Rapportering om Cyber Resilience Act er nå live: Hva små produsenter må gjøre

11. september 2026 begynte den første bindende delen av EUs lov om cyberrobusthet å gjelde. Fra den datoen må produsenter av tilkoblet maskinvare og programvare rapportere aktivt utnyttede sårbarheter og alvorlige sikkerhetshendelser gjennom en ny EU-kanal, under stramme frister fastsatt av Europakommisjonen. For mange små programvare- og enhetsselskaper er rapporteringsplikten i henhold til Cyber Resilience Act første gang EUs produktlovgivning ber dem om å handle innen timer i stedet for måneder.

Hva endret seg med rapportering om cyberrobusthetsloven

Cyberrobusthetsloven (forordning (EU) 2024/2847) trådte i kraft 10. desember 2024, og de fleste av produktkravene gjelder først fra 11. desember 2027, ifølge Kommisjonens oversikt over forordningen. Rapporteringsforpliktelsene i artikkel 14 ble bevisst fremskyndet. Siden 11. september 2026 må en produsent som blir oppmerksom på en aktivt utnyttet sårbarhet i et av produktene sine, eller en alvorlig hendelse som påvirker sikkerheten til det produktet, varsle dette.

Tidslinjen er streng. Under Artikkel 14 i forordningen, skal det sendes et tidlig varsel innen 24 timer etter at problemet er blitt oppdaget, et mer fullstendig varsel innen 72 timer, og en endelig rapport senest 14 dager etter at en løsning eller begrensning er tilgjengelig for sårbarheter, eller innen én måned for alvorlige hendelser. Rapporter går gjennom ENISAs felles rapporteringsplattform, som ble lansert 11. september 2026. Meldingen når den nasjonale CSIRT-en som fungerer som koordinator i medlemslandet der produsenten har sin hovedvirksomhet, samtidig som ENISA informeres. For et selskap med hovedkontor i Danmark betyr det den danske koordinerende CSIRT-en.

To detaljer er lette å overse. For det første, som Hogan Lovells Cadwalader-notater, rapporteringsplikten omfatter også produkter som er brakt inn på EU-markedet før kredittvurderingsloven gjelder fullt ut, og den fortsetter etter at et produkts støtteperiode er over. For det andre må produsenter også informere berørte brukere om en aktivt utnyttet sårbarhet eller alvorlig hendelse, og der det er aktuelt, alle brukere.

Hvorfor det er viktig for en liten bedrift

CRA dekker “produkter med digitale elementer”, en bred kategori som Kommisjonen illustrerer med eksempler som babymonitorer, smartklokker, apper og dataprogrammer. En dansk oppstartsbedrift som selger en tilkoblet enhet, en skrivebords- eller mobilapp, eller programvare som kunder installerer, kan være en produsent i juridisk forstand, uavhengig av størrelse. Om et bestemt produkt, en komponent eller et skyelement faller inn under virkeområdet er ikke alltid åpenbart, og det er derfor kommisjonen publiserte ny veiledning 27. juli 2026 som dekker omfang, vesentlig modifikasjon, støtteperioder, risikovurdering og rapportering, med det den beskriver som særlig oppmerksomhet rettet mot mikrobedrifter og SMB-er.

Strafferammen er betydelig. Artikkel 64(2) tillater administrative bøter på opptil 15 millioner euro eller 2,5% av den globale årlige omsetningen, avhengig av hva som er høyest, for brudd på de grunnleggende kravene og forpliktelsene i artikkel 13 og 14. Det finnes en viss lettelse for de minste bedriftene: i henhold til Teknologitider og ISMS-pilot, Artikkel 64(10)(a) betyr at mikrobedrifter og små bedrifter ikke kan ilegges bøter for å ha overskredet 24-timers varslingsfristen. Rapporteringsplikten gjelder fortsatt for dem, og denne lettelsen gjelder ikke for senere melding og endelig rapport.

I praksis er det vanskeligste for et lite team sjelden selve skjemaet. Det er å vite, på kort varsel, at en sårbarhet blir aktivt utnyttet, hvem i bedriften bestemmer at klokken har startet, og hvem som har tilgang til rapporteringsplattformen når det skjer på en fredag kveld.

Praktiske neste skritt

Start med å kartlegge produktene dine. Lag en liste over hva du har brakt ut på EU-markedet, inkludert eldre versjoner som fortsatt er i bruk, og foreta en første, dokumentert vurdering av hvilke varer som sannsynligvis er produkter med digitale elementer. Bruk Kommisjonens veiledning som referansepunkt, og få juridisk rådgivning for din egen situasjon der svaret er uklart.

Deretter bestemmer du hvem som eier 24-timersklokken. Utnevner en ansvarlig person og en stedfortreder, blir enige om hvordan en rapport om mulig aktiv utnyttelse når dem, og setter opp tilgang til den felles rapporteringsplattformen på forhånd. Forbered korte maler for tidlig varsling, 72-timers varsling og brukerkommunikasjon, slik at ingen utarbeider fra bunnen av under press.

Se deretter på hvordan sårbarheter når deg. Et publisert kontaktpunkt for sikkerhetsforskere, overvåking av tredjeparts- og åpen kildekode-komponenter produktet ditt er avhengig av, og en tydelig intern rute fra supportforespørsler til ingeniørteamet forkorter tiden fra et problem oppstår til selskapet blir oppmerksom på det. Legg til varslingsforventninger i kontrakter med viktige leverandører, slik at en feil i en komponent de leverer ikke når deg uker for sent.

Til slutt, se på rapporteringsplikten som en øvelse for desember 2027, når kredittvurderingsbyråets krav til innbygget sikkerhet, dokumentasjon og samsvar gjelder fullt ut. Kommisjonens SMB-side for kredittvurderingsbyrået peker på støtte gjennom programmet for et digitalt Europa og muligheten for nasjonal opplæring, bevisstgjøringsaktiviteter og regulatoriske sandkasser for mindre produsenter. Disse er verdt å følge etter hvert som de blir tilgjengelige i Danmark.

Brenvard Fra s perspektiv

For Brenvard har CRA to sider. Vi bygger nettsteder, webapplikasjoner og apper, så vi må være tydelige, prosjekt for prosjekt, om hvem som er produsent under CRA og hvem som håndterer sårbarheter når et produkt er i bruk. Det betyr å avtale ansvar, støtteperioder og rapportere kontakter skriftlig ved starten av utviklingsarbeidet, ikke etter at noe går galt. Reguleringen legger til trinn i leveranseprosessen vår og i hvert produktteam vi støtter, og det kan gjøre noen små prosjekter dyrere. Gevinsten er at designbasert sikkerhet og tydelige hendelsesrutiner blir en del av oppgaven fra dag én, noe som pleier å gi bedre programvare og færre overraskelser for alle involverte.

En målt respons

Milepælen 11. september 2026 krever ikke et stort samsvarsprogram over natten, men det krever en arbeidsprosess som kan handle i løpet av en dag. Små produsenter som avklarer produktomfanget sitt, tildeler ansvar og tester rapporteringsruten sin nå, vil være i en langt bedre posisjon når hele forskriften gjelder. Brenvard hjelper oppstartsbedrifter og mindre bedrifter med å få på plass den typen prosess som en del av arbeidet sitt med Sikkerhetstjenester og databeskyttelse, i tillegg til den juridiske og tekniske rådgivningen hvert selskap trenger for sine egne produkter.

Kilder

Europakommisjonen – Lov om cyberrobusthet: Rapporteringsforpliktelser (besøkt 1. oktober 2026)
Europakommisjonen – Lov om cyberrobusthet (besøkt 1. oktober 2026)
Europakommisjonen – Kommisjonen publiserer ny veiledning for å støtte bedrifters implementering av loven om cyberrobusthet (27. juli 2026)
Europakommisjonen – Lov om cyberrobusthet: SMB-er (oppdatert 31. juli 2026)
EUR-Lex – Forordning (EU) 2024/2847 (lov om cyberrobusthet)
Hogan Lovells Cadwalader – EUs lov om cyberrobusthet: Forpliktelser til rapportering av sårbarheter og hendelser gjelder nå, og ENISAs felles rapporteringsplattform er live (11. september 2026)
Tech Times – EUs lov om cyberrobusthet trer i kraft: Produsenter har nå en 24-timers frist for å rapportere utnyttede feil (11. september 2026)
ISMS Copilot – Cyber Resilience Act: hva gjelder fra 11. september 2026 (11. september 2026)