Cyber Resilience Act, CRA, hedder på dansk forordningen om cyberrobusthed og stiller krav til sikkerheden i software og andre produkter med digitale elementer, der sælges i EU. Forordningen trådte i kraft 10. december 2024. Underretningspligten for aktivt udnyttede sårbarheder og alvorlige hændelser har været i kraft siden 11. september 2026, og resten af hovedkravene træder i kraft 11. december 2027. Leverer I software, der installeres eller kører hos brugeren, er I sandsynligvis fabrikant efter forordningen, og arbejdet er allerede i gang. Her er det, en stifter eller direktør skal vide. Artiklen giver overblikket og er ingen juridisk rådgivning.
Hvem rammer forordningen?
Fabrikant er forordningens ord for den virksomhed, der leverer et produkt i eget navn eller under eget varemærke i en kommerciel aktivitet. Det kan også gælde, når I leverer uden betaling. Kommissionens vejledning nævner, at en app uden købspris, men med køb i appen eller med krav om personoplysninger til andre formål, kan være kommerciel.
Vejledningen regner software for omfattet, hvis den efter levering kører hos brugeren. Eksemplerne er en app fra en app-butik, et pakket skrivebordsprogram og en browserudvidelse. Spørgsmålet er sværere for rene webapplikationer, hvor det afgørende er den del, der ligger på brugerens side. De tre afgørende spørgsmål har deres egen artikel.
Forordningen dækker produktet og lader virksomhedens samlede IT ligge. Interne systemer som HR, løn og CRM samt jeres byggepipeline er ifølge vejledningen ikke fjerndatabehandling. NIS2 gælder noget andet, nemlig virksomhedens egne systemer og tjenester. Begge dele kan ramme samme virksomhed.
Det, der gælder nu
Fabrikanter har nu pligt til at melde aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser. Første besked skal ud inden for 24 timer, og en fuld underretning inden for 72 timer, gennem ENISA’s fælles platform til det nationale CSIRT. Produkter, der allerede er ude hos kunderne, er med. Sådan fordeler I opgaven i et lille team: 24 timer til ENISA.
Det, der gælder fra 11. december 2027
Hovedkravene er samlet i en række pligter:
- Væsentlige krav. Bilag I stiller krav til produktet og til jeres håndtering af sårbarheder.
- Risikovurdering. I skal lave en cybersikkerhedsrisikovurdering af produktet.
- Teknisk dokumentation. Bilag VII fastlægger, hvad den skal rumme.
- Overensstemmelsesvurdering, EU-overensstemmelseserklæring og CE-mærke. Standardprodukter kan som hovedregel selvvurderes, se CE-mærke på software.
- Komponenter. I skal udvise omhu, også med fri software, og udarbejde en softwarekomponentliste, se tredjepartsbiblioteker, SBOM og byggepipeline.
- Supportperiode. I skal fastsætte, hvor længe I retter sårbarheder, og oplyse slutdatoen ved køb, se supportperiode.
Et produkt, der kom på markedet før 11. december 2027, skal først leve op til kravene, hvis det ændres væsentligt fra den dag. Konsekvensen for jeres releases står i artiklen om væsentlige ændringer.
Hvad det betyder i udviklingen
Kravene flytter sikkerhed fra et forsvar efter lanceringen til noget, I skal kunne vise fra design til support. I praksis peger de på disse ændringer:
- Risici vurderes og skrives ned for produktet, og de følger med, når det ændrer sig.
- Sårbarheder har en fast modtagelse og en proces, der kan køre uden én bestemt person.
- Komponenter er kendt pr. version.
- Rettelser kan nå kunderne hurtigt og sikkert.
- Beslutninger er dokumenteret, så de kan vises frem.
Meget af det er god praksis, I bør have under alle omstændigheder, se sikker softwareudvikling i et lille team. Det nye er kravet om, at I kan dokumentere det.
Status i Danmark
Et udkast til lov om supplerende bestemmelser var i høring fra 5. oktober til 2. november 2026. Ifølge høringsudkastet er forslaget, at Styrelsen for Samfundssikkerhed bliver både markedsovervågningsmyndighed og national koordinerende myndighed, med planlagt ikrafttræden 1. marts 2027, og en del af loven senere. Teksten er stadig et forslag. Tiltag for mikro- og små virksomheder er omtalt, men indholdet er ikke besluttet.
Hvad gør I nu?
- Lav en liste over jeres produkter og versioner, og afgør for hver, om den er omfattet. Tag kundevendte klienter og apps med.
- Placer ansvaret for underretningen hos navngivne personer, med en stedfortræder.
- Afgør, hvilken kategori produktet hører til, og om standardvurdering er nok.
- Læg resten af arbejdet ind i den tekniske køreplan, og regn tilbage fra december 2027.
- Få konkrete tvivlsspørgsmål afklaret hos en advokat.
CRA hører også hjemme i ledelsens billede af leverandører og krav, som sikkerhed ved anskaffelse og udvikling kommer ind på.
Mangler I en, der kan samle de tekniske valg, fordele opgaverne og holde retningen, kan det være en opgave for en fractional CTO. Nielco IT påtager sig den rolle og holder sig til teknologivalg, leverandører, team og ledelse, så udviklerne fortsat skriver koden. Første skridt kan være en gennemgang alene. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At gå ud fra, at december 2027 er første dato · underretningspligten gælder allerede.
- At antage, at SaaS altid står uden for · det afgørende er, hvad der ligger på brugerens side.
- At skrive fem år i aftalerne uden en vurdering · perioden skal fastsættes for det konkrete produkt.
Det skal I kræve af den eksterne
- ☐ En skriftlig afklaring af, hvilke produkter og versioner der er omfattet.
- ☐ En plan med datoer frem mod 11. december 2027.
- ☐ En navngiven ejer af underretningen med stedfortræder.
- ☐ Tydelig besked om, hvad der er forordningens tekst, og hvad der er Kommissionens opfattelse.
- ☐ Anbefalinger uden økonomisk interesse i valget af værktøjer.
Kilder
- Forordning (EU) 2024/2847: forordningsteksten.
- Kommissionen: Cyber Resilience Act: datoer.
- Kommissionen: resumé af CRA: pligterne.
- Kommissionens vejledning C(2026) 5252: ikke bindende, afsnit 2 og 8.
- Kommissionens FAQ: overgang og komponenter.
- Høringsportalen: udkast til dansk lov: kun et udkast.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Nyt produktansvar: software bliver et produkt · Er jeres SaaS selv omfattet af NIS2?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern CTO hos Nielco IT
