...
Dansk tilsyn og sanktioner
Forordningen gælder direkte, men den danske lov skal udpege tilsynet, give det beføjelser og fastsætte, hvordan overtrædelser straffes. Et høringsudkast fra oktober 2026 peger på Styrelsen for Samfundssikkerhed som markedsovervågningsmyndighed. Pr. 13. november 2026 lå forslaget stadig ikke i Folketinget, og der findes endnu ingen dansk tilsynspraksis. Artiklerne her gengiver forordningen og udkastet, så et softwarehus ved, hvad tilsynet kan bede om, og hvad der sker, hvis noget ikke holder. De er ikke juridisk rådgivning.
Myndigheden og beføjelserne
- CRA-tilsyn i Danmark: Styrelsen for Samfundssikkerhed i lovudkastet fra oktober 2026 Udkastet paragraf for paragraf.
- Tilsyn hos et softwarehus: hvad markedsovervågningen kan bede om Oplysninger, produkter, miljøer og lokaler.
- Hvad sker der med det, I udleverer? Tavshedspligt, kildekode og aktindsigt Kildekode og indberetninger i myndighedens hænder.
- I sælger software i andre EU-lande: hvem fører tilsyn, og på hvilket sprog skal oplysningerne være? Nationale myndigheder og sprogkrav til oplysninger og erklæring, marked for marked.
Når noget ikke holder
- Formelle mangler: CE-mærke, erklæring og dokumentation, som tilsynet kan se udefra De seks mangler i artikel 58.
- Væsentlig cybersikkerhedsrisiko: fra evaluering til tilbagetrækning af software Forløbet efter artikel 54 til 56.
- Produktet overholder kravene, men udgør alligevel en risiko: artikel 57 og de ikke-tekniske faktorer Indgreb trods opfyldte krav.
- Bøder og straf efter CRA: tre niveauer i forordningen og en dansk model i udkastet Rammen og den danske vej.
- Koordinerede kontrolaktioner: når en hel produktkategori bliver set efter på tværs af EU Samtidige kontroller og køb under dækidentitet.
Sådan kommer I i gang
Forestil jer, at tilsynet beder om dokumentationen for et af jeres produkter med kort frist. Find ud af, hvem der modtager henvendelsen, hvor materialet ligger, og hvad der kan udleveres uden at vise mere kildekode end nødvendigt. Gå derefter de formelle mangler i artikel 58 igennem, for de kan konstateres udefra og er det letteste sted for en myndighed at begynde. Hvordan en virksomhed i øvrigt forbereder sig på et myndighedstilsyn, er beskrevet på sitet om sikkerhedsaudit.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kontaktperson for myndigheder og en samlet mappe pr. produkt. Bøderne i forordningen gælder fra 11. december 2027, og det danske udkast lader domstolene udmåle dem efter politianmeldelse. For et softwarehus kan et påbud om at trække en version tilbage fra markedet efter vores vurdering ramme hårdere end selve bøden.
Det skal I lade være med
- At vente på, at loven bliver vedtaget · forordningens krav gælder uanset.
- At udlevere hele kodelageret ved første henvendelse · aftal omfang og form.
- At afvise formelle mangler som småting · de er nemme at konstatere.
Det skal auditten kunne vise
- ☐ En navngivet kontaktperson for markedsovervågningen.
- ☐ Dokumentation pr. produkt, der kan udleveres inden for en kort frist.
- ☐ En kontrol af de formelle punkter i artikel 58 for hvert produkt.
- ☐ En procedure for tilbagetrækning af en version.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Produktansvar for software · Dokumentation, erklæring og mærkning
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
Skal jeres software gennemgås?
Skriv kort, hvilket produkt det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Gennemgangen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
