Beretning om Cyber Resilience Act er nu online: Hvad små virksomheder skal gøre

Den 11. september 2026 trådte den første bindende del af EU's lov om cybermodstandsdygtighed i kraft. Fra denne dato skal producenter af forbunden hardware og software rapportere aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser via en ny EU-kanal under stramme frister fastsat af Europa-Kommissionen. For mange små software- og enhedsvirksomheder er rapporteringspligten i henhold til Cyber Resilience Act første gang, at EU's produktlovgivning kræver, at de handler inden for få timer i stedet for måneder.

Hvad ændrede sig med rapportering om cybermodstandsdygtighedsloven?

Cybermodstandsdygtighedsloven (forordning (EU) 2024/2847) trådte i kraft den 10. december 2024, og de fleste af dens produktkrav gælder først fra den 11. december 2027, ifølge Kommissionens oversigt over forordningen. Rapporteringsforpligtelserne i artikel 14 blev bevidst fremskyndet. Siden den 11. september 2026 skal en producent, der bliver opmærksom på en aktivt udnyttet sårbarhed i et af sine produkter eller en alvorlig hændelse, der påvirker produktets sikkerhed, underrette det.

Tidslinjen er streng. Under Artikel 14 i forordningen, skal der udsendes en tidlig advarsel inden for 24 timer efter, at problemet er blevet kendt, en mere fuldstændig underretning inden for 72 timer og en endelig rapport senest 14 dage efter, at en løsning eller afhjælpning er tilgængelig for sårbarheder, eller inden for en måned for alvorlige hændelser. Rapporter går via ENISA's fælles rapporteringsplatform, som gik live den 11. september 2026. Meddelelsen når frem til det nationale CSIRT, der fungerer som koordinator i den medlemsstat, hvor producenten har sin hovedvirksomhed, og ENISA informeres samtidig. For en virksomhed med hovedsæde i Danmark betyder det det danske koordinerende CSIRT.

To detaljer er lette at overse. For det første, som Hogan Lovells Cadwalader noter, omfatter rapporteringspligten også produkter, der er bragt i omsætning på EU-markedet, før kreditvurderingsloven finder fuld anvendelse, og den fortsætter efter et produkts supportperiode er udløbet. For det andet skal producenter også informere berørte brugere om en aktivt udnyttet sårbarhed eller alvorlig hændelse og, hvor det er relevant, alle brugere.

Hvorfor det betyder noget for en lille virksomhed

CRA dækker "produkter med digitale elementer", en bred kategori som Kommissionen illustrerer med eksempler såsom babyalarmer, smarture, apps og computerprogrammer. En dansk startup, der sælger en internetforbundet enhed, en desktop- eller mobilapp eller software, som kunder installerer, kan være en producent i juridisk forstand, uanset størrelse. Om et specifikt produkt, en komponent eller et cloud-element falder ind under anvendelsesområdet, er ikke altid indlysende, og derfor offentliggjorde Kommissionen ny vejledning den 27. juli 2026 dækker omfang, væsentlig ændring, støtteperioder, risikovurdering og rapportering, med det, der beskrives som særlig opmærksomhed på mikrovirksomheder og SMV'er.

Strafferammen er betydelig. Artikel 64(2) tillader administrative bøder på op til 15 millioner EUR eller 2,5% af den globale årlige omsætning, alt efter hvad der er højest, for overtrædelser af de væsentlige krav og forpligtelserne i artikel 13 og 14. Der er en vis lettelse for de mindste virksomheder: i henhold til Tech Times og ISMS-copilot, Artikel 64(10)(a) betyder, at mikrovirksomheder og små virksomheder ikke kan pålægges bøder for at overskride 24-timers varslingsfristen. Forpligtelsen til at indberette gælder stadig for dem, og denne lettelse omfatter ikke den senere anmeldelse og endelige rapport.

I praksis er den sværeste del for et lille team sjældent selve formularen. Det er at vide med kort varsel, at en sårbarhed bliver aktivt udnyttet, hvem i virksomheden bestemmer, at uret er startet, og hvem der har adgang til rapporteringsplatformen, når det sker en fredag aften.

Praktiske næste skridt

Start med at kortlægge dine produkter. Lav en liste over, hvad du har bragt på EU-markedet, inklusive ældre versioner, der stadig er i brug, og foretag en første, dokumenteret vurdering af, hvilke varer der sandsynligvis er produkter med digitale elementer. Brug Kommissionens vejledning som referencepunkt, og få juridisk rådgivning til din egen situation, hvor svaret er uklart.

Dernæst skal du beslutte, hvem der ejer 24-timers uret. Udpeg en ansvarlig person og en stedfortræder, aftal, hvordan en rapport om mulig aktiv udnyttelse når dem, og opret adgang til den fælles rapporteringsplatform på forhånd. Forbered korte skabeloner til tidlig varsling, 72-timers notifikation og brugerkommunikation, så ingen udarbejder fra bunden under pres.

Se derefter på, hvordan sårbarheder når dig. Et offentliggjort kontaktpunkt for sikkerhedsforskere, overvågning af de tredjeparts- og open source-komponenter, som dit produkt er afhængigt af, og en klar intern rute fra supporthenvendelser til ingeniørteamet forkorter alt sammen tiden fra et problem opstår, til virksomheden bliver opmærksom på det. Tilføj forventninger til underretning i kontrakter med nøgleleverandører, så en fejl i en komponent, de leverer, ikke når dig uger for sent.

Endelig bør rapporteringspligten betragtes som en generalprøve til december 2027, hvor kreditvurderingsbureauets krav til designsikkerhed, dokumentation og overensstemmelse gælder fuldt ud. Kommissionens SMV-side for kreditvurderingsbureauet peger på støtte gennem programmet for et digitalt Europa og på muligheden for national uddannelse, oplysningsaktiviteter og regulatoriske sandkasser for mindre producenter. Disse er værd at følge, efterhånden som de bliver tilgængelige i Danmark.

Brenvard Fra s perspektiv

For Brenvard har CRA to sider. Vi bygger websteder, webapplikationer og apps, så vi skal være klare, projekt for projekt, om, hvem der er producenten under CRA, og hvem der håndterer sårbarheder, når et produkt er i brug. Det betyder at aftale ansvar, supportperioder og rapportere kontaktpersoner skriftligt i starten af udviklingsarbejdet, ikke efter noget er gået galt. Reguleringen tilføjer trin til vores leveringsproces og til hvert produktteam, vi supporterer, og det kan gøre nogle små projekter dyrere. Gevinsten er, at designbaseret sikkerhed og klare hændelsesrutiner bliver en del af opgaven fra dag ét, hvilket har tendens til at resultere i bedre software og færre overraskelser for alle involverede.

En målt respons

Milepælen den 11. september 2026 kræver ikke et stort compliance-program natten over, men det kræver en arbejdsproces, der kan handle inden for en dag. Små producenter, der præciserer deres produktomfang, tildeler ansvar og tester deres rapporteringsrute nu, vil være i en langt bedre position, når den fulde regulering træder i kraft. Brenvard hjælper startups og mindre virksomheder med at implementere den slags processer som en del af sit arbejde med Cybersikkerhed og databeskyttelse, udover den juridiske og tekniske rådgivning, som hver virksomhed har brug for til sine egne produkter.

Kilder

Europa-Kommissionen – Lov om cybermodstandsdygtighed: Rapporteringsforpligtelser (tilgået 1. oktober 2026)
Europa-Kommissionen – Lov om cybermodstandsdygtighed (tilgået 1. oktober 2026)
Europa-Kommissionen – Kommissionen offentliggør ny vejledning til støtte for virksomheders implementering af loven om cybermodstandsdygtighed (27. juli 2026)
Europa-Kommissionen – Lov om cybermodstandsdygtighed: SMV'er (opdateret 31. juli 2026)
EUR-Lex – Forordning (EU) 2024/2847 (lov om cybermodstandsdygtighed)
Hogan Lovells Cadwalader – EU's lov om cybermodstandsdygtighed: Forpligtelser til indberetning af sårbarheder og hændelser gælder nu, og ENISA's fælles indberetningsplatform er live (11. september 2026)
Tech Times – EU's lov om cybermodstandsdygtighed træder i kraft: Producenter har nu en 24-timers frist til at rapportere udnyttede fejl (11. september 2026)
ISMS Copilot – Cybermodstandsdygtighedsloven: hvad gælder fra 11. september 2026 (11. september 2026)