserer en ny repræsentant. Ved fratrædelse skal adgangen lukkes med det samme.
Indholdet af indberetningerne
Brugerne er ansvarlige for, at oplysningerne er korrekte, fuldstændige og rettidige (punkt 4.1.7). Efter punkt 4.1.8 skal indberetningerne leve op til artikel 14, og de skal straks opdateres, når nye relevante oplysninger kommer frem, eller tidligere oplysninger viser sig at være forkerte eller ufuldstændige. Fremgangsmåden er beskrevet under ret og opdatér en indgivet indberetning.
Tavshedspligt i fem år
Platformen kan give adgang til fortrolige oplysninger om sårbarheder og hændelser. Efter punkt 4.3.2 skal brugerne holde oplysninger tilgået via platformen fortrolige og må ikke videregive dem uden tilladelse, medmindre EU-ret eller national ret kræver det. Pligten gælder efter punkt 4.3.4 i fem år efter, at brugerens adgang er ophørt.
Det betyder, at en tidligere medarbejder stadig er bundet. Det er værd at nævne ved fratrædelsen.
Det, ENISA ikke lover
ENISA bestræber sig på at holde platformen tilgængelig, men garanterer efter punkt 4.4.1 ikke uafbrudt drift. Er platformen nede, gør ENISA rimelige anstrengelser for at genoprette den. Arbejdsgangen ved nedbrud er beskrevet i indberetningspligten og de tre frister.
Efter punkt 4.2.3, litra f, må brugerne ikke sikkerhedsteste platformen uden ENISA’s forudgående samtykke. Den engelske version har forrang over oversættelser (punkt 6.2.1).
Hvad det kræver, og hvad det koster at lade være
Det kræver, at vilkårene er læst, før nogen logger på første gang, at hver repræsentant har en bemyndigelse og en personlig adgang, og at fratrædelser lukker adgangen til platformen samme dag.
Uden de processer kan en fratrådt medarbejder stadig være registreret som repræsentant, og virksomheden står til ansvar for det, personen gør. En delt adgang kan desuden blive suspenderet midt i en sag.
Det skal I lade være med
- At dele en EU Login-konto i teamet · adgangsmidlerne er strengt personlige.
- At glemme platformen ved fratrædelser · adgangen skal lukkes straks.
- At teste platformens sikkerhed uden samtykke · vilkårene forbyder det.
Det skal auditten kunne vise
- ☐ Dokumentation for, at vilkårene i gældende version er læst og godkendt internt.
- ☐ En bemyndigelse for hver repræsentant.
- ☐ Personlige adgange uden delte konti.
- ☐ Lukning af platformsadgang i fratrædelsesproceduren, med besked om tavshedspligten.
Kilder
- ENISA, The Cyber Resilience Act (CRA) Single Reporting Platform (SRP) Terms and Conditions, version 1.0, 10. september 2026, TLP: WHITE, punkt 2.4-2.5, 3.1, 4.1, 4.2.3, 4.3, 4.4.1, 4.6.1, 6.2.1 og 6.3, læst 13. november 2026.
- ENISA, Single Reporting Platform, henvisning til gældende vilkår, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg lukning af adgangen til indberetningsplatformen ind i jeres tjekliste for fratrædelser.
Læs også: Hvem ejer CRA i en produktvirksomhed? · Felterne i varsling og slutrapport
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
