Et softwarehus, der både er fabrikant, NIS2-enhed og dataansvarlig, kan stå med tre indberetninger om samme hændelse. De har hver sin modtager, kanal og frist, og der er i dag ingen fælles indgang.
Om alle tre pligter udløses, afhænger af hændelsen. Det er en vurdering i hvert tilfælde, og ingen af dem følger automatisk af de andre. Artiklen viser forløbene side om side, så forskellene står tydeligt.
Hvornår hver pligt gælder
CRA gælder jer som fabrikant af et produkt med digitale elementer. Pligten udløses af en aktivt udnyttet sårbarhed i produktet eller en alvorlig hændelse, der rammer produktets sikkerhed (artikel 14, stk. 1 og 3). Den har gældt siden 11. september 2026.
NIS2 gælder kun, hvis softwarehuset selv er en væsentlig eller vigtig enhed efter NIS2-loven. Pligten udløses af en væsentlig hændelse i virksomhedens egne net- og informationssystemer.
GDPR gælder, når I som dataansvarlig har et brud på persondatasikkerheden. Er I databehandler for en kunde, er jeres pligt at underrette den dataansvarlige.
Forløbene side om side
- Udløser · CRA: Aktivt udnyttet sårbarhed eller alvorlig hændelse i produktet · NIS2: Væsentlig hændelse hos enheden · GDPR: Brud på persondatasikkerheden hos den dataansvarlige
- Modtager · CRA: Koordinerende CSIRT og ENISA samtidig · NIS2: Kompetent myndighed og CSIRT · GDPR: Tilsynsmyndigheden efter GDPR
- Kanal · CRA: ENISA’s fælles indberetningsplatform · NIS2: virk.dk · GDPR: Ikke oplyst her
- Første frist · CRA: Tidlig varsling inden for 24 timer · NIS2: Tidlig varsling inden for 24 timer · GDPR: Hurtigst muligt, så vidt muligt inden 72 timer
- Næste trin · CRA: Meddelelse efter 72 timer, endelig rapport senere · NIS2: Hændelsesunderretning inden for 72 timer · GDPR: Ikke oplyst her
CRA-forløbet
Meldingen sendes via platformen og når på én gang både ENISA og den koordinerende CSIRT. For Danmark er den koordinerende CSIRT Forsvarets Efterretningstjeneste. Den tidlige varsling sendes inden for 24 timer, meddelelsen eller underretningen efter 72 timer og en endelig rapport til sidst. For en sårbarhed er fristen 14 dage efter, at en rettelse er tilgængelig. For en alvorlig hændelse er den en måned efter 72-timers underretningen. Forløbet er beskrevet i indberetningspligten og fristerne.
NIS2-forløbet
For en væsentlig eller vigtig enhed sendes en tidlig varsling senest 24 timer efter kendskab til den væsentlige hændelse og en hændelsesunderretning senest 72 timer efter. Modtagerne er den kompetente myndighed og CSIRT’en, og indberetningen sker via virk.dk efter NIS2-lovens §§ 12 og 13. Den danske CSIRT oplyser, at it-sikkerhedshændelser indberettes via enhedens adgang på virk.dk.
Den danske CSIRT skriver, at de to indgange ikke er koblet sammen i dag. En hændelse, der skal meldes begge steder, skal derfor meldes to gange.
GDPR-forløbet
Efter artikel 33, stk. 1, skal den dataansvarlige anmelde bruddet til tilsynsmyndigheden hurtigst muligt. Fristen er så vidt muligt 72 timer fra det øjeblik, bruddet blev kendt. Det gælder ikke, hvis det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder. Efter stk. 2 underretter databehandleren den dataansvarlige uden unødig forsinkelse.
Tidspunktet for kendskab
Alle tre forløb regner fra, at man bliver bekendt med noget. Kommissionen forklarer i sin vejledning til CRA (punkt 212), at dens forklaring af kendskab er afstemt med betragtning 31 i NIS2-gennemførelsesforordningen (EU) 2024/2690 og med Det Europæiske Databeskyttelsesråds retningslinjer 9/2022. Det trækker i retning af en ensartet vurdering. Det er stadig tre forskellige ting, man skal være bekendt med: udnyttelsen i produktet, den væsentlige hændelse og bruddet på persondata.
En tænkt sag
En angriber udnytter en sårbarhed i et softwarehus’ SaaS-klient og henter kundedata fra en server, som huset selv driver. Klienten er et produkt efter CRA. Huset er vigtig enhed efter NIS2. Det er dataansvarlig for sine egne kunderegistre og databehandler for kundernes data.
Her kan alle tre spor være i spil: CRA for den udnyttede sårbarhed i klienten, NIS2 for hændelsen i husets systemer og GDPR både som dataansvarlig og som databehandler over for kunderne. Eksemplet er tænkt, og en konkret sag kræver en konkret vurdering af hvert spor.
De første timer i praksis
Forordningerne siger intet om, hvordan arbejdet fordeles internt. Det er praksis. Mange vælger at lade én person koordinere og stille de tre spørgsmål tidligt: Er et af vores produkter ramt? Er det en væsentlig hændelse i vores egne systemer? Er der persondata involveret, og i hvilken rolle behandler vi dem?
To af sporene har en frist på 24 timer, så de spørgsmål kan ikke vente til næste morgenmøde. GDPR-sporet har længere tid, men som databehandler skal I underrette kunderne uden unødig forsinkelse, og kunderne har deres egen frist at nå. Det taler for, at beskeden til dem ikke venter på, at de to andre indberetninger er sendt.
Notér for hvert spor, hvad der blev besluttet og hvornår, også når konklusionen er, at pligten ikke var udløst. Den note er det eneste, der viser, at sporet blev overvejet.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fælles vurdering ved hver hændelse, der tager stilling til alle tre spor, og en oversigt over modtagere og kanaler. Det kræver også, at de personer, der kan indberette i hvert spor, kender hinanden.
Uden den fælles vurdering bliver ét spor glemt, fordi de to andre fylder. Den, der håndterer persondatabruddet, tænker ikke nødvendigvis på produktet, og omvendt.
Det skal I lade være med
- At gå ud fra, at én indberetning dækker de andre · der er ingen integration mellem kanalerne.
- At lade 72 timer gælde som første frist overalt · CRA og NIS2 har begge en varsling inden for 24 timer.
- At lade én afdeling eje alle tre vurderinger alene · hvert spor kræver egen viden.
Det skal auditten kunne vise
- ☐ En skabelon til hændelsesvurdering, der tager stilling til CRA, NIS2 og GDPR.
- ☐ En oversigt over modtagere, kanaler og frister i de tre spor.
- ☐ Navngivne ansvarlige for hvert spor med stedfortrædere.
- ☐ Afklaring af, om virksomheden er NIS2-enhed, og i hvilke roller den behandler persondata.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 14, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252, punkt 212, læst 13. november 2026.
- Forordning (EU) 2016/679, databeskyttelsesforordningen, artikel 33, læst 13. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12-13, læst 12. november 2026.
- Forsvarets Efterretningstjeneste, Cybertruslen og Cyber Resilience Act (CRA), læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres skabelon til hændelseshåndtering og se, om den spørger til alle tre spor.
Læs også: Den fælles indberetningsplatform · Aktivt udnyttet sårbarhed
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
