CRA-rapportering fra 11. september: Sådan forbereder producenter de første 72 timer

Fra den 11. september 2026 skal producenter rapportere aktivt udnyttede sårbarheder og alvorlige hændelser, der påvirker sikkerheden i produkter med digitale elementer. Rapporteringspligten gælder dermed mere end et år før hovedparten af CRA’s øvrige krav, som finder anvendelse fra den 11. december 2027. Det fremgår af Europa-Kommissionens vejledning om CRA.

Se også ENISAs factsheet over indrapportering gennem Single Reporting Platform (SRP).

Opgaven er ikke alene at kende fristerne. Virksomheden skal hurtigt kunne afgøre, om et forhold opfylder betingelserne for rapportering, identificere de berørte produkter og samle oplysninger fra udvikling, sikkerhed, support og ledelse.

Det kræver, at rapporteringsprocessen hænger sammen med virksomhedens sårbarhedshåndtering og sikre produktudvikling.

CRA omfatter to forskellige situationer:

En aktivt udnyttet sårbarhed er en sårbarhed, hvor der er pålidelig dokumentation for, at en ondsindet aktør har udnyttet den uden systemejerens tilladelse.

En alvorlig hændelse er en hændelse, der alvorligt påvirker eller kan påvirke produktets evne til at beskytte tilgængelighed, autenticitet, integritet eller fortrolighed. Det omfatter også hændelser, der har ført eller kan føre til, at skadelig kode bliver indført eller kørt i produktet eller brugerens systemer.

En almindelig softwarefejl, en sårbarhed uden tegn på aktiv udnyttelse eller en ubekræftet mistanke udløser derfor ikke automatisk rapporteringspligt. Vurderingen skal knyttes til CRA’s kriterier og til det konkrete produkt.

Producenter er omfattet direkte af artikel 14. Forvaltere af open source-software har en tilsvarende pligt efter artikel 24, i det omfang de er involveret i udviklingen af berørte produkter. ENISA beskriver rapporteringstærsklerne og platformen nærmere i sin CRA-FAQ.

Fristerne kræver en beslutningsklar proces

Fristerne regnes fra det tidspunkt, hvor producenten bliver opmærksom på den aktivt udnyttede sårbarhed eller den alvorlige hændelse.

Frist	Krav
Senest 24 timer	Tidlig advarsel med de oplysninger, der er tilgængelige på tidspunktet.
Senest 72 timer	Uddybende meddelelse med generelle oplysninger og en indledende vurdering.
Afsluttende rapport	For sårbarheder: senest 14 dage efter, at en korrigerende foranstaltning er tilgængelig. For alvorlige hændelser: senest én måned efter 72-timersmeddelelsen.

 

Alle oplysninger behøver altså ikke være afklaret inden for det første døgn. Virksomheden skal dog kunne identificere det berørte produkt, forklare grundlaget for vurderingen og angive, hvad der fortsat undersøges.

Rapporteringen sker én gang gennem ENISA’s Single Reporting Platform. Meddelelsen sendes til den CSIRT, der er udpeget som koordinator i det land, hvor producenten som udgangspunkt har sin hovedvirksomhed, og stilles normalt samtidig til rådighed for ENISA. Platformen skal være operationel den 11. september 2026. Europa-Kommissionen har samlet fristerne og rapporteringsforløbet her.

Fem oplysninger skal kunne samles hurtigt

Berørt produkt og version

Kobl fundet til det konkrete produkt, de berørte versioner og relevante komponenter. Et opdateret produktregister og en SBOM gør det lettere at afgrænse påvirkningen.

Grundlag for vurderingen

Dokumentér den information, der peger på aktiv udnyttelse eller en alvorlig hændelse. Adskil bekræftede oplysninger fra antagelser og uafklarede forhold.

Sikkerheds- og driftsmæssig påvirkning

Beskriv påvirkningen på produktets data og funktioner samt mulige konsekvenser for brugere, drift og leverancer. En CVSS-score kan indgå i vurderingen, men kan ikke stå alene.

Afværgning og ansvar

Registrér gennemførte afværgeforanstaltninger, planlagte sikkerhedsopdateringer, ansvarlige personer og forventede tidspunkter. Beskriv også, hvad brugerne selv kan gøre for at reducere risikoen.

Kontakt- og kommunikationsspor

Fastlæg, hvem der vurderer rapporteringspligten, godkender meddelelsen og kommunikerer med CSIRT, ENISA, kunder, leverandører og ledelse. Beslutninger og ændringer i vurderingen bør kunne dokumenteres efterfølgende.

En kort bordøvelse kan vise, om processen virker. Brug eksempelvis et scenario, hvor en sårbarhed i en tredjepartskomponent muligvis udnyttes aktivt. Lad produktteam, sikkerhed, support og en ledelsesrepræsentant gennemgå de første 24 og 72 timer.

Kontrollér, om I kan:

• identificere berørte produkter, versioner og kunder
• vurdere, om CRA’s rapporteringstærskel er opfyldt
• samle de nødvendige oplysninger inden for fristerne
• bevare et dokumenteret beslutningsspor
• koordinere afhjælpning, myndighedsrapportering og brugerinformation

Efter øvelsen bør konkrete mangler i produktregistre, SBOM’er, kontaktlister, leverandøraftaler, logadgang og rapporteringsskabeloner lukkes. Målet er en proces, der hurtigt kan fastslå, hvad der er kendt, hvad der undersøges, og hvem der træffer næste beslutning.