Et høringsudkast fra Ministeriet for Samfundssikkerhed og Beredskab foreslår, at Styrelsen for Samfundssikkerhed bliver markedsovervågningsmyndighed for Cyber Resilience Act i Danmark. Udkastet var ikke fremsat i Folketinget 13. november 2026, så intet i denne artikel er gældende dansk lov endnu.
Forordningen gælder direkte i alle medlemslande. Den danske lov skal kun udfylde de huller, forordningen selv overlader til landene: hvem der fører tilsyn, hvem der bemyndiger organer, hvilke beføjelser myndigheden får, og hvordan overtrædelser straffes.
Hvor langt er udkastet?
Udkastet hedder “Udkast til forslag til lov om supplerende bestemmelser til forordningen om cyberrobusthed”. Det er dateret og offentliggjort på Høringsportalen 5. oktober 2026 med sagsnummer 2025-2104. Høringsfristen udløb 2. november 2026.
Et opslag i Folketingets åbne data 13. november 2026 fandt ingen sag med “cyberrobust” i titlen, og datasættet var opdateret samme dag. Lovforslaget var altså ikke set fremsat. Paragrafnumrene og indholdet kan ændre sig, før et lovforslag kommer, og igen under behandlingen. Alt nedenfor er derfor det, udkastet foreslår.
Paragrafferne, der fordeler opgaverne
- § 3 · Hvad udkastet foreslår: Styrelsen for Samfundssikkerhed bliver bemyndigende myndighed for overensstemmelsesvurderingsorganer og kan begrænse, suspendere eller inddrage en bemyndigelse · Forordningens bestemmelse: Artikel 36, stk. 1
- § 4 · Hvad udkastet foreslår: DANAK vurderer og overvåger organerne
- § 5, stk. 1 · Hvad udkastet foreslår: Styrelsen bliver markedsovervågningsmyndighed · Forordningens bestemmelse: Artikel 52, stk. 2
- § 5, stk. 2 · Hvad udkastet foreslår: For højrisiko-AI-systemer er AI-forordningens markedsovervågningsmyndigheder ansvarlige · Forordningens bestemmelse: Artikel 52, stk. 14
- § 6 · Hvad udkastet foreslår: Styrelsen er national koordinerende myndighed, fastsætter en strategisk ramme og koordinerer fælles aktiviteter og kontrolaktioner · Forordningens bestemmelse: Artikel 59 og 60
- §§ 15-16 · Hvad udkastet foreslår: Styrelsen behandler klager over afgørelser fra bemyndigede organer og DANAK med en frist på fire uger; dens afgørelser kan ikke indbringes for anden administrativ myndighed
To ting er værd at bemærke for et softwarehus. Samme styrelse får både rollen som den, der godkender organerne, og rollen som den, der kontrollerer produkterne på markedet. Og er jeres produkt et højrisiko-AI-system, peger udkastet på en anden myndighed.
Udkastets kapitelnumre springer kapitel 7 over. Henvis derfor til paragraffer, når I skriver internt om udkastet.
To datoer for ikrafttræden
Efter § 18 træder loven i kraft 1. marts 2027. Paragrafferne om markedsovervågning, beføjelser, tiltag for små virksomheder, videregivelse af oplysninger og straf (§§ 5-11 og 17) træder dog først i kraft 11. december 2027. Det er samme dag, som forordningens hovedregler begynder at gælde. Efter § 19 gælder loven ikke for Færøerne og Grønland.
For jer betyder det, at reglerne om bemyndigelse af organer kan komme før reglerne om tilsyn med produkterne. Selve tilsynet med jeres software og jeres udviklingsproces får først hjemmel fra december 2027, hvis udkastet vedtages som foreslået.
Indberetning gælder allerede
Én del af forordningen venter ikke på den danske lov. Fabrikanterne har siden 11. september 2026 skullet indberette efter artikel 14, når en sårbarhed udnyttes aktivt, eller en alvorlig hændelse rammer produktet. Ifølge bemærkningerne til udkastet er Center for Cybersikkerhed CSIRT i Danmark med henvisning til NIS 2-lovens bemærkninger, og opgaven varetages af netsikkerhedstjenesten. Det er bemærkningernes gengivelse; selve indberetningspligten står i forordningen.
Hvordan jeres arbejdsgang til indberetning holder, står i indberetningspligten, der gælder nu.
Hvad styrelsen selv skriver
Styrelsen for Samfundssikkerhed har en side om CRA, som beskriver forordningen og datoerne og giver en adresse til spørgsmål om implementeringen. Siden nævnte ikke lovudkastet, da den blev læst 13. november 2026. Der findes ingen dansk tilsynspraksis endnu, og ingen afgørelser at læse.
Hvad I kan gøre, mens loven mangler
Forordningens pligter står fast, uanset hvordan den danske lov ender. Fra 11. december 2027 skal en fabrikant efter begrundet anmodning give myndigheden alle oplysninger og al dokumentation, der viser, at produktet opfylder bilag I (artikel 13, stk. 22). Det er den pligt, et kommende tilsyn vil bygge på.
En gennemgang kan derfor tage udgangspunkt i spørgsmålet: Hvis en dansk myndighed bad om dokumentationen for et bestemt produkt i dag, hvem ville finde den, og hvor lang tid ville det tage? Det er praksis og ikke et lovkrav at øve det, men svaret siger meget om, hvor I står. Hvad myndigheden efter udkastet kan kræve adgang til, gennemgår tilsyn hos et softwarehus.
Følg også lovforslaget, når det fremsættes. Det kan være ændret i forhold til høringsudkastet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen i virksomheden holder øje med, om lovforslaget fremsættes, og læser den fremsatte tekst. Det kræver også, at I ved, hvilke af jeres produkter der falder ind under tilsynet, og om nogle er AI-systemer, der hører under en anden myndighed.
Lader I være, risikerer I at bygge interne procedurer på paragraffer, der er ændret, eller at kende den forkerte myndighed den dag, et spørgsmål kommer.
Det skal I lade være med
- At omtale udkastet som gældende lov · det var ikke fremsat 13. november 2026.
- At vente med indberetningsberedskabet til den danske lov · indberetningen efter artikel 14 er allerede en pligt.
- At citere kapitelnumre fra udkastet · nummereringen springer et kapitel over og kan ændres.
Det skal auditten kunne vise
- ☐ En dateret note om lovforslagets status og den version, I har læst.
- ☐ En liste over produkter, der hører under Styrelsen for Samfundssikkerhed, og eventuelle AI-systemer, der hører under en anden myndighed.
- ☐ En navngiven person, der kan svare en markedsovervågningsmyndighed.
- ☐ En arbejdsgang til indberetning efter artikel 14, som allerede er i brug.
Kilder
- Ministeriet for Samfundssikkerhed og Beredskab, udkast til forslag til lov om supplerende bestemmelser til forordningen om cyberrobusthed, høringsversion 5. oktober 2026, §§ 3-6, 15-16, 18-19 og bemærkningerne, læst 13. november 2026.
- Folketingets åbne data, sagsoversigt, opslag på “cyberrobust” i sagstitler, læst 13. november 2026.
- Forordning (EU) 2024/2847, artikel 13, stk. 22, 14, 36, 52, 59, 60 og 71, læst 13. november 2026.
- Styrelsen for Samfundssikkerhed, CRA, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvem i virksomheden der svarer en markedsovervågningsmyndighed, og hvor dokumentationen for hvert produkt ligger.
Læs også: Koordinerede kontrolaktioner · Hvad sker der med det, I udleverer?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
