Cyber Resilience Act: Fem spørgsmål før I køber software

I denne artikel får du et overblik over, hvad CRA’s nye rapporteringspligt betyder for it-indkøb.

Du får fem spørgsmål til leverandøren før kontrakt og fornyelse.

Du får en model for at koble produktkrav til drift, beredskab og leverandøropfølgning.

Du får en tydelig afgrænsning mellem køberens kontrolbehov og producentens juridiske pligter.

Den 11. september 2026 begyndte rapporteringspligterne i EU’s Cyber Resilience Act (CRA) at gælde for producenter, der bliver opmærksomme på aktivt udnyttede sårbarheder eller alvorlige hændelser i deres produkter med digitale elementer. De øvrige hovedkrav i CRA anvendes først fra 11. december 2027. For danske virksomheder, der køber software, netværksudstyr eller forbundne produkter, er ændringen ikke en grund til at overtage producentens myndighedsrapportering. Den er derimod et godt tidspunkt til at kontrollere, om leverandørens sikkerheds- og opdateringsforpligtelser kan understøtte egen drift.

Europa-Kommissionen beskriver både fristerne og den fælles rapporteringsplatform i sin vejledning om CRA-rapportering. Indkøbsfunktionen behøver ikke at fortolke loven alene, men bør sikre, at ansvar, sikkerhedsopdateringer og kontaktveje er håndteret før en hændelse opstår.

Hvorfor CRA er relevant for indkøb

CRA retter sig primært mod producenter af produkter med digitale elementer. Hvem der er producent, importør eller distributør, afhænger af den konkrete rolle og produktets vej til EU-markedet. En almindelig erhvervskunde bliver derfor ikke automatisk ansvarlig efter de samme regler. Men kunden bærer stadig den driftsmæssige risiko, hvis et produkt ikke kan opdateres, hvis en sårbarhed bliver meldt sent, eller hvis det er uklart, hvilke versioner der anvendes.

Kommissionens samlede CRA-overblik fremhæver, at producenter skal håndtere sårbarheder effektivt i den angivne supportperiode og oplyse brugeren om periodens slutdato. Det gør supporthorisonten til et konkret indkøbs- og fornyelsesspørgsmål, ikke blot et punkt i tekniske bilag.

Fem spørgsmål til leverandøren

1. Hvad er produktet, versionen og afhængighederne?

Bed om et præcist overblik over det købte produkt, editions- og versionsspor, integrationspunkter og væsentlige tredjepartskomponenter. Koblingen til eget aktivregister gør det muligt at afgøre, hvor en leverandøradvarsel rammer driften.

2. Hvornår slutter supporten?

Få supportperioden og betingelserne for sikkerhedsopdateringer bekræftet skriftligt. Planlæg opgradering eller udfasning før datoen, og aftal hvad der sker, hvis produktet indgår i en kritisk tjeneste efter supportens udløb.

3. Hvordan modtager I sikkerhedsoplysninger?

Aftal en navngiven kanal for adviseringer, berørte versioner, anbefalede afværgeforanstaltninger og forventede rettelser. En generel statusside er sjældent tilstrækkelig, hvis virksomheden skal kunne reagere uden forsinkelse.

4. Hvem gør hvad ved en alvorlig hændelse?

Leverandørens CRA-rapportering erstatter ikke kundens egen hændelseshåndtering, NIS 2-underretning eller databrudsvurdering. Kontrakten bør derfor afklare kontaktpersoner, informationsdeling, logadgang, eskalation og koordinering med relevante underleverandører.

5. Hvordan dokumenteres opfølgningen?

Bed om dokumentation for sikkerhedsopdateringer, kendte påvirkede versioner og afsluttede afværgeforanstaltninger. Gem samtidig beslutninger om egen patchning, test og accepteret restrisiko i det relevante change- eller risikostyringsspor.

Sikkerhedskrav giver først værdi, når de kan udføres. Et krav om rettidig information bør derfor have en ejer i virksomheden, en opdateret modtagerliste og en arbejdsgang for vurdering. Et krav om sikkerhedsopdateringer bør kobles til test, godkendelse og dokumenteret implementering. Og et krav om samarbejde ved hændelser bør afprøves i en realistisk øvelse med de vigtigste tekniske og forretningsmæssige afhængigheder.

For organisationer, der allerede arbejder med NIS 2 eller ISO 27001, kan leverandørstyringen samles med eksisterende risikovurderinger og kontroller. Digitaliseringsstyrelsens vejledningsmateriale for den digitale sektor viser blandt andet, hvordan sikkerhedsforanstaltninger kan knyttes til etablerede standarder. Det er dog fortsat den konkrete rolle, sektor og kontrakt, der afgør, hvilke krav virksomheden selv skal opfylde.

CRA-rapporteringen er nu i gang, mens hovedparten af produktkravene først anvendes i december 2027. Den periode kan bruges til at rydde op i produktregisteret, prioritere leverandører med stor driftsmæssig betydning og afklare, om support, advisering og incident-samarbejde faktisk kan fungere. Sammen med en opdateret IT-beredskabsplan giver det virksomheden et mere brugbart grundlag for at beskytte data, drift og kritiske leverancer, når en sårbarhed skal håndteres hurtigt.