Når I kender til en sårbarhed, der udnyttes aktivt, eller en alvorlig hændelse i produktet, skal de berørte brugere have besked. Pligten står i artikel 14, stk. 8, har gældt siden 11. september 2026 og omfatter også produkter, der kom på markedet før december 2027.
Bestemmelsen er kort, og den rejser tre spørgsmål. Hvem skal have besked? Hvor meget skal der stå? Og hvad sker der, hvis I ikke når det?
Hvad bestemmelsen siger
Efter kendskab underretter fabrikanten de berørte brugere af produktet og, hvor det er relevant, alle brugere om sårbarheden eller hændelsen. Hvor det er nødvendigt, skal underretningen også omfatte foranstaltninger til risikobegrænsning og korrigerende foranstaltninger, som brugerne kan træffe. Underretningen sker, hvor det er relevant, i et struktureret, maskinlæsbart format, der er let at behandle automatisk.
Oplyser fabrikanten ikke brugerne rettidigt, kan de underrettede koordinerende CSIRT’er gøre det, når de anser det for forholdsmæssigt og nødvendigt.
Hvem der skal have besked
Udgangspunktet er de berørte brugere. Det er dem, der kører en version med sårbarheden, eller hvis installation er ramt af hændelsen. Ordene “hvor det er relevant, alle brugere” åbner for en bredere besked, når det ikke kan afgøres, hvem der er ramt, eller når hele brugerbasen har grund til at handle.
Hvem brugeren er, afhænger af produktet. Sælger I til virksomheder, er det typisk kundens IT-ansvarlige, der kan handle på beskeden. Den enkelte medarbejder ved skærmen kan sjældent installere en rettelse selv. Sælger I en forbrugerapp, er det den enkelte bruger, der skal nås, ofte gennem appen selv.
For at kunne underrette de berørte skal I vide, hvem de er. En kundeliste pr. produkt og version er derfor forudsætningen. Uden den bliver beskeden enten for bred eller for snæver. Registrene gennemgås i felterne i varsling og slutrapport.
Hvor meget der skal stå
Kommissionen forklarer i sin vejledning (punkt 219 til 221), at pligten anvendes risikobaseret og forholdsmæssigt. Den betyder ikke, at oplysningerne skal offentliggøres. Fabrikanten kan begrænse detaljerede oplysninger til de relevante brugere eller kunder, navnlig hvor tekniske detaljer kan øge risikoen. En bredere offentliggørelse kan være passende, når sårbarheden er afhjulpet.
Det giver et skel mellem to slags besked. Den første går til dem, der skal handle nu, og fortæller, hvad de skal gøre for at beskytte sig. Den anden kan komme senere, når en rettelse er ude, og kan være mere åben. Hvad der gælder for den senere offentliggørelse efter bilag I, del II, står i når rettelsen er ude.
Formatet
Forordningen nævner et struktureret, maskinlæsbart format, hvor det er relevant. Den angiver ikke, hvilket format. Der findes standardiserede formater til sikkerhedsmeddelelser, men intet af dem er gjort til krav i artikel 14, stk. 8. Ordene “hvor det er relevant” gør det desuden til en vurdering. For en forbrugerapp kan en besked i appen og en e-mail være det relevante. For en komponent, der integreres af andre softwarehuse, giver et maskinlæsbart format mere mening, fordi modtagerne selv skal behandle beskeden automatisk.
At vælge format efter modtageren er vores læsning af bestemmelsen og ikke en regel.
Når CSIRT’en overtager
Den del, der oftest overses, er sidste punktum. Når fabrikanten ikke oplyser brugerne rettidigt, kan de koordinerende CSIRT’er, der har fået underretningen, give brugerne oplysningerne selv. Det sker, når de anser det for forholdsmæssigt og nødvendigt.
Forordningen definerer ikke “rettidigt”. For et softwarehus betyder bestemmelsen, at kontrollen over budskabet kan gå tabt, hvis beskeden trækker ud. En besked fra en myndighed formuleres ud fra myndighedens behov, uden jeres kendskab til kunderne.
Ældre produkter
Kommissionens FAQ (punkt 5.3) bekræfter, at pligten i stk. 8 også gælder for produkter bragt i omsætning før 11. december 2027. Det gælder, selv om de øvrige krav ikke gælder for dem. Har I et ældre produkt, som ingen længere udvikler på, skal brugerne alligevel have besked, hvis en aktivt udnyttet sårbarhed dukker op. Situationen er beskrevet i produkter fra før 2027.
Hvad en gennemgang kigger efter
En gennemgang af punktet ser typisk på, om der findes skabeloner til beskeder, om kanalerne til brugerne er kendt pr. produkt, og om der står skrevet, hvem der godkender en besked. Det er også relevant, om skabelonerne skelner mellem den første, korte besked og en senere, fyldigere meddelelse. Metoden er praksis.
Hvad det kræver, og hvad det koster at lade være
Det kræver kundelister pr. produkt og version, kendte kanaler til brugerne og skabeloner, der kan tilpasses hurtigt. Det kræver også en klar beslutning om, hvem der godkender beskeden, så den ikke venter på et møde.
Uden forberedelsen kan beskeden komme for sent, og så kan CSIRT’en vælge at underrette brugerne selv. Kunderne hører da om problemet fra en myndighed før fra jer.
Det skal I lade være med
- At offentliggøre tekniske detaljer, før rettelsen er ude · Kommissionen peger på at begrænse dem til de relevante brugere.
- At skrive et bestemt format ind som lovkrav · forordningen nævner intet format ved navn.
- At glemme de ældre produkter · pligten gælder også dem.
Det skal auditten kunne vise
- ☐ Kundelister pr. produkt og version, der kan bruges til underretning.
- ☐ Kendte kanaler til brugerne for hvert produkt.
- ☐ Skabeloner til en kort første besked og en senere meddelelse.
- ☐ En navngiven godkender og en stedfortræder.
Kilder
- Forordning (EU) 2024/2847, dansk udgave, artikel 14, stk. 8, og artikel 69, stk. 3, læst 13. november 2026.
- Europa-Kommissionen, vejledning C(2026) 5252, punkt 219-221, læst 13. november 2026.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, punkt 5.3, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, om I kan trække en liste over brugere af én bestemt version af jeres vigtigste produkt i dag.
Læs også: Indberetningspligten gælder nu · Oplysninger og anvisninger til brugeren efter bilag II
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
