For et softwarehus med et produkt, der er omfattet af Cyber Resilience Act, er forordningen ikke længere noget, der ligger ude i fremtiden. Svaret på, hvad der gælder hvornår, hviler på forordning (EU) 2024/2847 og Kommissionens egne sider om den: indberetning af aktivt udnyttede sårbarheder og alvorlige hændelser gælder fra den 11. september 2026, mens kravene til selve produktet og til håndteringen af sårbarheder gælder fra den 11. december 2027. Perioden imellem er tiden til at få en sårbarhedsproces, der virker, og til at kunne vise det, blandt andet med test.
Om produktet overhovedet er omfattet, og hvordan en ren SaaS-tjeneste står, er gennemgået for sig. → Cyber Resilience Act: hvad softwarehuse skal holde øje med Teksten er ikke juridisk rådgivning.
Tidslinjen i fire datoer
Kommissionen opgiver disse datoer for forordningen:
- 10. december 2024 · forordningen trådte i kraft.
- 11. juni 2026 · reglerne om bemyndigelse af overensstemmelsesvurderingsorganer i kapitel IV finder anvendelse.
- 11. september 2026 · fabrikanternes indberetningspligt i artikel 14 finder anvendelse.
- 11. december 2027 · forordningen finder anvendelse i sin helhed.
Efter Kommissionens opsummering er produkter, der er bragt i omsætning før den 11. december 2027, kun omfattet af forordningens øvrige krav, hvis de fra den dato ændres væsentligt. Indberetningspligten gælder derimod for alle omfattede produkter, der er gjort tilgængelige på EU-markedet, også dem, der kom på markedet før. Det betyder, at en ældre version, der stadig har kunder, kan være med i indberetningen allerede nu. → En gammel version, der stadig har kunder
Det, der gælder nu: indberetning
Siden den 11. september 2026 skal en fabrikant, der får kendskab til en aktivt udnyttet sårbarhed i sit produkt eller en alvorlig hændelse, der påvirker produktets sikkerhed, indberette det. Ifølge Kommissionen sker det via ENISA’s fælles indberetningsplatform, som blev sat i drift samme dato. Indberetningen går til CSIRT’en i den medlemsstat, hvor fabrikanten har sit hovedsæde, og som udgangspunkt samtidig til ENISA.
Fristerne er trinvise: en tidlig varsling inden for 24 timer, en egentlig meddelelse inden for 72 timer og en endelig rapport. For en aktivt udnyttet sårbarhed skal den endelige rapport foreligge senest 14 dage efter, at en afhjælpende foranstaltning er tilgængelig. For en alvorlig hændelse er fristen en måned efter meddelelsen.
Styrelsen for Samfundssikkerhed er den danske indgang til forordningen og beskriver, at en sårbarhed er aktivt udnyttet, når der er pålidelig dokumentation for, at en ondsindet aktør har udnyttet den. Det er den skelnen, jeres proces skal kunne lave hurtigt.
Testfund eller aktivt udnyttet sårbarhed
En pentest finder svagheder, men testeren er ikke en ondsindet aktør, og fundet er ikke i sig selv dokumentation for, at nogen har udnyttet det. Omvendt kan en pentest eller en kundes egen test sætte gang i en undersøgelse, der viser spor af reelt misbrug. Så skifter sagen karakter, og fristerne begynder at løbe fra det tidspunkt, I får kendskab til udnyttelsen.
Derfor bør modtagelsen af sårbarheder være én indgang med én vurdering, uanset om meldingen kommer fra en testrapport, en forsker, en kunde eller jeres egen overvågning. Hvem vurderer? Hvem kan beslutte, at der skal indberettes? Hvem skriver til kunderne? Svarene skal være kendt, før det haster. → Ansvarlig offentliggørelse
Fra 11. december 2027: håndtering som krav
Når forordningen finder fuld anvendelse, skal et omfattet produkt opfylde de væsentlige cybersikkerhedskrav i bilag I, og fabrikanten skal håndtere sårbarheder efter bilagets del II i hele supportperioden. Kommissionen beskriver, at fabrikanten selv fastsætter supportperioden, og at slutdatoen skal oplyses klart ved købet.
Del II omfatter blandt andet en oversigt over produktets komponenter, afhjælpning med sikkerhedsopdateringer, en politik for koordineret offentliggørelse, en kontaktadresse til indberetning af sårbarheder og, i punkt 3, effektive og regelmæssige afprøvninger og gennemgange af produktets sikkerhed. → Open source og tredjepartskomponenter
Vær opmærksom på overgangen for ældre produkter. Et produkt, der allerede er på markedet, kan blive omfattet af de fulde krav, hvis det ændres væsentligt efter december 2027. Hvad der tæller som en væsentlig ændring, er en vurdering, I bør tage stilling til i release-planen, så en stor ny version ikke uventet trækker hele kravsættet med sig.
Test som dokumentation for, at processen virker
En proces på papir viser ikke, at den virker. Test kan her bruges på tre måder.
- Afprøvning af produktet · en pentest af en bestemt version er et eksempel på den regelmæssige afprøvning i del II, punkt 3, og rapporten kan indgå i den tekniske dokumentation. → Testrapporter i CRA-dokumentationen
- Retest af rettelser · en kontrol af, at fund er rettet i en ny version, viser sammenhængen mellem fund, rettelse og udgivet opdatering. → Retest efter rettelser i en ny release
- Øvelse af indberetningen · en gennemspilning af et tænkt forløb, hvor en kunde melder misbrug, viser, om vurdering, beslutning og indberetning kan nås inden for fristerne.
Et tænkt eksempel: et softwarehus leverer et installerbart lagerstyringssystem til grossister. Den årlige pentest af den nye version bliver arkiveret med version og dato, fundene får status i sagsstyringen, og retesten knyttes til den opdatering, der rettede dem. Samme år gennemspiller ledelse og udviklere en melding fra en kunde om mistænkelig aktivitet. Alle tre dele kan vises frem, hvis en kunde eller en myndighed spørger.
En arbejdsplan frem mod 2027
- ☐ Er det vurderet, hvilke produkter og versioner der er omfattet?
- ☐ Kan I indberette via den fælles platform i dag?
- ☐ Er der én indgang for sårbarheder og en navngiven beslutningstager?
- ☐ Er supportperioden fastlagt for hvert produkt?
- ☐ Findes der en komponentoversigt og en plan for opdateringer?
- ☐ Er test og retest planlagt og knyttet til versioner?
- ☐ Er indberetningsforløbet øvet mindst én gang?
Det skal I lade være med
- At vente til 2027 · indberetningen gælder allerede, også for ældre produkter på markedet.
- At indberette ethvert pentestfund · pligten gælder aktivt udnyttede sårbarheder og alvorlige hændelser.
- At lade testrapporten stå uden version · så kan den ikke knyttes til den opdatering, der rettede fundene.
- At sende kunderne en erklæring om, at I er CRA-klar · overensstemmelse er en vurdering, ikke en mærkat.
- At glemme supportperioden · den afgør, hvor længe sårbarheder skal håndteres.
Kunderne skal også have besked, når der er en rettelse, de skal installere. Den meddelelse er en del af håndteringen og bør ikke skrives første gang under en sag. → Sikkerhedsmeddelelse til kunderne
Hvad kan og ikke kan konkluderes
Datoerne er fastsat i forordningen, og Kommissionen og Styrelsen for Samfundssikkerhed gengiver dem ens. Indberetningspligten gælder nu, og kravene til produkt og sårbarhedshåndtering gælder fra december 2027. Hvad der præcist kræves af netop jeres produkt, afhænger af produktets klasse, jeres vurdering og eventuel vejledning fra Kommissionen og myndighederne. Test kan dokumentere, at afprøvning og opfølgning finder sted, men den viser ikke, at produktet opfylder forordningen.
Kilder
- Forordning (EU) 2024/2847 (Cyber Resilience Act): artikel 14 (indberetning), artikel 69 (produkter bragt i omsætning før 11. december 2027), artikel 71 (anvendelsesdatoer) og bilag I, del II (håndtering af sårbarheder, punkt 3 om regelmæssige afprøvninger).
- Europa-Kommissionen: Cyber Resilience Act: ikrafttræden 10. december 2024, indberetning fra 11. september 2026 og hovedforpligtelser fra 11. december 2027.
- Europa-Kommissionen: Summary of the legislative text: kapitel IV fra 11. juni 2026, ældre produkter og væsentlig ændring, indberetning for alle produkter på markedet og supportperioden.
- Europa-Kommissionen: Reporting obligations: frister, modtagere og ENISA’s fælles indberetningsplatform.
- Styrelsen for Samfundssikkerhed: Cyber Resilience Act: dansk myndighedsside med datoerne og forklaringen af en aktivt udnyttet sårbarhed.
Senest gennemgået: november 2026.
Næste skridt
Del af: Artikler om pentestrapporten
Læs også: Pligt til at underrette kunden om sårbarheder · Installation hos kunden
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest af SaaS hos Nielco IT
