Enhver artikel om Cyber Resilience Act, forordning (EU) 2024/2847, inklusive vores egne, fortæller fabrikanter, hvad de skal have på plads. Det er rimeligt at kræve det samme af det maskineri, forordningen bygger på: de organer, der certificerer, de standarder, der giver en formodning om overensstemmelse, de myndigheder, der håndhæver, de CSIRT'er, der modtager anmeldelser. Vi læste Kommissionens registre den dag, den første pligt gjaldt, og dagen efter. Det stod der.

Bemyndigede organer: ingen

Artikel 32 sender vigtige og kritiske produkter til et bemyndiget organ til EU-typeafprøvning eller fuld kvalitetssikring, medmindre en harmoniseret standard anvendes fuldt ud. Bemyndigede organer udpeges af medlemsstaternes bemyndigende myndigheder og opføres i Kommissionens NANDO-database, nu en del af Single Market Compliance Space.

Den 12. september 2026 gav listen over organer bemyndiget under forordning (EU) 2024/2847 med aktiv bemyndigelse nul resultater. Forordningen står på listen over lovgivning, et organ kan bemyndiges til, og tretten medlemsstater har registreret en bemyndigende myndighed, der kunne bemyndige et. Ingen har gjort det.

For en fabrikant af et klasse I-, klasse II- eller kritisk produkt betyder det, at der for nuværende ikke er nogen at sende en ansøgning til. Kommissionens eget mål, gentaget i dens vejledning fra 2026, er kapacitet hos bemyndigede organer inden december 2026; pligten til at have brugt et falder den 11. december 2027.

Harmoniserede standarder: ingen offentliggjort

Artikel 27 giver formodning om overensstemmelse for produkter, der anvender harmoniserede standarder, hvis referencer er offentliggjort i EU-Tidende. Artikel 32, stk. 2, gør disse standarder til betingelsen for, at et klasse I-produkt kan vurdere sig selv.

Pr. september 2026 er ingen harmoniseret standard under CRA offentliggjort i EU-Tidende. Kommissionens ændring fra juli 2026 af standardiseringsanmodningen flyttede de to centrale horisontale standarder til et mål den 31. oktober 2026, de vertikale standarder til den 31. december 2026 og de resterende horisontale til oktober 2027, omkring et år før den fulde anvendelse. Indtil offentliggørelsen besvares bilag VII, punkt 5, ved at beskrive de valgte løsninger, krav for krav, og et klasse I-produkt har ingen vej til selvvurdering.

Håndhævere: syv ud af 27

Artikel 52, stk. 2, kræver, at hver medlemsstat udpeger en markedsovervågningsmyndighed og registrerer den hos Kommissionen. Den 11. september 2026 havde syv gjort det: Belgien, Cypern, Finland, Frankrig, Tyskland, Letland og Slovakiet. Tretten havde registreret en bemyndigende myndighed. Tolv havde registreret ingen af delene. Registret, stat for stat.

Koordinerende CSIRT'er: listet dagen før

Artikel 14 sender anmeldelser til det CSIRT, der er udpeget som koordinator efter NIS2 artikel 12(1). ENISA offentliggjorde listen over udpegede koordinatorer den 10. september, dagen før pligten begyndte at gælde, og i to af de 27 stater er koordinatoren ikke det nationale CSIRT, CSIRT-netværket anfører: i Tjekkiet er det NÚKIB, i Kroatien NCSC-HR. Listen, stat for stat. Den fælles anmeldelsesplatform beder anmelderen vælge koordinatoren fra en rulleliste, og ENISA siger, at en anmeldelse indgivet til den forkerte kan blive erklæret ugyldig.

Platformen: åben

ENISA satte den fælles anmeldelsesplatforms første driftsversion i gang den 11. september 2026, den dag artikel 14 begyndte at gælde. Den kører på EU Login med tofaktorgodkendelse, som kan sættes op, før der er brug for det; ENISA beder fabrikanter om først at registrere sig på selve platformen, når de har en anmeldelse at indgive. Den findes kun på engelsk og har ingen API. Det er den ene del af maskineriet, der var klar på dagen, og hvordan den virker, felt for felt, er en selvstændig artikel.

Hvad det betyder for en fabrikant

Et standardprodukt er upåvirket. Selvvurdering efter bilag VIII, modul A, kræver hverken et bemyndiget organ eller en harmoniseret standard; de 22 krav opfyldes og dokumenteres på fabrikantens eget ansvar, og de tolv trin kan gennemføres i dag.

Et klasse I-produkt har endnu ingen vej, og det er værd at skrive ned. Artikel 32, stk. 2, kræver enten fuld anvendelse af en harmoniseret standard eller et bemyndiget organ; ingen af delene findes. Den ærlige registrering for et sådant produkt i september 2026 er en dokumentation bygget op imod bilag I med løsningerne beskrevet, en note om, at standarden og organet afventes, og et tjek hver måned. Når det første organ bemyndiges, bliver dets kø begrænsningen, hvilket er en grund til at have dokumentationen klar, før det er muligt at indsende den.

Anmeldelsespligten er fuldt i kraft. Ingen af hullerne ovenfor berører artikel 14. Platformen er åben, CSIRT'erne findes, og urene løber.

Vi holder tallene ovenfor under et gentjek hver tredive dage og opdaterer denne side, når de flytter sig; datoen øverst er den dato, de blev læst.

Kilder

  • Forordning (EU) 2024/2847, artikel 14, 27, 32, stk. 1 til 4, 36, 52, stk. 2, 71, stk. 2; bilag VIII.
  • Kommissionens Single Market Compliance Space: organer bemyndiget under forordning (EU) 2024/2847 med aktiv status (nul den 12. september 2026); markedsovervågningsmyndigheder og bemyndigende myndigheder filtreret til CRA (7 og 13 den 11. september 2026).
  • Kommissionens ændring fra juli 2026 af CRA-standardiseringsanmodningen for tidsplanen for harmoniserede standarder; EU-Tidende for fraværet af offentliggjorte referencer.
  • ENISA, "The CRA Single Reporting Platform is launched", pressemeddelelse af 11. september 2026.

Dette er ikke juridisk rådgivning, og det er tal læst på en dato; registrene er offentlige, så de aktuelle tal er ét klik væk.