Cyber Resilience Act (CRA) kræver, at I kortlægger alle jeres produkter med digitale elementer, fastlægger en supportperiode for hvert produkt, indfører processer for sårbarhedshåndtering og forbereder jer på at rapportere aktivt udnyttede sårbarheder. Forordningen stiller krav til både fabrikanter, importører og distributører, så I skal vide, hvilken rolle I har for hvert produkt, og hvad den rolle indebærer. Rapporteringspligten har gældt siden 11. september 2026, og fra 11. december 2027 skal alle produkter med digitale elementer, der sættes på markedet i EU, efterleve sikkerhedskravene. Tjeklisten bygger på Styrelsen for Samfundssikkerhed og EU-Kommissionen, læst 24. september 2026, og er ikke juridisk rådgivning.
Tjekliste: Forberedelse til CRA
Brug tjeklisten til at gennemgå jeres produkter og processer. Hvert punkt repræsenterer et krav eller en forberedelse, I bør have på plads.
1. Kortlæg jeres produkter med digitale elementer
- Oplist alle produkter, I fabrikerer, importerer eller distribuerer, som indeholder software eller har netværksforbindelse
- Medtag både fysiske produkter med indlejret software og ren software, der sælges selvstændigt
- Notér jeres rolle for hvert produkt: fabrikant, importør eller distributør
2. Klassificér produkterne efter kritikalitet
- Identificér, om produktet hører til standardkategorien, de vigtige produkter (bilag III, fx operativsystemer, antivirus, routere og firewalls) eller de kritiske produkter (bilag IV, fx smartcards, sikre elementer og gateways til intelligente elmålere)
- For de fleste produkter, såsom husholdningsapparater, computerspil eller mobilapplikationer, kan fabrikanten selv foretage en overensstemmelsesvurdering
- For vigtige produkter kan et bemyndiget organ være obligatorisk — især hvis fabrikanten ikke har anvendt harmoniserede standarder. For kritiske produkter er et bemyndiget organ altid obligatorisk, ifølge EU-Kommissionen
3. Fastlæg supportperiode for hvert produkt
- Fabrikanten skal angive supportperioden, dvs. hvor længe produktet vil blive understøttet, og skal håndtere sårbarheder i hele denne periode
- Fabrikanten skal også give information og brugsanvisning til produktet
- Vurder, om jeres nuværende supportperioder er realistiske i forhold til jeres ressourcer
4. Indfør proces for sårbarhedshåndtering
- Etablér en kanal, hvor brugere og sikkerhedsforskere kan indrapportere sårbarheder
- Dokumentér, hvordan I modtager, vurderer og retter sårbarheder
- Sørg for, at sikkerhedsopdateringer kan distribueres til brugerne
5. Forbered rapportering af sårbarheder og hændelser
- Fra 11. september 2026 skal fabrikanter rapportere aktivt udnyttede sårbarheder og alvorlige hændelser
- En tidlig varsling skal indsendes inden for 24 timer, efter I bliver opmærksomme på sårbarheden
- En fuld notifikation skal følge inden for 72 timer
- Afklar internt, hvem der har ansvaret for at opdage, vurdere og rapportere
6. Gennemgå teknisk dokumentation
- Dokumentér, hvordan produktet opfylder de væsentlige cybersikkerhedskrav
- Hold styr på softwarekomponenter, herunder tredjepartsbiblioteker
7. Vurder behov for overensstemmelsesvurdering
- For produkter i standardkategorien: forbered fabrikantens egen overensstemmelsesvurdering
- For vigtige og kritiske produkter: afklar, om et bemyndiget organ skal inddrages, og planlæg processen
- Sørg for, at CE-mærkning og EU-overensstemmelseserklæring er klar, inden produktet markedsføres
Arbejdseksempel: Kortlægning hos en softwarevirksomhed
Eksemplet er sitets eget, og tallene er fiktive.
En virksomhed med tre produkter gennemgår tjeklisten:
| Produkt | Type | Rolle | Kategori | Supportperiode |
|---|---|---|---|---|
| Lagerstyringssoftware | Software | Fabrikant | Standard | 5 år |
| IoT-sensor til temperaturovervågning | Hardware m. software | Fabrikant | Standard | 7 år |
| Firewall-appliance (videresolgt) | Hardware m. software | Distributør | Vigtigt produkt (firewall) | Følger fabrikantens |
Gennemgangen viser, at virksomheden selv kan foretage overensstemmelsesvurdering for de to første produkter. Firewallen er et vigtigt produkt, så her afhænger fabrikantens vurdering af, om der er anvendt harmoniserede standarder, eller om et bemyndiget organ skal inddrages. Virksomheden spørger fabrikanten, hvordan det er gjort, og hvilken dokumentation der følger med.
Roller og ansvar
Jeres ansvar afhænger af rollen:
- Fabrikanter skal gennemføre overensstemmelsesvurderingen, sætte CE-mærket på og vedlægge en overensstemmelseserklæring, angive supportperioden og derefter håndtere sårbarheder og rapportere aktivt udnyttede sårbarheder og alvorlige hændelser, beskriver EU-Kommissionen
- Importører og distributører har også pligter efter forordningen, oplyser Styrelsen for Samfundssikkerhed. Læs, hvad der gælder for jeres rolle, i forordningen eller styrelsens vejledning
Sammenhæng med andre krav
CRA supplerer andre regelsæt. Hvis jeres virksomhed også er omfattet af NIS2, gælder de krav oven i. Læs mere i guiden om NIS2 og hvem der er omfattet.
Kravene til sikker softwareudvikling i CRA hænger sammen med de krav, I bør stille til jeres udviklere og leverandører. Guiden om sikker softwareudvikling beskriver, hvad ledelsen skal have styr på i udviklingsprocessen.
Hvis I oplever en sikkerhedshændelse, der også involverer persondata, gælder GDPR’s regler om anmeldelse til Datatilsynet sideløbende med CRA’s rapporteringskrav. Guiden om brud på persondatasikkerheden gennemgår håndteringen af de første timer.
Hvornår I skal handle
Rapporteringspligten for aktivt udnyttede sårbarheder og alvorlige hændelser har gældt siden 11. september 2026. Fra 11. december 2027 skal alle produkter med digitale elementer, der sættes på markedet i EU, efterleve sikkerhedskravene. Brug tiden nu til at:
- Kortlægge produktporteføljen
- Etablere processer for sårbarhedshåndtering
- Afklare, om I har brug for ekstern rådgivning til overensstemmelsesvurdering
Hvad guiden ikke dækker
Denne tjekliste giver et overblik over forberedelsen, men dækker ikke:
- De detaljerede tekniske krav i bilagene til forordningen
- Hvordan I konkret implementerer sikker softwareudvikling
- Juridisk vurdering af, om specifikke produkter er omfattet af undtagelser
Har I produkter i gråzonen, eller er I i tvivl om klassificeringen, bør I søge rådgivning fra en specialist i cybersikkerhed og CRA-compliance. En rådgiver kan hjælpe med at vurdere, hvilke krav der gælder, og hvad I skal kræve af jeres leverandører.
Brug sikkerheds- og compliancetjekket til at se, hvor jeres virksomhed står samlet set på IT-sikkerhed, regler og AI.
