Cyber Resilience Act: alle værktøjer og artikler
Der er sket noget. Hvornår blev I opmærksomme på det?
- Hvem det gælder for
- En fabrikant, der har fået kendskab til en aktivt udnyttet sårbarhed eller en alvorlig hændelse i et produkt, den bringer i omsætning i EU.
- Datoerne
- En tidlig varsling inden 24 timer, en underretning inden 72 timer og en endelig rapport inden 14 dage efter, at en korrigerende eller afbødende foranstaltning er tilgængelig.
- Det ene, der skal gøres
- Indtast det tidspunkt, I fik kendskab: siden regner de tre frister ud i jeres tidszone og nævner det CSIRT, anmeldelsen går til.
24t
Tidlig varsling
datoen for kendskab er ikke registreret.
72t
Anmeldelse af sårbarheden
datoen for kendskab er ikke registreret.
14dage
Endelig rapport
ingen frist, før en afhjælpende foranstaltning er tilgængelig.
Dine CRA-anmeldelsesfrister
Fra den 11. september 2026 starter kendskab til en aktivt udnyttet sårbarhed i et produkt, I bringer i omsætning på EU-markedet, et ur på 24 timer. Denne side regner alle tre frister ud, også den, de fleste beskrivelser får galt.
De tre ure har ikke samme udgangspunkt
Fristerne på 24 og 72 timer løber begge fra det øjeblik, I fik kendskab. Det gør den endelige rapport ikke. For en sårbarhed løber den 14 dage fra en afhjælpende eller begrænsende foranstaltning er tilgængelig, en dato der måske ikke findes endnu: en dokumenteret omgåelse starter den, ikke kun en rettelse. For en hændelse løber den en måned fra 72-timers-anmeldelsen, så den findes ikke, før den anmeldelse er indgivet. Hvor der ikke er en dato, siger denne side, hvilket udgangspunkt der mangler, i stedet for at vise et tal.
Starter urene på 24 og 72 timer.
Tidlig varsling
Art. 14(2)(a)
datoen for kendskab er ikke registreret.
24 timer fra kendskab
Anmeldelse af sårbarheden
Art. 14(2)(b)
datoen for kendskab er ikke registreret.
72 timer fra kendskab
Endelig rapport
Art. 14(2)(c)
ingen frist, før en afhjælpende foranstaltning er tilgængelig.
14 dage efter en afhjælpende eller begrænsende foranstaltning er tilgængelig
Indtast øjeblikket for kendskab for at starte urene.
Hvem det gælder for
Fabrikanter af produkter med digitale elementer, der bringes i omsætning på EU-markedet, og forvaltere af open source-software. Der er ingen størrelsesgrænse og ingen SMV-undtagelse nogen steder i CRA, og efter artikel 69, stk. 3, rækker anmeldelsespligten til produkter, der allerede var på markedet før forordningens fulde anvendelse i december 2027.
Betragtning 12 placerer cloudtjenestemodeller, herunder software as a service, uden for CRA og inden for NIS2, så rigtig mange softwarevirksomheder er helt uden for anvendelsesområdet. Den vurdering afhænger af, hvad I faktisk bringer i omsætning, og det er jeres at foretage og registrere. Vi foretager den ikke for jer på en marketingside.
Er jeres produkt omfattet? Seks spørgsmål, en skriftlig fastlæggelsePligten gælder. Fem ting, der skal være på plads i dag
Ingen af dem tager lang tid. Alle er umulige at gøre godt i den første time af en hændelse, og det er præcis dér, en virksomhed uden dem opdager, at den havde brug for dem.
- 1Afgør, om I er inden for anvendelsesområdet, og skriv afgørelsen ned. Software, man installerer eller downloader, mobil- og desktopapps, biblioteker og enheder er inde. Ren software as a service er ude. Fjernbehandling, som et produkt ikke kan fungere uden, er inde igen. En registreret vurdering er det, I viser, hvis nogen spørger, hvorfor I anmeldte eller ikke gjorde det.
- 2Find jeres CSIRT. Anmeldelser går til det CSIRT, der er udpeget som koordinator i medlemsstaten for jeres hovedforretningssted. Ligger hovedforretningsstedet uden for EU, vælger artikel 14 medlemsstaten for jeres bemyndigede repræsentant, derefter jeres største importør, derefter jeres største distributør, derefter den hvor de fleste af jeres brugere er. Koordinatorerne er listet nedenfor.
- 3Giv den person, der skal anmelde, et EU Login med tofaktorgodkendelse. ENISA's fælles anmeldelsesplatform kræver en personlig EU Login-konto med multifaktorgodkendelse slået til. Det er ti minutters arbejde på en rolig dag og meget lang tid i time treogtyve.
- 4Udpeg den person, og en stedfortræder. Uret på 24 timer holder ikke pause for ferie.
- 5Aftal, hvad "fik kendskab" betyder for jer. Det øjeblik starter uret, og et team, der ikke har besluttet, om en kundemail, en scanneralarm eller en bekræftet udnyttelse er udløseren, vil diskutere det, mens timerne løber.
Hvor anmeldelser går hen
Til det CSIRT, der er udpeget som koordinator for jeres hovedforretningssted, og til ENISA, begge via ENISA's fælles anmeldelsesplatform, som åbnede den 11. september 2026, samme dag som pligten begyndte, og som ifølge ENISA's egne FAQ den 21. september 2026 kun kører på engelsk, ikke har nogen API og kræver et personligt EU Login med multifaktorgodkendelse. Intet på denne side indgiver noget; den fortæller, hvornår I skulle. Platformen ligger på portal.cra-srp.enisa.europa.eu ENISA's FAQ
Tabellen er listen over CSIRT'er udpeget som koordinator, som ENISA offentliggjorde den 10. september 2026, dagen før platformen åbnede, aflæst den 12. september 2026; linket er den første kontaktside, ENISA angiver for hver stat. I de fleste stater er det det nationale CSIRT, staten har udpeget til EU's CSIRT-netværk. Det er en anden myndighed i Kroatien (NCSC-HR), Tjekkiet (NÚKIB). ENISA siger, at en anmeldelse indgivet til den forkerte koordinator kan blive erklæret ugyldig og skal indgives igen; rækken for jeres hovedforretningssted hører derfor hjemme i jeres hændelsesprocedure. ENISA's liste.
| Medlemsstat | CSIRT udpeget som koordinator | Kontaktside |
|---|---|---|
| Østrig | CERT.at · Computer Emergency Response Team Austria | www.cert.at |
| Belgien | CCB · Centre for Cybersecurity Belgium | ccb.belgium.be |
| Bulgarien | CERT Bulgaria · CERT Bulgaria | www.govcert.bg |
| Kroatien | NCSC-HR · National Cyber Security Centre of Croatia | ncsc.hr |
| Cypern | CSIRT-CY · National CSIRT-CY | www.csirt.cy |
| Tjekkiet | NÚKIB · National Cyber and Information Security Agency | nukib.gov.cz |
| Danmark | FE DDIS · Danish Defence Intelligence Service, formerly CFCS | www.fe-ddis.dk |
| Estland | CERT-EE · CERT Estonia | www.ria.ee |
| Finland | NCSC-FI · National Cyber Security Centre Finland | www.kyberturvallisuuskeskus.fi |
| Frankrig | CERT-FR · CERT-FR | www.cert.ssi.gouv.fr |
| Tyskland | CERT-Bund · CERT-Bund at the BSI | www.bsi.bund.de |
| Grækenland | EL-CSIRT · National Cyber Security Authority CSIRT | cyber.gov.gr |
| Ungarn | NCSC Hungary · National Cyber Security Center of Hungary | ncsc.gov.hu |
| Irland | CSIRT-IE · National Cyber Security Centre Ireland | www.ncsc.gov.ie |
| Italien | CSIRT Italia · Computer Security Incident Response Team Italia | www.acn.gov.it |
| Letland | CERT.LV · Information Technologies Security Incident Response Institution | cert.lv |
| Litauen | CERT-LT · National CERT of Lithuania | www.nksc.lt |
| Luxembourg | CIRCL · Computer Incident Response Center Luxembourg | www.circl.lu |
| Malta | MT-CSIRT · MT-CSIRT | www.mita.gov.mt |
| Nederlandene | NCSC-NL · Nationaal Cyber Security Centrum | www.ncsc.nl |
| Polen | CERT Polska · CERT Polska | cert.pl |
| Portugal | CERT.PT · CERT.PT at the CNCS | www.cncs.gov.pt |
| Rumænien | DNSC · Romanian National Cyber Security Directorate | www.dnsc.ro |
| Slovakiet | SK-CERT · SK-CERT | www.sk-cert.sk |
| Slovenien | SI-CERT · Slovenian Computer Emergency Response Team | www.cert.si |
| Spanien | INCIBE-CERT · INCIBE-CERT | www.incibe.es |
| Sverige | CERT-SE · CERT-SE | cert.se |
Hvem håndhæver den, medlemsstat for medlemsstat
Bøder pålægges nationalt af den markedsovervågningsmyndighed, hver medlemsstat udpeger efter artikel 52 og registrerer hos Kommissionen. Den 13. oktober 2026 havde 7 af 27 registreret én. Resten vises som ikke registreret: det er, hvad Kommissionens register indeholdt den dag, ikke en påstand om, at staten ingen plan har. Navnene er ordret som registreret.
| Medlemsstat | Markedsovervågningsmyndighed (art. 52) | Bemyndigende myndighed (art. 36) |
|---|---|---|
| Østrig | ikke registreret | ikke registreret |
| Belgien | Belgian Institute for Postal services and Telecommunications | CCB – Centre for Cybersecurity Belgium |
| Bulgarien | ikke registreret | ikke registreret |
| Kroatien | ikke registreret | Information Systems Security Bureau |
| Cypern | Office of the Commissioner of Communications - Digital Security Authority (DSA) | Digital Security Authority - National Cybersecurity Certification Authority |
| Tjekkiet | ikke registreret | ikke registreret |
| Danmark | ikke registreret | ikke registreret |
| Estland | ikke registreret | Consumer Protection and Technical Regulatory Authority |
| Finland | Finnish Transport and Communications Agency (Traficom) | National Cyber Security Centre, Finnish Transport and Communications Agency Traficom |
| Frankrig | Agence Nationale des Fréquences | Agence nationale de la sécurité des systèmes d’information |
| Tyskland | Bundesamt für Sicherheit in der Informationstechnik (BSI) | Bundesamt für Sicherheit in der Informationstechnik - Referat S 14 – Befugniserteilung und Aufsicht über Konformitätsbewertungsstellen |
| Grækenland | ikke registreret | ikke registreret |
| Ungarn | ikke registreret | Supervisory Authority for Regulatory Affairs |
| Irland | ikke registreret | National Cyber Security Centre |
| Italien | ikke registreret | ikke registreret |
| Letland | Consumer Rights Protection Centre (Patērētāju tiesību aizsardzības centrs) | ikke registreret |
| Litauen | ikke registreret | Ministry of National Defence of the Republic of Lithuania |
| Luxembourg | ikke registreret | ikke registreret |
| Malta | ikke registreret | Malta Digital Innovation Authority |
| Nederlandene | ikke registreret | Ministry of Economic Affairs – Dutch Authority for Digital Infrastructure |
| Polen | ikke registreret | Ministry of Digital Affairs - Cybersecurity Department |
| Portugal | ikke registreret | ikke registreret |
| Rumænien | ikke registreret | ikke registreret |
| Slovakiet | National Security Authority | Slovak Office of Standards, Metrology and Testing |
| Slovenien | ikke registreret | ikke registreret |
| Spanien | ikke registreret | ikke registreret |
| Sverige | ikke registreret | SWEDAC - Swedish Board for Accreditation and Conformity Assessment |
Næste skridt: fristerne fra det øjeblik I får kendskab, og indberetningen som udkast.
7 dage gratis, intet kort.
Eller CRA Readiness Toolkit, 199 €, filer på e-mail
Eller få det gjort sammen med os: CRA-parathed, 1.500 €, 10 arbejdsdage
Inden december 2027 skal I også have den tekniske dokumentation
Artikel 13, stk. 12, kræver teknisk dokumentation for hvert produkt med digitale elementer, før det bringes i omsætning, opbevaret i mindst ti år eller supportperioden, alt efter hvad der er længst, med det indhold bilag VII opregner. Køb den til ét produkt, og den udarbejdes ind i jeres organisation ved betaling.
Den tekniske dokumentation, 2.000 € engangsbeløbVideresælger I i stedet for at bygge, rammer artikel 19 til 21 jer stadig
En importør kontrollerer, at fabrikanten har gjort sin del, før produktet bringes i omsætning. En distributør kontrollerer CE-mærkningen og fabrikantens og importørens overholdelse. Sæt jeres eget mærke på et produkt, og artikel 21 gør jer til dets fabrikant.
Pligter for importører og distributører, 1.200 €Hvad en forsømt anmeldelse rent faktisk koster
Artikel 14 ligger i CRA's øverste sanktionstrin, sammen med sikkerhedskravene i bilag I: op til 15 000 000 EUR eller 2,5 % af den globale årsomsætning. Der er tre trin, nationale myndigheder håndhæver, og forordningen nævner små fabrikanter to gange.
De tre sanktionstrin, og hvem der anvender demSpørgsmålene, denne side rejser, besvaret i dybden
Cyber Resilience Act for en lille softwarefabrikant, i tolv trin
Alt, hvad en virksomhed på ti personer, der leverer installeret software eller en enhed, skal gøre efter CRA, i den rækkefølge, det skal gøres: fastlæggelsen af anvendelsesområdet, trinnet, CSIRT'et og håndhæveren, den anmeldelsesprocedure, der har gjaldt siden den 11. september 2026, derefter den tekniske dokumentation, de 22 krav, SBOM'en, supportperioden, CE-mærkningen og erklæringen med frist den 11. december 2027.
Hvilket CSIRT indberetter I til under CRA? Koordinatoren for jeres hovedforretningssted, alle 27 med navn
Artikel 14 sender indberetningen til det CSIRT, som medlemsstaten for jeres hovedforretningssted har udpeget som koordinator; ENISA offentliggjorde alle 27 den 10. september 2026.
Sådan indgiver I en CRA-indberetning på ENISA's platform: et personligt EU Login, én koordinator, tre faner, ingen API
portal.cra-srp.enisa.europa.eu åbnede den 11. september 2026.
Hvornår starter CRA's 24-timers ur? Ved en rimelig grad af sikkerhed efter en hurtig indledende vurdering, ifølge Kommissionens vejledning
Artikel 14 tæller 24 og 72 timer fra 'at få kendskab' og definerer det aldrig.
Uret for den endelige CRA-rapport starter ikke, når I får kendskab
De fleste fremstillinger af artikel 14 i Cyber Resilience Act giver tre frister fra ét startpunkt: 24 timer, 72 timer, 14 dage.
Er dit produkt omfattet af Cyber Resilience Act? Hvor SaaS står
Det hyppigste CRA-spørgsmål er ikke, hvordan man anmelder, men om forordningen overhovedet gælder for jer.
Hvornår er software \"bragt i omsætning\" efter CRA, og hvilken af jeres builds er et produkt? Vejledningens regel for selvstændig software
Alt i CRA hænger på en dato og et navneord: den dato, et produkt bringes i omsætning, og om det, I udgiver, overhovedet er et produkt.
Hvilke dele af jeres backend ligger inden for CRA? Fjerndatabehandling, efter Kommissionens vejledning
Et produkt med digitale elementer omfatter sine fjerndatabehandlingsløsninger, og forordningen definerer dem i én sætning.
Hvem håndhæver Cyber Resilience Act i din medlemsstat? 7 ud af 27 har sagt det
CRA håndhæves nationalt af en markedsovervågningsmyndighed, som hver medlemsstat udpeger og registrerer hos Kommissionen.
Er jeres produkt vigtigt eller kritisk under CRA? Standard, medmindre det er en af de 19, 4 eller 3 kategorier i bilag III og IV
Inden for CRA's anvendelsesområde er et produkt standard, vigtigt i klasse I (19 kategorier), vigtigt i klasse II (4) eller kritisk (3), og niveauet afgør, om I selv vurderer eller skal bruge et bemyndiget organ efter artikel 32.
Standard, vigtigt eller kritisk: de 26 tekniske beskrivelser i gennemførelsesforordning 2025/2392 og kernefunktionalitetstesten
Bilag III og IV til CRA nævner 26 produktkategorier på én linje hver.
CRA bilag 1: de 22 væsentlige krav som tjekliste, 14 produktkrav og 8 til håndtering af sårbarheder
Hvad jeres produkt skal opfylde fra den 11. december 2027, og hvad den tekniske dokumentation skal vise: del I, 14 produktkrav, hvoraf 13 'hvor det er relevant' på grundlag af jeres risikovurdering; del II, 8 krav til håndtering af sårbarheder, der altid gælder.
Hvad der hører til i den tekniske dokumentation efter CRA: bilag VII, punkt for punkt
Fra den 11. december 2027 skal ethvert produkt med digitale elementer, der bringes i omsætning på EU-markedet, have teknisk dokumentation før omsætningen, opbevaret i ti år eller supportperioden, alt efter hvad der er længst.
Kræver CRA en SBOM? Ja, og her står præcis, hvad den siger
Bilag I, del II, punkt 1 i Cyber Resilience Act kræver en softwarestykliste i et almindeligt anvendt, maskinlæsbart format, der mindst dækker afhængighederne på øverste niveau.
Hvad CRA kræver af jer for jeres afhængigheder: fornøden omhu, indberetning opstrøms og kendte udnyttelige sårbarheder, efter Kommissionens vejledning
Et softwareprodukt er mest andres kode. CRA gør fabrikanten ansvarlig for produktet som helhed og giver den tre pligter over for komponenterne i det: fornøden omhu efter artikel 13(5), indberetning af sårbarheder opstrøms og deling af rettelser efter artikel 13(6), og at bringe produktet i omsætning uden kendte udnyttelige sårbarheder.
CRA eller NIS2: Hvilken gælder for en softwarevirksomhed, og kan det være begge?
Cyber Resilience Act regulerer produkter, der bringes i omsætning; NIS2 regulerer enheder, der leverer tjenester.
NIS2 eller CRA: hvilket hændelsesur løber for en softwarevirksomhed, og hvad gør en hændelse 'væsentlig'
Begge love giver jer 24 timer, 72 timer og en måned, og begge starter uret, når I 'får kendskab'.
Skal software CE-mærkes efter CRA? Ja, og artikel 30 siger, hvor mærket skal sidde
Fra den 11. december 2027 kræves der CE-mærkning på ethvert produkt med digitale elementer, der bringes i omsætning på EU-markedet, software inklusive.
EU-overensstemmelseserklæringen under CRA: bilag V punkt for punkt, den forenklede form og et udfyldt eksempel
Artikel 28 pålægger fabrikanten at udfærdige en EU-overensstemmelseserklæring, før produktet bringes i omsætning, efter modellen i bilag V, og artikel 28(4) gør underskriften til den handling, hvormed fabrikanten påtager sig ansvaret for produktet.
Selvvurdering efter CRA: hvad modul A faktisk kræver, fra bilag VIII og Kommissionens FAQ
De fleste softwareprodukter vil aldrig se et bemyndiget organ.
Harmoniserede standarder for CRA: ingen citeret endnu, 41 bestilt, de første to forfaldt den 30. august 2026
Standardiseringsanmodning M/606 af 3. februar 2025 beder CEN, CENELEC og ETSI om 41 standarder: to horisontale senest den 30. august 2026, de vertikale for produkter i bilag III og IV senest den 30. oktober 2026, de generiske krav senest den 30. oktober 2027.
Hvor lang er supportperioden under CRA? Mindst fem år, slutdatoen oplyst ved købet, hver opdatering tilgængelig i ti år
Artikel 13, stk. 8, i Cyber Resilience Act: en supportperiode på mindst fem år eller den forventede brugstid, hvis den er kortere; slutdatoen, mindst måned og år, oplyst på købstidspunktet; hver sikkerhedsopdatering tilgængelig i ti år eller resten af perioden; den tekniske dokumentation, erklæringen og brugeroplysningerne opbevaret i ti år efter markedsføringen eller i supportperioden.
Hvilken opdatering bringer jeres eksisterende software ind under CRA? Væsentlige ændringer, efter Kommissionens vejledning
Software bragt i omsætning før den 11. december 2027 forbliver uden for CRA's design- og overensstemmelsespligter, indtil den ændres væsentligt.
Hvad I skal anmelde efter CRA: de to udløsere, som forordningen definerer dem
Artikel 14 har to udløsere, og begge er defineret i teksten.
Gælder CRA for open source-software? Tre tilfælde, og den lette ordning for forvaltere
Cyber Resilience Act når fri og open source-software kun, når den leveres som led i en kommerciel aktivitet.
Er jeres open source-projekt \"kommercielt\" under CRA? Kommissionens syv tests, med dens eksempler
CRA når kun fri og open source-software, hvor den leveres som led i en kommerciel aktivitet, og forordningen overlader \"kommerciel\" til to betragtninger.
Hvad CRA kræver af importører og distributører, og hvornår den gør dem til fabrikant
Hvis I videresælger software eller enheder ind i EU i stedet for at bygge dem, giver artikel 19 og 20 i Cyber Resilience Act jer en tjekliste at gennemgå, før produktet kommer til salg, en pligt til at give sårbarheder videre til fabrikanten, en pligt til at underrette myndighederne om væsentlige risici og ti års opbevaring.
EU's eget CRA-maskineri den dag, pligten begyndte: 0 bemyndigede organer, 0 harmoniserede standarder, 7 ud af 27 håndhævere
Cyber Resilience Act beder fabrikanter om at være klar.
CRA-cybersikkerhedsrisikovurderingen: hvad artikel 13 faktisk kræver, og det ene resultat, den skal levere
Artikel 13, stk. 2 til 4, i Cyber Resilience Act gør risikovurderingen til det dokument, alle andre CRA-pligter hænger på.
Den politik for koordineret offentliggørelse af sårbarheder, som CRA kræver: tre bestemmelser, og en politik på én side, der opfylder dem
Bilag I, del II, punkt 5, i Cyber Resilience Act kræver, at enhver omfattet fabrikant indfører og håndhæver en politik for koordineret offentliggørelse af sårbarheder.
Regnestykket her er den samme funktion, produktet kører, ikke en kopi skrevet til denne side, inklusive begrænsningen til kalendermåneder, så en anmeldelse den 31. januar besvares den 28. februar frem for at rulle ind i marts. Dette er ikke juridisk rådgivning, og artikel 14 er kort nok til at læse selv: Forordning (EU) 2024/2847.