Har en markedsovervågningsmyndighed grund til at tro, at jeres software udgør en væsentlig cybersikkerhedsrisiko, skal den evaluere produktet mod alle krav i forordningen. Finder den mangler, får I en frist til at rette dem, og først hvis fristen ikke holdes, kan myndigheden selv forbyde, begrænse eller trække produktet tilbage.
Forløbet står i artikel 54 til 56 og gælder fra 11. december 2027. Der er ingen praksis endnu. Artiklen følger teksten skridt for skridt set fra softwarehuset, der skal svare.
Hvad er en væsentlig cybersikkerhedsrisiko?
Definitionen står i artikel 3, nr. 38. Kort sagt er det en risiko, hvor de tekniske forhold gør det overvejende sandsynligt, at der sker en hændelse med alvorlige negative følger. Definitionen rummer altså to led, stor sandsynlighed og alvorlig indvirkning.
Artikel 54, stk. 1, nævner udtrykkeligt produktet “herunder dets sårbarhedshåndtering”. En svag proces for at håndtere sårbarheder kan altså i sig selv udløse en evaluering, selv om ingen konkret fejl er udnyttet.
Forløbet trin for trin
- 1 · Hvad der sker: Myndigheden har tilstrækkelig grund til at antage en væsentlig risiko og evaluerer produktet mod alle krav uden unødigt ophold, eventuelt sammen med CSIRT’en · Bestemmelse: Art. 54, stk. 1
- 2 · Hvad der sker: De erhvervsdrivende samarbejder med myndigheden · Bestemmelse: Art. 54, stk. 1
- 3 · Hvad der sker: Konstateres manglende overholdelse, pålægges den erhvervsdrivende straks at bringe produktet i overensstemmelse, trække det tilbage eller kalde det tilbage inden for en rimelig frist, fastsat efter risikoens art · Bestemmelse: Art. 54, stk. 1
- 4 · Hvad der sker: Rækker problemet ud over landet, underrettes Kommissionen og de andre lande, og den erhvervsdrivende træffer tiltag for alle produkter, der er gjort tilgængelige i EU · Bestemmelse: Art. 54, stk. 3-4
- 5 · Hvad der sker: Træffes der ikke tilstrækkelige tiltag inden fristen, træffer myndigheden foreløbige foranstaltninger: forbud, begrænsning, tilbagetrækning eller tilbagekaldelse · Bestemmelse: Art. 54, stk. 5
- 6 · Hvad der sker: Underretningen til de andre lande omfatter bl.a. de synspunkter, den erhvervsdrivende har fremsat · Bestemmelse: Art. 54, stk. 6
- 7 · Hvad der sker: Gør hverken et land eller Kommissionen indsigelse inden for tre måneder, anses foranstaltningen for berettiget, og alle lande træffer restriktive foranstaltninger · Bestemmelse: Art. 54, stk. 8-9
- 8 · Hvad der sker: Ved indsigelse evaluerer Kommissionen og træffer afgørelse senest ni måneder efter underretningen · Bestemmelse: Art. 55
Det bemyndigede organ, der eventuelt har deltaget i vurderingen, underrettes også efter artikel 54, stk. 1.
Kommissionen kan selv gå ind
Efter artikel 56 kan Kommissionen indlede proceduren, bl.a. på grundlag af oplysninger fra ENISA. I hastende tilfælde kan den selv evaluere og træffe foranstaltninger på EU-plan ved en gennemførelsesretsakt. For et softwarehus med kunder i mange lande betyder det, at sagen ikke nødvendigvis begynder hos den danske myndighed.
Jeres egen pligt kommer først
Forordningen venter ikke på myndigheden. Artikel 13, stk. 21, pålægger fabrikanten at rette op omgående, så snart den kender til en manglende overensstemmelse i produkt eller proces, eller har grund til at formode den. Kommissionens tjenestegrene skriver i deres FAQ, at tilbagetrækning eller tilbagekaldelse sandsynligvis vil være undtagelser.
FAQ-svaret er vejledning uden bindende kraft. Det peger dog på, at de fleste sager efter forordningens logik bør løses med en rettelse, før myndigheden når til foreløbige foranstaltninger. Hvad tilbagetrækning af en version konkret indebærer, når en sårbarhed ikke kan rettes, står i når sårbarheden ikke kan rettes.
Jeres synspunkter tæller
Artikel 54, stk. 6, sikrer, at de andre lande får jeres synspunkter at se, når myndigheden underretter dem. Det er en grund til at svare skriftligt, sagligt og med dokumentation. Efter stk. 8 berøres jeres procedurerettigheder efter artikel 18 i markedsovervågningsforordningen (EU) 2019/1020 ikke af reglen om tre måneders indsigelse.
En gennemgang kan se på, om I er i stand til at levere et sådant svar inden for en kort frist. Det er praksis. Forordningen siger ikke, hvor lang den rimelige frist er; den fastsættes efter risikoens art.
Hvad en frist kræver i praksis
En frist til at bringe software i overensstemmelse forudsætter, at I kan:
- finde de versioner, der er gjort tilgængelige i EU, og hvem der har dem,
- lave og distribuere en rettelse til alle understøttede versioner,
- dokumentere, hvad der er gjort, og for hvilke versioner.
Listen er praksis, og artikel 54 nævner den ikke. Den viser, hvad “træffe tiltag for alle produkter, der er gjort tilgængelige i EU” betyder for software, der findes i mange versioner hos mange kunder. Sporet over versioner og udgivelsesdatoer er også grundlaget for meget andet i forordningen, se hvornår softwaren er bragt i omsætning.
Når kunden er en væsentlig enhed
Artikel 54 er ikke den eneste vej til et indgreb. Artikel 57 giver myndigheden mulighed for at gribe ind over for et produkt, der faktisk overholder forordningen, hvis det alligevel udgør en væsentlig cybersikkerhedsrisiko og en risiko for fx sundhed, grundlæggende rettigheder eller tjenester hos væsentlige enheder efter NIS 2. Den vej forudsætter, at myndigheden først har evalueret produktet efter artikel 54. Den er beskrevet i artiklen om produkter, der overholder kravene, men alligevel udgør en risiko.
For et softwarehus, der leverer til hospitaler, forsyning eller transport, betyder det, at kundernes betydning kan indgå i myndighedens vurdering. Hvor stor vægt den får, kan ingen sige endnu. Forordningen har ingen eksempler, og der er ingen afgørelser.
Hvad det kræver, og hvad det koster at lade være
Det kræver et register over versioner og kunder, en distributionskanal for rettelser, der virker, og en person, der kan føre en skriftlig dialog med en myndighed. Det kræver også, at sårbarhedshåndteringen er dokumenteret, fordi den selv kan være genstand for evalueringen.
Uden det bliver fristen svær at holde. Næste trin er da foreløbige foranstaltninger, som efter tre måneder uden indsigelse gælder i alle lande.
Det skal I lade være med
- At vente på myndigheden, når I selv har set en manglende overensstemmelse · artikel 13, stk. 21, kræver handling omgående.
- At undervurdere sårbarhedshåndteringen · den er nævnt i artikel 54 som en del af produktet.
- At svare mundtligt og uden dokumentation · jeres synspunkter går videre til de andre lande.
Det skal auditten kunne vise
- ☐ Et register over versioner, der er gjort tilgængelige i EU, med kunder eller kanaler.
- ☐ En afprøvet vej til at distribuere en rettelse til alle understøttede versioner.
- ☐ En arbejdsgang for korrigerende foranstaltninger efter artikel 13, stk. 21.
- ☐ En ansvarlig for skriftlig dialog med markedsovervågningsmyndigheden.
Kilder
- Forordning (EU) 2024/2847, artikel 3, nr. 38, artikel 13, stk. 21, og artikel 54-56, læst 13. november 2026.
- Europa-Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4, afsnit 4.3.4, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Prøv at svare på, hvilke versioner af jeres vigtigste produkt der er i brug i EU, og hvor hurtigt en rettelse kan nå dem alle.
Læs også: Bøder og straf · Koordinerede kontrolaktioner
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
