Forordning (EU) 2024/2847 er den samme i hele EU, men tilsynet er nationalt. Hver medlemsstat udpeger sin egen markedsovervågningsmyndighed, og et softwarehus, der sælger i fem lande, kan få spørgsmål fra fem myndigheder. Sproget i brugeroplysningerne og i EU-overensstemmelseserklæringen afhænger også af, hvor produktet gøres tilgængeligt.
Kravene til produktet, oplysningerne og erklæringen gælder fra 11. december 2027. Indberetningen efter artikel 14 har været en pligt siden september 2026 og går gennem én fælles platform, uanset hvor mange lande I sælger i.
Hvem fører tilsyn
Artikel 52, stk. 2, pålægger hver medlemsstat at udpege en eller flere markedsovervågningsmyndigheder. Myndigheden i et land fører tilsyn med de produkter, der gøres tilgængelige dér. Et dansk softwarehus, der sælger i Sverige, kan derfor blive kontaktet af en svensk myndighed om det produkt, der sælges i Sverige.
I Danmark udpeger lovudkastet fra oktober 2026 Styrelsen for Samfundssikkerhed. Udkastet er ikke vedtaget. Det er gennemgået i CRA-tilsyn i Danmark.
Andre lande er længere. Den finske regering meddelte 28. maj 2026, at de supplerende finske regler træder i kraft 1. juni 2026, og at markedsovervågningen efter forordningen samles hos Transport- og kommunikationsstyrelsen Traficom. For de øvrige lande har vi ikke bekræftet myndighed og lovstatus i primærkilder pr. 13. november 2026, og vi nævner dem derfor ikke. Status skal slås op land for land.
Sproget i brugeroplysningerne
Efter artikel 13, stk. 18, må oplysningerne og anvisningerne i bilag II være trykt eller digitale. Sproget skal være et, som både brugerne og myndighederne har let ved at forstå. De skal være klare, forståelige og læselige.
Forordningen nævner ikke et bestemt sprog for hvert land. Hvad “let forstå” betyder i et givet land, kan afhænge af produktet og af brugerne. Et værktøj til udviklere, der alle arbejder på engelsk, er en anden situation end et bogføringsprogram til små virksomheder. Det er vores tolkning, og en national myndighed kan se anderledes på det. En gennemgang vil se efter, at valget af sprog pr. marked er truffet bevidst og begrundet.
Bilag II rummer blandt andet fabrikantens kontaktoplysninger, kontaktpunktet for sårbarheder, slutdatoen for supportperioden og anvisninger om sikker brug og opdatering. Indholdet er gennemgået i oplysninger og anvisninger til brugeren.
Sproget i erklæringen
Artikel 28, stk. 2, siger, at EU-overensstemmelseserklæringen skal stilles til rådighed på de sprog, som medlemsstaten kræver, når produktet gøres tilgængeligt dér. Her er reglen altså national. Hvilke sprog et land kræver, skal findes i landets egne regler.
En forenklet erklæring efter bilag VI henviser til en internetadresse, hvor den fulde tekst findes. Det fjerner ikke sprogkravet til den fulde erklæring. Hvordan erklæringen er bygget op, står i EU-overensstemmelseserklæringen for software.
Den tekniske dokumentation er friere. Kommissionens FAQ lader fabrikanten vælge sproget, men beder om en udgave, myndigheden kan læse, når den spørger. Bruger I et bemyndiget organ, afgør artikel 31, stk. 4, at sproget skal være officielt i organets land, medmindre organet godtager et andet.
En tjekliste pr. marked
Forordningen kræver ingen sådan liste. Det er praksis at have én række pr. land, hvor produktet sælges:
- Land · Hvor produktet gøres tilgængeligt (Finland)
- Markedsovervågningsmyndighed · Navn og kilde (Traficom, regeringens meddelelse)
- National lov · Status og dato (i kraft 1. juni 2026)
- Sprog i erklæringen · Det sprog, landet kræver
- Sprog i bilag II-oplysningerne · Det valgte sprog og begrundelsen
- Salgskanal · Egen hjemmeside, forhandler eller appbutik
- Senest tjekket · Dato og ansvarlig
Sælger I gennem en forhandler i landet, har forhandleren sin egen kontrolpligt. Den skal kunne se, at oplysningerne følger med på et sprog, brugerne forstår.
Indberetning sker ét sted
Selv om tilsynet er nationalt, er indberetningen fælles. Artikel 14 kræver indberetning til den koordinerende CSIRT i landet for jeres hovedforretningssted via ENISA’s platform. I varslingen skal I oplyse, i hvilke lande I ved, at produktet er på markedet. Listen over markeder er derfor også en forudsætning for at kunne indberette korrekt. Hvilken CSIRT der er jeres, står i koordinerende CSIRT i en koncern.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over de lande, hvor hvert produkt sælges, med myndighed, sprogkrav og status for national lov, og en ansvarlig, der holder listen ajour.
Uden listen kan en erklæring mangle på det sprog, et land kræver, eller brugeroplysningerne kan være på et sprog, brugerne ikke forstår. Det er mangler, en myndighed kan se udefra uden at åbne koden.
Det skal I lade være med
- At gå ud fra, at dansk tilsyn dækker salget i andre lande · hvert land har sin myndighed.
- At udgive erklæringen på ét sprog til alle markeder uden at have tjekket kravene · artikel 28 henviser til landets sprog.
- At skrive en anden myndighed ind på listen ud fra et rygte · tjek landets egne kilder.
Det skal auditten kunne vise
- ☐ En liste over markeder pr. produkt med myndighed og kilde.
- ☐ Erklæringen på de sprog, hvert marked kræver.
- ☐ Et begrundet valg af sprog til bilag II-oplysningerne pr. marked.
- ☐ En dato for, hvornår listen sidst blev tjekket.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 13, stk. 18, artikel 14, artikel 28, stk. 2, artikel 31, stk. 4, artikel 52, stk. 2, artikel 71 og bilag II og VI, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 6.6, læst 13. november 2026.
- Høringsportalen, udkast til lov om supplerende bestemmelser til forordningen om cyberrobusthed, § 5, høringsversion 5. oktober 2026, ikke vedtaget, læst 13. november 2026.
- Finlands regering, Bestämmelser som kompletterar cyberresiliensförordningen träder i kraft, 28. maj 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de lande op, hvor jeres største produkt sælges, og find myndigheden og sprogkravet for det første af dem.
Læs også: Formelle mangler · CE-mærket på software
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
