Nu i kraft . Rapporteringspligterne gælder siden 11. sep. 2026.
Fortæl os, hvad I sælger. Vi fortæller jer, hvad der gælder for det, og hvornår.
Eksempeldata
- Hvem det gælder for
- Enhver fabrikant, importør eller distributør af et produkt med digitale elementer, der bringes i omsætning i EU, software inklusive, uden størrelsestærskel.
- Datoerne
- Anmeldelsespligten i artikel 14 har været gældende siden den 11. september 2026, og resten af forordningen gælder fra den 11. december 2027.
- Det ene, der skal gøres
- Afgør for hvert produkt, I bringer i omsætning, om det er omfattet, skriv afgørelsen ned, og få anmeldelsesvejen på plads, før I får brug for den.
Bemyndigede organer
Kapitel IV: overensstemmelsesvurderingsorganer kan notificeres fra denne dato.
Indberetningspligt
Artikel 14: aktivt udnyttede sårbarheder og alvorlige hændelser indberettes fra denne dato, 24 timer til den tidlige varsling.
Alt det øvrige
De væsentlige krav, den tekniske dokumentation og CE-mærkningen gælder for ethvert produkt, der bringes i omsætning fra denne dato.
Overblik
111krav, hver med den bestemmelse, det hviler på
67koblet til ISO-afsnit eller -foranstaltninger
8sætter en frist i gang
Indberetningskæden i artikel 14, stk. 2
Send den tidlige varsling om sårbarheden inden for 24 timer
14(2)(a)
Send sårbarhedsanmeldelsen inden for 72 timer
14(2)(b)
Send den endelige rapport 14 dage efter rettelsen
14(2)(c)
Cyber Resilience Act, for en softwarefabrikant
Cyber Resilience Act når ethvert produkt med digitale elementer, der bringes i omsætning på EU-markedet: indberetningspligten i artikel 14 siden den 11. september 2026, resten fra den 11. december 2027.
Svar ovenfor for at læse afgørelsen for din situation; det fulde værktøj tager dine svar med.
Fortsæt i den gratis afgørelseDen fulde afgørelse besvarer hvert spørgsmål og gemmer læsningen som et dateret dokument for €29.
Teknisk CRA-dossier, lavet for jer: 2.900 €
Pakkens 11 dokumenter, udfyldt til jeres produkt.
Syv værktøjer, gratis, uden konto
- Gratis tjekEr jeres produkt omfattet, og på hvilket niveau?Seks spørgsmål fra artikel 2, artikel 3, betragtning 12 og bilag III og IV, med den tekniske beskrivelse af hver kategori og koordinatoren for jeres medlemsstat.
- Gratis tjekHver forpligtelse, efter rolleDe 111 rækker i forordningen, der binder en fabrikant, en importør, en distributør eller en forvalter af open source-software, med Den Europæiske Unions Tidendes ord, med en status pr. række og tjeklisten skrevet som dokument.
- BeregnerFristberegneren til artikel 14Fristerne på 24 timer, 72 timer og den endelige rapport for begge udløsere, med den endelige rapport forankret, hvor forordningen forankrer den, CSIRT-koordinatorerne i alle 27 stater og registret over håndhævende myndigheder.
- GuideHvor der anmeldes, efter medlemsstatVælg staten for jeres hovedforretningssted, og læs det CSIRT, der er udpeget som koordinator, dets kontaktside og de tre frister; én række pr. medlemsstat fra ENISA's liste, med læsedatoen.
- GuideDen tekniske dokumentation, bilag VII punkt for punktHvad dokumentationen skal indeholde, hvor mange af de 22 væsentlige krav et klasse I-produkt skal dokumentere mod en harmoniseret standard, der endnu ikke findes, og hvad StandardOS samler.
- KoblingBilag I kortlagt til ISO 27001Hvert af de 22 væsentlige krav over for de foranstaltninger i bilag A, der driver processen bag det, og de krav, som intet i bilag A leverer: SBOM'en, den offentlige oplysning, oplysningspolitikken, gratis opdateringer.
- GuideImportører og distributørerPligterne i artikel 19 til 21 for en virksomhed, der videresælger eller importerer et produkt med digitale elementer, og de tjek, der opfylder dem.
- Gratis tjekForbundne forbrugerprodukterEt produkt, en husstand køber: omfattet som udgangspunkt, og fem kategorier særskilt i bilag III klasse I.
- Gratis tjekIndustrielt og forbundet udstyrEn maskine, et drev, en styring eller en sensor er standardklasse; bilag III opregner net- og sikkerhedslaget omkring den.
- Gratis tjekIndlejret software og firmwareSoftware, der følger med et andet firmas produkt, er selv et produkt med digitale elementer, og der er ingen open source-undtagelse.
- Gratis tjekSoftware, du installererSoftware, der bringes i omsætning, bærer et CE-mærke, på erklæringen eller på webstedet. Logger kunderne kun ind, peger betragtning 12 på NIS2.
Hver gratis skabelon på én side
Tre datoer
- Gælder11. juni 2026
Kapitel IV: reglerne for bemyndigede organer, så overensstemmelsesvurderingsorganerne for vigtige og kritiske produkter kan udpeges. Den 13. oktober 2026 var der ingen.
- Gælder11. september 2026
Artikel 14: En aktivt udnyttet sårbarhed eller en alvorlig hændelse starter en tidlig varsling inden 24 timer, en anmeldelse inden 72 timer og en endelig rapport, indgivet på ENISA's fælles anmeldelsesplatform. Ethvert produkt inden for anvendelsesområdet, også dem, der allerede er på markedet.
- Gælder fra11. december 2027
Fuld anvendelse: de væsentlige krav i bilag I, overensstemmelsesvurderingen, den tekniske dokumentation, CE-mærkningen og supportperioden, for ethvert produkt bragt i omsætning fra den dag, og for ældre produkter, når de ændres væsentligt.
CRA og AI-forordningen, siden den 27. juli 2026
Et produkt med digitale elementer kan også være et højrisiko-AI-system efter artikel 6 i AI-forordningen. Artikel 12, stk. 1, i CRA og siden den 27. juli 2026 artikel 42, stk. 3, i den ændrede AI-forordning anser et sådant system for at overholde AI-forordningens cybersikkerhedskrav i artikel 15, når produktet opfylder kravene i bilag I, del I, fabrikantens processer opfylder del II, og beskyttelsesniveauet er påvist i EU-overensstemmelseserklæringen efter CRA. Én overensstemmelsesvurdering, efter artikel 43 i AI-forordningen, dækker begge.
Er jeres produkt også et højrisiko-AI-system? Afgørelsen, gratis
32 artikler, fra primærkilderne
Gælder den for jer, og hvor meget
- ArtikelEr dit produkt omfattet af Cyber Resilience Act? Hvor SaaS stårDet hyppigste CRA-spørgsmål er ikke, hvordan man anmelder, men om forordningen overhovedet gælder for jer.
- ArtikelHvornår er software \"bragt i omsætning\" efter CRA, og hvilken af jeres builds er et produkt? Vejledningens regel for selvstændig softwareAlt i CRA hænger på en dato og et navneord: den dato, et produkt bringes i omsætning, og om det, I udgiver, overhovedet er et produkt.
- ArtikelHvilke dele af jeres backend ligger inden for CRA? Fjerndatabehandling, efter Kommissionens vejledningEt produkt med digitale elementer omfatter sine fjerndatabehandlingsløsninger, og forordningen definerer dem i én sætning.
- ArtikelCRA eller NIS2: Hvilken gælder for en softwarevirksomhed, og kan det være begge?Cyber Resilience Act regulerer produkter, der bringes i omsætning; NIS2 regulerer enheder, der leverer tjenester.
- ArtikelGælder CRA for open source-software? Tre tilfælde, og den lette ordning for forvaltereCyber Resilience Act når fri og open source-software kun, når den leveres som led i en kommerciel aktivitet.
- ArtikelEr jeres open source-projekt \"kommercielt\" under CRA? Kommissionens syv tests, med dens eksemplerCRA når kun fri og open source-software, hvor den leveres som led i en kommerciel aktivitet, og forordningen overlader \"kommerciel\" til to betragtninger.
- ArtikelEr jeres produkt vigtigt eller kritisk under CRA? Standard, medmindre det er en af de 19, 4 eller 3 kategorier i bilag III og IVInden for CRA's anvendelsesområde er et produkt standard, vigtigt i klasse I (19 kategorier), vigtigt i klasse II (4) eller kritisk (3), og niveauet afgør, om I selv vurderer eller skal bruge et bemyndiget organ efter artikel 32.
- ArtikelStandard, vigtigt eller kritisk: de 26 tekniske beskrivelser i gennemførelsesforordning 2025/2392 og kernefunktionalitetstestenBilag III og IV til CRA nævner 26 produktkategorier på én linje hver.
- ArtikelHvad CRA kræver af importører og distributører, og hvornår den gør dem til fabrikantHvis I videresælger software eller enheder ind i EU i stedet for at bygge dem, giver artikel 19 og 20 i Cyber Resilience Act jer en tjekliste at gennemgå, før produktet kommer til salg, en pligt til at give sårbarheder videre til fabrikanten, en pligt til at underrette myndighederne om væsentlige risici og ti års opbevaring.
- ArtikelHvilken opdatering bringer jeres eksisterende software ind under CRA? Væsentlige ændringer, efter Kommissionens vejledningSoftware bragt i omsætning før den 11. december 2027 forbliver uden for CRA's design- og overensstemmelsespligter, indtil den ændres væsentligt.
Anmeldelse, siden den 11. september 2026
- ArtikelHvad I skal anmelde efter CRA: de to udløsere, som forordningen definerer demArtikel 14 har to udløsere, og begge er defineret i teksten.
- ArtikelHvornår starter CRA's 24-timers ur? Ved en rimelig grad af sikkerhed efter en hurtig indledende vurdering, ifølge Kommissionens vejledningArtikel 14 tæller 24 og 72 timer fra 'at få kendskab' og definerer det aldrig.
- ArtikelHvilket CSIRT indberetter I til under CRA? Koordinatoren for jeres hovedforretningssted, alle 27 med navnArtikel 14 sender indberetningen til det CSIRT, som medlemsstaten for jeres hovedforretningssted har udpeget som koordinator; ENISA offentliggjorde alle 27 den 10. september 2026.
- ArtikelSådan indgiver I en CRA-indberetning på ENISA's platform: et personligt EU Login, én koordinator, tre faner, ingen APIportal.cra-srp.enisa.europa.eu åbnede den 11. september 2026.
- ArtikelUret for den endelige CRA-rapport starter ikke, når I får kendskabDe fleste fremstillinger af artikel 14 i Cyber Resilience Act giver tre frister fra ét startpunkt: 24 timer, 72 timer, 14 dage.
- ArtikelNIS2 eller CRA: hvilket hændelsesur løber for en softwarevirksomhed, og hvad gør en hændelse 'væsentlig'Begge love giver jer 24 timer, 72 timer og en måned, og begge starter uret, når I 'får kendskab'.
- ArtikelHvem håndhæver Cyber Resilience Act i din medlemsstat? 7 ud af 27 har sagt detCRA håndhæves nationalt af en markedsovervågningsmyndighed, som hver medlemsstat udpeger og registrerer hos Kommissionen.
- ArtikelEU's eget CRA-maskineri den dag, pligten begyndte: 0 bemyndigede organer, 0 harmoniserede standarder, 7 ud af 27 håndhævereCyber Resilience Act beder fabrikanter om at være klar.
- ArtikelBøder under Cyber Resilience Act: hvad en lille producent reelt er udsat forCRA fastsætter tre bødeniveauer, op til 15 millioner EUR eller 2,5 % af den globale omsætning.
At bygge dokumentationen, inden den 11. december 2027
- ArtikelCyber Resilience Act for en lille softwarefabrikant, i tolv trinAlt, hvad en virksomhed på ti personer, der leverer installeret software eller en enhed, skal gøre efter CRA, i den rækkefølge, det skal gøres: fastlæggelsen af anvendelsesområdet, trinnet, CSIRT'et og håndhæveren, den anmeldelsesprocedure, der har gjaldt siden den 11. september 2026, derefter den tekniske dokumentation, de 22 krav, SBOM'en, supportperioden, CE-mærkningen og erklæringen med frist den 11. december 2027.
- ArtikelCRA artikel 13 for en softwarefabrikant: de femogtyve stykker i rækkefølge, hvilke er jeres, hvilke er Kommissionens, og en tjekliste efter rolleArtikel 13 i Cyber Resilience Act er fabrikantens artikel: femogtyve stykker fra de væsentlige krav i stk. 1 til Kommissionens beføjelser i stk. 25.
- ArtikelSelvvurdering efter CRA: hvad modul A faktisk kræver, fra bilag VIII og Kommissionens FAQDe fleste softwareprodukter vil aldrig se et bemyndiget organ.
- ArtikelHarmoniserede standarder for CRA: ingen citeret endnu, 41 bestilt, de første to forfaldt den 30. august 2026Standardiseringsanmodning M/606 af 3. februar 2025 beder CEN, CENELEC og ETSI om 41 standarder: to horisontale senest den 30. august 2026, de vertikale for produkter i bilag III og IV senest den 30. oktober 2026, de generiske krav senest den 30. oktober 2027.
- ArtikelCRA bilag 1: de 22 væsentlige krav som tjekliste, 14 produktkrav og 8 til håndtering af sårbarhederHvad jeres produkt skal opfylde fra den 11. december 2027, og hvad den tekniske dokumentation skal vise: del I, 14 produktkrav, hvoraf 13 'hvor det er relevant' på grundlag af jeres risikovurdering; del II, 8 krav til håndtering af sårbarheder, der altid gælder.
- ArtikelCRA-cybersikkerhedsrisikovurderingen: hvad artikel 13 faktisk kræver, og det ene resultat, den skal levereArtikel 13, stk. 2 til 4, i Cyber Resilience Act gør risikovurderingen til det dokument, alle andre CRA-pligter hænger på.
- ArtikelHvad der hører til i den tekniske dokumentation efter CRA: bilag VII, punkt for punktFra den 11. december 2027 skal ethvert produkt med digitale elementer, der bringes i omsætning på EU-markedet, have teknisk dokumentation før omsætningen, opbevaret i ti år eller supportperioden, alt efter hvad der er længst.
- ArtikelKræver CRA en SBOM? Ja, og her står præcis, hvad den sigerBilag I, del II, punkt 1 i Cyber Resilience Act kræver en softwarestykliste i et almindeligt anvendt, maskinlæsbart format, der mindst dækker afhængighederne på øverste niveau.
- ArtikelHvad CRA kræver af jer for jeres afhængigheder: fornøden omhu, indberetning opstrøms og kendte udnyttelige sårbarheder, efter Kommissionens vejledningEt softwareprodukt er mest andres kode. CRA gør fabrikanten ansvarlig for produktet som helhed og giver den tre pligter over for komponenterne i det: fornøden omhu efter artikel 13(5), indberetning af sårbarheder opstrøms og deling af rettelser efter artikel 13(6), og at bringe produktet i omsætning uden kendte udnyttelige sårbarheder.
- ArtikelDen politik for koordineret offentliggørelse af sårbarheder, som CRA kræver: tre bestemmelser, og en politik på én side, der opfylder demBilag I, del II, punkt 5, i Cyber Resilience Act kræver, at enhver omfattet fabrikant indfører og håndhæver en politik for koordineret offentliggørelse af sårbarheder.
- ArtikelHvor lang er supportperioden under CRA? Mindst fem år, slutdatoen oplyst ved købet, hver opdatering tilgængelig i ti årArtikel 13, stk. 8, i Cyber Resilience Act: en supportperiode på mindst fem år eller den forventede brugstid, hvis den er kortere; slutdatoen, mindst måned og år, oplyst på købstidspunktet; hver sikkerhedsopdatering tilgængelig i ti år eller resten af perioden; den tekniske dokumentation, erklæringen og brugeroplysningerne opbevaret i ti år efter markedsføringen eller i supportperioden.
- ArtikelSkal software CE-mærkes efter CRA? Ja, og artikel 30 siger, hvor mærket skal siddeFra den 11. december 2027 kræves der CE-mærkning på ethvert produkt med digitale elementer, der bringes i omsætning på EU-markedet, software inklusive.
- ArtikelEU-overensstemmelseserklæringen under CRA: bilag V punkt for punkt, den forenklede form og et udfyldt eksempelArtikel 28 pålægger fabrikanten at udfærdige en EU-overensstemmelseserklæring, før produktet bringes i omsætning, efter modellen i bilag V, og artikel 28(4) gør underskriften til den handling, hvormed fabrikanten påtager sig ansvaret for produktet.
Hvad det kræver af jer
111 krav i 5 grupper
Forpligtelser
18- 13(1) Design, udvikl og fremstil produktet efter bilag I
- 13(2) Vurdér produktets cybersikkerhedsrisici, og handl på dem
- 13(5) Tjek tredjepartskomponenter, før I integrerer dem
og 15 mere
Pligter
53- 13(3) Dokumentér risikovurderingen, og hold den ajour
- 13(4) Læg risikovurderingen i den tekniske dokumentation
- 13(6) Anmeld en komponentsårbarhed til dens vedligeholder
og 50 mere
Foranstaltninger
22- I.1 Sikr produktet i forhold til dets risici
- I.2.a Levér uden kendte udnyttelige sårbarheder
- I.2.b Levér sikker som standard, med mulighed for nulstilling
og 19 mere
Klausuler
10- 13(8)-4 Hold øje med minimumsperioder ved delegeret retsakt
- 14(5) Bedøm alvor efter virkningen på sikkerheden
- 18(1) I kan udpege en bemyndiget repræsentant skriftligt
og 7 mere
Frister
8- 14(2)(a) Send den tidlige varsling om sårbarheden inden for 24 timer
- 14(2)(b) Send sårbarhedsanmeldelsen inden for 72 timer
- 14(2)(c) Send den endelige rapport 14 dage efter rettelsen
og 5 mere
CRA-sagen og indberetningsuret, ét sted
CRA-kravene som katalog, den tekniske dokumentation bygget på dem og indberetningsuret, i ét arbejdsområde.
Datoerne læses fra forordningens artikel 71 og tastes aldrig på denne side. Dette er ikke juridisk rådgivning, og forordningen er den tekst, der skal læses: Forordning (EU) 2024/2847.
Se også:CRA for konsulenter og deres kunderDen europæiske tilgængelighedslovProduktansvarsdirektivetArtiklerGratis værktøjer