En indberetning på ENISA’s platform kan opdateres, så længe sagen ikke er lukket, og den endelige rapport ikke er sendt. Når den endelige rapport er indsendt, kan intet længere redigeres. Hver opdatering sendes videre til den koordinerende CSIRT, ENISA og de CSIRT’er, der allerede har fået sagen.
Beskrivelsen bygger på ENISA’s vejledning om indgivelse og opdatering af indberetninger af 12. september 2026. Siden da er platformen opgraderet (4. november 2026), og ENISA er i gang med at opdatere dokumentationen. Detaljerne kan derfor ændre sig.
Pligten til at opdatere
Tre kilder peger i samme retning. Forordningen bygger indberetningen op i trin. Den tidlige varsling følges af en meddelelse efter 72 timer og en endelig rapport, og i de to sidste trin behøver oplysninger, der allerede er givet, ikke at blive gentaget (artikel 14, stk. 2 og 4). Efter artikel 14, stk. 6, kan CSIRT’en også forlange en mellemliggende rapport om, hvordan sagen står.
Kommissionen forklarer i sin vejledning (punkt 215), at strukturen kræver trinvis opdatering, efterhånden som undersøgelsen skrider frem.
ENISA’s vilkår, punkt 4.1.8, siger, at brugerne skal opdatere en indberetning med det samme, hvis der kommer ny relevant viden, eller hvis det indsendte var forkert eller ufuldstændigt. Vilkårene er gennemgået i platformens vilkår.
Tilstandene på platformen
Ifølge ENISA’s vejledning går en indberetning gennem en fast rækkefølge. Hvert trin har sin egen fane:
- Draft · Gemt som kladde, endnu ikke sendt
- Early Warning · Den tidlige varsling er sendt
- 72h Submitted · Meddelelsen efter 72 timer er sendt
- 72h Submitted under PEC · Meddelelsen er sendt med påberåbelse af særligt ekstraordinære omstændigheder
- FR Submitted · Den endelige rapport er sendt
Alle trin kan gemmes som kladde. En kladde er kun synlig for den person, der gemte den. Det har en praktisk følge: hvis den, der skrev kladden, bliver syg eller går hjem, kan en kollega ikke se den. Kladder bør derfor ikke bruges som fælles arbejdsdokument. Skriv teksten et sted, hvor teamet kan læse med, og overfør den til platformen, når den er klar.
Hvem der får besked
Når en indberetning opdateres, underrettes den koordinerende CSIRT. ENISA og de berørte CSIRT’er, der allerede har modtaget indberetningen, får automatisk besked om opdateringen.
En rettelse når altså de samme modtagere som den oprindelige indberetning. Skriv derfor den første version omhyggeligt. Fristen på 24 timer går alligevel forud.
Hvad en opdatering typisk handler om
De fleste opdateringer vil handle om de felter, der blev udfyldt under tidspres. Fire tænkte eksempler viser mønstret. Den tekniske analyse viser, at også en ældre version er berørt, så versionsintervallet skal udvides. Salgsafdelingen finder en forhandler i et land, der ikke stod i varslingen. Tidspunktet for kendskab var angivet som skøn, og loggen viser nu det præcise klokkeslæt. Eller en sikkerhedsforsker kobler udnyttelsen til en bestemt gruppe, så feltet om ondsindede aktører kan udfyldes.
Fælles for eksemplerne er, at oplysningen findes hos jer, før den findes på platformen. Det kræver, at én navngiven person har ansvaret for at holde indberetningen ajour hele vejen, fra varslingen er sendt, til sagen er lukket.
Beder CSIRT’en om en foreløbig rapport efter artikel 14, stk. 6, er det samme person, der naturligt svarer. Så findes der ét sted, hvor den seneste viden om sagen samles.
Når slutrapporten låser
Efter den endelige rapport kan indberetningen ikke længere redigeres. For en sårbarhed skal den endelige rapport sendes senest 14 dage efter, at en rettelse eller afbødning er tilgængelig. For en alvorlig hændelse er fristen en måned efter 72-timers underretningen.
Det betyder, at den endelige rapport skal være gennemarbejdet, før den sendes. En enkel tjekliste før afsendelse kan dække:
- Er versionsintervallet bekræftet mod versionsregistret?
- Er alle berørte medlemsstater med?
- Er beskrivelsen af alvor og indvirkning afstemt med den tekniske analyse?
- Er rettelsens dato og indhold korrekt?
- Er oplysninger om ondsindede aktører med, hvis I har dem?
Tjeklisten er praksis uden krav bag i forordningen eller i ENISA’s vejledning.
Når der kommer ny viden efter slutrapporten
Hvad der sker, hvis afgørende ny viden dukker op, efter at den endelige rapport er låst, er ikke beskrevet i ENISA’s vejledning eller vilkår. Vejledningen beskriver kun, at rapporten ikke kan redigeres. Hvis situationen opstår, er det naturligt at kontakte den koordinerende CSIRT. Det er vores vurdering.
Hvem der kan rette
Ifølge ENISA’s brugermanual kan primære og sekundære repræsentanter for samme fabrikant se og opdatere hinandens indberetninger. En opdatering kan altså foretages af en anden end den, der sendte indberetningen. Det forudsætter, at mindst to personer har adgang. Rollerne er beskrevet i den fælles indberetningsplatform.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fælles arbejdsplads for teksten uden for platformen, mindst to repræsentanter med adgang og en tjekliste før den endelige rapport.
Uden dem bliver en forkert oplysning stående, fordi den eneste med adgang er væk, eller den endelige rapport bliver sendt med fejl, der ikke kan rettes bagefter.
Det skal I lade være med
- At bruge platformens kladder som fælles arbejdsdokument · de er kun synlige for den, der gemte dem.
- At sende den endelige rapport uden en sidste kontrol · den kan ikke redigeres bagefter.
- At lade en kendt fejl stå i en åben indberetning · vilkårene kræver, at den opdateres straks.
Det skal auditten kunne vise
- ☐ En fælles arbejdsgang for at skrive og godkende tekster til indberetninger.
- ☐ Mindst to repræsentanter, der kan opdatere en indberetning.
- ☐ En tjekliste, der bruges før afsendelse af den endelige rapport.
- ☐ Et spor af opdateringer med dato og grund.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 14, stk. 2, 4 og 6, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252, punkt 215, læst 13. november 2026.
- ENISA, CRA SRP Guidance, AR Notification submission and update, læst 13. november 2026.
- ENISA, CRA SRP Terms and Conditions, version 1.0, punkt 4.1.8, læst 13. november 2026.
- ENISA, SRP AR User Manual, version 1.1, afsnit 4.6.1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv en tjekliste til den endelige rapport, og aftal, hvor teksten til en indberetning skrives, før den lægges på platformen.
Læs også: Efter indberetningen · Kan indberetningen holdes tilbage?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
