[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:da:hvornaar-starter-cra-s-24-timers-ur-at-faa-kendskab":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"da","hvornaar-starter-cra-s-24-timers-ur-at-faa-kendskab","Hvornår starter CRA's 24-timers ur? \\\"At få kendskab\\\", efter Kommissionens vejledning","De 24 og 72 timer løber fra det øjeblik, fabrikanten \\\"får kendskab\\\", og forordningen siger aldrig, hvad det betyder. Kommissionens vejledning af 27. juli 2026 gør det, i punkt 211 til 218: en rimelig grad af sikkerhed efter en indledende vurdering, overtaget ord for ord fra NIS2-gennemførelsesforordningen og GDPR-retningslinjerne om databrud. Hvad det gør en kundemail, en scanneralarm, en listet CVE i en komponent, en bug bounty-zero-day og en sårbarhed, I kendte før den 11. september, til.","2026-09-11","\nArtikel 14(2)(a) i Cyber Resilience Act, forordning (EU) 2024\u002F2847, giver en fabrikant 24 timer, \"efter at fabrikanten har fået kendskab til den aktivt udnyttede sårbarhed\", til at indgive en tidlig varsling, og artikel 14(4)(a) siger det samme for en alvorlig hændelse. 72-timersanmeldelsen løber fra det samme øjeblik. Alt, en fabrikant bliver bedømt på i de første tre dage af en hændelse, afhænger af, hvornår det øjeblik var, og forordningen definerer det ikke. Den definerer det, man skal have kendskab til: Artikel 3(42) siger, at en aktivt udnyttet sårbarhed er en, \"for hvilken der foreligger pålidelig dokumentation for, at en ondsindet aktør har udnyttet den i et system uden tilladelse fra systemets ejer\". Den siger ikke, hvornår pålidelig dokumentation bliver til kendskab.\n\nKommissionens vejledning om anvendelsen af forordningen, C(2026) 5252 af 27. juli 2026, gør det, i afsnit 9.1, punkt 211 til 218. Denne artikel er de otte punkter, med de to ældre tekster, de er overtaget fra, anvendt på de fem måder, en fabrikant faktisk finder ud af det på.\n\n## Testen: en rimelig grad af sikkerhed efter en indledende vurdering\n\nPunkt 213 er den afgørende sætning. En fabrikant, der opdager en mistænkelig begivenhed, eller får den bragt til sit kendskab af \"en enkeltperson, en kunde, en enhed, en myndighed, en medieorganisation eller en anden kilde\", \"bør straks vurdere den mistænkelige begivenhed for at afgøre, om den udgør en aktivt udnyttet sårbarhed eller en alvorlig hændelse\", og:\n\n> Fabrikanten skal derfor anses for at have fået kendskab, når den efter en sådan indledende vurdering har en rimelig grad af sikkerhed for, at (i) en sårbarhed i dens produkt med digitale elementer udnyttes aktivt, eller (ii) en alvorlig hændelse har fundet sted og har ført til, at sikkerheden i dens produkt med digitale elementer er blevet kompromitteret.\n\nTre ting følger, og punkt 214 udtaler to af dem. Øjeblikket er ikke det første signal: \"Det tidspunkt, hvor en fabrikant kan anses for at have kendskab, vil afhænge af omstændighederne\", og \"i andre tilfælde kan det tage noget tid at fastslå, om et produkt med digitale elementer er berørt af en sårbarhed, og om denne sårbarhed udnyttes af en ondsindet aktør\". Vurderingen er hverken valgfri eller langsom: \"Vægten bør lægges på hurtig handling for at gennemføre den indledende vurdering og afgøre, om betingelserne faktisk er opfyldt, navnlig hvor sårbarheden kan udgøre en betydelig risiko.\" Og, fra punkt 215, det forventes ikke, at I ved alt i time 24: Strukturen i tre trin \"kræver, at fabrikanter opdaterer deres anmeldelser gradvist, efterhånden som deres interne undersøgelser skrider frem\".\n\nUret starter altså hverken, når mailen kommer, eller når efterforskningen er færdig. Det starter, når en hurtig indledende vurdering når en rimelig sikkerhed for, at jeres produkt udnyttes, eller at en alvorlig hændelse har kompromitteret dets sikkerhed. Ordet, der bærer det hele, er \"hurtig\", og det er derfor, vurderingen skal være en procedure med et starttidspunkt og en ansvarlig frem for et møde, nogen vil indkalde til.\n\n## Hvor ordene kommer fra\n\nPunkt 212 siger, at vejledningen \"er afstemt med betragtning 31 i Kommissionens gennemførelsesforordning (EU) 2024\u002F2690 og afsnit II(A) i retningslinjerne 9\u002F2022 om anmeldelse af brud på persondatasikkerheden efter GDPR\". Den afstemning er ikke løs. Betragtning 31 i NIS2-gennemførelsesforordningen lyder: Når en enhed \"har opdaget en mistænkelig begivenhed, eller efter at en potentiel hændelse er blevet bragt til dens kendskab af en tredjepart, såsom en enkeltperson, en kunde, en enhed, en myndighed, en medieorganisation eller en anden kilde, bør den relevante enhed rettidigt vurdere den mistænkelige begivenhed\", og den \"skal derfor anses for at have fået 'kendskab' til den væsentlige hændelse, når enheden efter en sådan indledende vurdering har en rimelig grad af sikkerhed for, at en væsentlig hændelse har fundet sted\". Databeskyttelsesrådets retningslinjer om brud siger i punkt 31, at en dataansvarlig \"skal anses for at have fået 'kendskab', når den dataansvarlige har en rimelig grad af sikkerhed for, at der er sket en sikkerhedshændelse, som har ført til, at personoplysninger er blevet kompromitteret\", og punkt 34 tillader \"en kort undersøgelsesperiode\", hvor den dataansvarlige \"ikke kan anses for at have 'kendskab'\", forudsat at undersøgelsen \"bør begynde så hurtigt som muligt\".\n\nDen praktiske konsekvens er stor for en virksomhed, der allerede har en GDPR-procedure for databrud, hvilket er enhver virksomhed med kunder. CRA-udløseren er den samme udløser, anvendt på produktsikkerhed i stedet for personoplysninger. Proceduren, vurderingen, de to tidsstempler og den person, der beslutter, kan være de samme, og en virksomhed, der også anmelder under NIS2, har tre forpligtelser kørende på én definition.\n\n## Fem måder, I finder ud af det på, og hvad hver sætter i gang\n\nKommissionens FAQ om gennemførelsen, version 1.4 af 4. september 2026, afsnit 5.1, opregner, hvordan en fabrikant kan få kendskab, uden at kræve, at den overvåger nogen af kanalerne: en kunde eller partner, der melder om usædvanlig aktivitet, trusselsefterretninger, en myndigheds underretning, en etisk hackers rapport, fabrikantens egen telemetri, scanninger eller honeypots. Læst sammen med vejledningen er hvert signal en \"mistænkelig begivenhed\", der starter vurderingen, ikke uret.\n\n**En mail fra en kunde.** Vurderingen begynder, når mailen læses, og den skal være øjeblikkelig. Er kundens dokumentation det, definitionen kalder pålidelig, kan vurderingen tage en time, og så starter uret. Et hold, der lader mailen ligge til mandag, flytter ikke uret til mandag: \"hurtig handling\" i punkt 214 er den målestok, en markedsovervågningsmyndighed vil holde tidslinjen op imod, og det eneste forsvar er en registrering, der viser, hvornår vurderingen begyndte, hvem der udførte den, og hvad den konkluderede.\n\n**En scanneralarm om, at en komponents CVE står på en liste over udnyttede sårbarheder.** Det er det tilfælde, de fleste softwarevirksomheder møder først, og punkt 218 besvarer det. En fabrikant anmelder en aktivt udnyttet sårbarhed, \"der er indeholdt i dens produkt\". Ved den, at en tredjepartskomponent indeholder en sårbarhed, som \"enten (i) ikke kan udnyttes i dens produkt med digitale elementer (f.eks. fordi den sårbare kode ikke kan nås) eller (ii) ikke er blevet udnyttet i dens produkt med digitale elementer, udgør denne sårbarhed ikke en aktivt udnyttet sårbarhed indeholdt i dens produkt med digitale elementer og er derfor ikke omfattet af obligatorisk anmeldelse for denne fabrikant\". En listning er altså en mistænkelig begivenhed. Vurderingen stiller to spørgsmål: Kan den sårbare kode nås i vores produkt, og er der pålidelig dokumentation for, at den udnyttes i vores produkt, ikke kun i en andens. Rimelig sikkerhed for begge starter uret; rimelig sikkerhed imod et af dem afslutter sagen som obligatorisk anmeldelse og efterlader den frivillige vej i artikel 15 og pligten efter artikel 13(6) til at melde sårbarheden opstrøms til komponentens vedligeholder. FAQ'ens afsnit 5.4 tilføjer, at komponentens egen fabrikant, hvis komponenten er bragt i omsætning særskilt, også anmelder den.\n\n**En zero-day fra et bug bounty eller et testlaboratorium.** Ikke en aktivt udnyttet sårbarhed og ikke en obligatorisk anmeldelse. FAQ 5.2: En zero-day, \"der er opdaget af etiske hackere, for hvilken der ikke er dokumentation for tidligere ondsindet udnyttelse, og som oplyses til produktets fabrikant som led i dens bug bounty-program\", er ikke omfattet af obligatorisk anmeldelse, og det er en, der findes af \"et cybersikkerhedsvurderingslaboratorium, der udfører test på vegne af fabrikanten\", heller ikke. Betragtning 68 siger det samme om forskning i god tro. Pligterne til sårbarhedshåndtering i bilag I, del II, gælder stadig fuldt ud; anmeldelsen gør ikke.\n\n**En sårbarhed, I kendte før den 11. september 2026.** Punkt 217 trækker grænsen ved udnyttelsen, ikke ved sårbarheden. En fabrikant \"er ikke forpligtet til at anmelde sårbarheder, hvis aktive udnyttelse den allerede havde fået kendskab til før den 11. september 2026\". Men \"forpligtelsen gælder, hvor fabrikanten kendte til en sårbarhed før den 11. september 2026, men ikke på det tidspunkt havde kendskab til nogen aktiv udnyttelse af den\". Sker udnyttelsen, eller får I kendskab til den, efter den dato, starter uret den dag, I får det at vide. En gammel sårbarhed er ikke et forsvar; gammelt kendskab til dens udnyttelse er.\n\n**En alvorlig hændelse.** Det andet led i punkt 213: rimelig sikkerhed for, at \"en alvorlig hændelse har fundet sted og har ført til, at sikkerheden i dens produkt med digitale elementer er blevet kompromitteret\". Om en hændelse er alvorlig, afgør artikel 14(5): Den påvirker eller kan påvirke produktets evne til at beskytte tilgængeligheden, autenticiteten, integriteten eller fortroligheden af følsomme eller vigtige data eller funktioner, eller den har ført til eller kan føre til, at ondsindet kode indføres eller udføres i produktet eller i en brugers systemer. Et nedbrud, der ikke rører nogen af delene, er en hændelse, men ikke en anmeldelse. Vurderingen har derfor et tredje spørgsmål ved hændelser: Hvilket af de to led i artikel 14(5) er opfyldt, og svaret hører hjemme i feltet for indledende vurdering i 72-timersanmeldelsen.\n\n## Pligtens rækkevidde er bredere end resten af forordningen\n\nPunkt 210 gør to pointer, der overrasker. Artikel 14 gælder fra den 11. september 2026 for ethvert produkt med digitale elementer inden for anvendelsesområdet, \"herunder produkter med digitale elementer bragt i omsætning før den 11. december 2027\". Og anmeldelsespligten overlever supportperioden: \"I modsætning til forpligtelserne til sårbarhedshåndtering, som kun fortsætter i længden af et produkts supportperiode, gælder anmeldelsesforpligtelserne fortsat, efter at et produkt med digitale elementer ikke længere understøttes.\" For et produkt bragt i omsætning før december 2027 eller med udløbet supportperiode skal fabrikanten stadig anmelde, men \"er ikke forpligtet til at overholde forpligtelserne til sårbarhedshåndtering i bilag I, del II\". FAQ'en, 5.3, anerkender, at fabrikanten for gamle produkter \"måske ikke er i stand til at undersøge sådanne sårbarheder\", fordi byggemiljøer og medarbejdere er væk, og siger, at anmeldelsen stadig skyldes.\n\n## Efter anmeldelsen: brugerne, og hvad der ikke skal offentliggøres\n\nPunkt 219 til 221 vedrører artikel 14(8), pligten til at underrette berørte brugere \"og, hvor det er relevant, alle brugere\". Vejledningen læser den risikobaseret: At underrette brugere \"indebærer ikke, at sådanne oplysninger skal offentliggøres eller videregives i flæng\", og fabrikanter \"kan begrænse videregivelsen af detaljerede oplysninger til de relevante berørte brugere eller kunder\", navnlig for produkter, \"der anvendes i følsomme eller væsentlige miljøer, hvor offentliggørelse af tekniske detaljer i sig selv kunne øge cybersikkerhedsrisiciene\". Bredere offentliggørelse \"kan være passende\", når sårbarheden er afhjulpet, og bilag I, del II, punkt 4, kræver offentliggørelse af rettede sårbarheder, når sikkerhedsopdateringen er ude. Det CSIRT, der modtog anmeldelsen, kan selv underrette brugerne, hvis fabrikanten ikke gør det rettidigt.\n\n## Hvad I skriver ned, før I får brug for det\n\nVejledningen gør \"fået kendskab\" til en konstatering frem for et faktum, og konstateringer kræver en procedure. Én side er nok.\n\n1. **Hvad der tæller som en mistænkelig begivenhed.** FAQ'ens liste plus jeres egne kanaler: den sikkerhedskontaktadresse, bilag I kræver, scanneren, kundesupportkøen, nyhederne.\n2. **Hvem der udfører den indledende vurdering, og hvornår den skal være færdig.** En navngiven person og en stedfortræder, og et loft over vurderingen målt i timer. \"Straks\" og \"hurtig\" er Kommissionens ord; et loft, I sætter og holder, er måden at vise, at I overholdt dem.\n3. **De to spørgsmål, i Kommissionens ordlyd.** Ved en sårbarhed: Er den i vores produkt og kan den nås, og er der pålidelig dokumentation for udnyttelse i vores produkt. Ved en hændelse: Har den fundet sted, har den kompromitteret produktets sikkerhed, og hvilket led i artikel 14(5) gælder.\n4. **To tidsstempler, begge i UTC.** Hvornår den mistænkelige begivenhed blev opdaget eller modtaget, og hvornår vurderingen nåede rimelig sikkerhed. Det andet er \"fået kendskab\" og starter uret; det første, og afstanden mellem dem, er det, der viser, at vurderingen var hurtig. Anmeldelsesplatformen spørger om det andet og får for en sårbarhed først feltet i en senere udgave, så jeres egen registrering er den eneste, der findes på dagen.\n5. **Hvem der underskriver konstateringen, og hvor den arkiveres.** Den person, der beslutter, at rimelig sikkerhed er nået, og den registrering, markedsovervågningsmyndigheden vil læse, hvis tidslinjen nogensinde anfægtes.\n\nDen registrering er, hvad StandardOS' CRA-anmeldelseshændelse er: en afgørelse om anvendelsesområde, den navngivne anmelder og stedfortræder, den koordinator, der skal vælges, et tidsstempel for kendskab med begrundelsen ved siden af, og de tre frister beregnet ud fra det i forordningens termer frem for platformens. [Siden med frister](\u002Fcyber-resilience-act\u002Freporting-deadlines) beregner dem for enhver; [hvordan platformen derefter tager imod anmeldelsen](\u002Farticles\u002Fhow-to-file-a-cra-notification-on-enisa-s-single-reporting-platform), er den næste artikel, og [hvilken koordinator der modtager den](\u002Farticles\u002Fwhich-csirt-do-you-report-to-under-cra-article-14), den forrige.\n\n## Kilder\n\n- Forordning (EU) 2024\u002F2847, artikel 3(42), artikel 13(6), artikel 14(1) til (5) og (8), artikel 15, artikel 69(3), betragtning 68.\n- Europa-Kommissionen, Kommissionens vejledning om anvendelsen af forordning (EU) 2024\u002F2847, C(2026) 5252 final af 27. juli 2026, bilag, afsnit 9.1 punkt 209 til 221 og afsnit 9.2.\n- Europa-Kommissionen, FAQ om Cyber Resilience Act, version 1.4 af 4. september 2026, afsnit 5.1 til 5.5.\n- Kommissionens gennemførelsesforordning (EU) 2024\u002F2690, betragtning 31.\n- Det Europæiske Databeskyttelsesråd, retningslinjer 9\u002F2022 om anmeldelse af brud på persondatasikkerheden efter GDPR, version 2.0, punkt 31 til 34.\n\nDette er ikke juridisk rådgivning. Vejledningens otte punkter læses på ti minutter, og artikelnumrene ovenfor står der, så I kan gøre det.\n",1789383977088]