Er virksomheden fabrikant af software eller andre produkter med digitale elementer, har beredskabet fået en ny opgave. Siden 11. september 2026 skal fabrikanten indberette aktivt udnyttede sårbarheder og alvorlige hændelser i sine produkter efter artikel 14 i forordningen om cyberrobusthed (CRA), og en audit af hændelsesberedskabet kan efterprøve, om organisationen er i stand til det.
Auditten ser på evnen: roller, adgang, vagt, oplysninger og sporet efter beslutninger. Den vurderer ikke produktet, og den afgør ikke, om en bestemt sag skulle have været indberettet.
Hvorfor artikel 14 hører hjemme i beredskabsauditten
Det meste af CRA gælder først fra 11. december 2027 (artikel 71, stk. 2). Artikel 14 gælder allerede, og efter artikel 69, stk. 3, også for produkter, der kom på markedet før den dato. For mange fabrikanter er indberetningen derfor den første pligt fra forordningen, der kan prøves i praksis.
Den ligger tæt på det, en audit af hændelseshåndteringen i forvejen spørger om. Hvem opdager noget, hvem vurderer det, hvem beslutter, og hvem sender? Forskellen er, at genstanden er et produkt hos kunderne, ikke virksomhedens egne systemer.
Er virksomheden også omfattet af NIS 2-loven, kører to veje side om side. Væsentlige hændelser i egne systemer underrettes efter lovens §§ 12-13 via virk.dk. En CRA-indberetning sendes gennem den fælles indberetningsplatform, som ENISA driver, Modtagerne er ENISA og den koordinerende CSIRT, og de får indberetningen samtidig. Den danske CSIRT er Forsvarets Efterretningstjeneste, og ifølge den er der i dag ingen integration mellem virk.dk og platformen. Hvordan de to regelsæt i øvrigt fordeler sig, står i NIS 2 og CRA i fremstillingsvirksomheden.
Fristerne, beredskabet måles imod
Forenklet gengivet skal en aktivt udnyttet sårbarhed varsles senest 24 timer efter, at fabrikanten fik kendskab til den. Inden for 72 timer følger en meddelelse, og den endelige rapport skal foreligge senest 14 dage efter, at der findes en rettelse eller en afbødning (artikel 14, stk. 2). For en alvorlig hændelse er de to første frister de samme. Den endelige rapport skal da foreligge senest en måned efter underretningen ved 72 timer (stk. 4).
Fristen løber fra kendskab, også en lørdag nat. Forordningen nævner ingen vagtordning. At nogen skal kunne tage stilling uden for arbejdstid, er en praktisk følge af ordlyden. Auditten bør behandle det som noget, der prøves, og ikke som et selvstændigt lovkrav. Hvornår en fabrikant har “fået kendskab”, og hvad der gør en sårbarhed aktivt udnyttet, er forklaret på siden om aktivt udnyttede sårbarheder og tidspunktet for kendskab.
Det, auditten efterprøver
Det følgende er praksis. Forordningen siger ikke, hvordan beredskabet skal auditeres.
Sorteringen ved indgangen. Beredskabsplanen bør skelne mellem en hændelse i virksomhedens egne systemer og en sårbarhed eller hændelse i et produkt, kunderne bruger. Auditor ser efter skelnen i planen og i hændelsesloggen. En sag kan have begge spor på én gang, og planen bør sige, hvem der så samler trådene.
Hvem vurderer, og hvem sender. Auditor beder om navnene på dem, der afgør, om en sag skal indberettes, og på dem, der indsender. Indsendelsen kræver en personlig EU Login-konto med flerfaktor. Fabrikanten vælger selv den rigtige CSIRT efter reglen om hovedforretningssted i artikel 14, stk. 7. ENISA råder til først at registrere sig, når der er en konkret indberetning. Auditten bør derfor ikke kræve en registrering på forhånd. Den kan spørge, om de udpegede kender adgangen og den rigtige CSIRT, og om en stedfortræder er aftalt. Roller og adgang på platformen er gennemgået under den fælles indberetningsplatform.
Oplysningerne til varslingen. Allerede den tidlige varsling beder ifølge ENISA’s glossar (version 1.6 af 21. oktober 2026) om blandt andet produktnavn, berørte versioner og de medlemsstater, hvor produktet er gjort tilgængeligt. Kan beredskabet ikke finde de svar inden for få timer, holder fristen ikke. Auditor kan bede om at se, hvor oplysningerne ligger, og hvornår de sidst blev ajourført.
Sporet efter en vurdering. Et nej skal også kunne forklares bagefter. Efter Kommissionens FAQ er en sårbarhed, som egne testere finder uden tegn på ondsindet udnyttelse, ikke omfattet af pligten. Auditor ser efter, om den slags vurderinger er skrevet ned med dato, begrundelse og navn.
Øvelsen. En gennemspillet sag med et produkt i centrum viser mere end en procedure på papir. Auditor ser efter, om øvelsen er holdt, hvem der deltog, hvor lang tid de enkelte trin tog, og hvad der blev rettet bagefter. Om bevis for øvelser i det hele taget, se krisestyring og øvelser.
Grænsen for auditten
Auditten udtaler sig om organisationens evne til at indberette. Den tager ikke stilling til, om en konkret sårbarhed var aktivt udnyttet, om en hændelse var alvorlig efter artikel 14, stk. 5, eller om produktet i øvrigt lever op til forordningen. Det er spørgsmål om produktet.
Støder auditor på en sag, der måske skulle have været indberettet, er det et fund, ledelsen bør vurdere med det samme. Pligten ligger hos fabrikanten, ikke hos auditor.
Mikrovirksomheder og små virksomheder kan ikke få en administrativ bøde for at overskride 24-timersfristen (artikel 64, stk. 10, litra a). De andre frister gælder for dem som for alle andre, så undtagelsen er ingen grund til at lade beredskabet ligge.
Hvad det kræver, og hvad det koster at lade være
Det kræver et produktspor i beredskabsplanen med navngivne roller og en stedfortræder, et kendt sted for versioner, kunder og lande og et fast sted, hvor vurderingerne gemmes. En gennemspillet sag om året giver auditten noget konkret at se på. Hyppigheden er praksis og ikke et krav.
Uden det bliver den første indberetning improviseret, måske en nat, hvor den eneste med adgang er på ferie. Så kan fristen være overskredet, før nogen har læst sagen.
Det skal I lade være med
- At lade NIS2-beredskabet stå som svar på artikel 14 · de to pligter har hver sin modtager og hver sin indgang.
- At registrere alle på platformen i forvejen for at have noget at vise · ENISA råder til at vente til en konkret sag.
- At gemme de sager, der blev indberettet, og glemme resten · vurderingen bag et nej er også bevis.
Det skal auditten kunne vise
- ☐ En beredskabsplan, der skelner mellem egne systemer og produkter hos kunderne.
- ☐ Navngivne personer til vurdering og indsendelse med aftalt stedfortræder.
- ☐ Hvor produktnavne, versioner og lande hentes, når en varsling skal udfyldes.
- ☐ Skrevne vurderinger med dato og begrundelse, også når svaret blev nej.
- ☐ Dato, deltagere og resultat af seneste øvelse med et produktscenarie.
Kilder
- Europa-Parlamentets og Rådets forordning (EU) 2024/2847 af 23. oktober 2024 (forordningen om cyberrobusthed), artikel 3, 14, 64, 69 og 71, https://eur-lex.europa.eu/legal-content/DA/TXT/HTML/?uri=OJ:L_202402847, læst 13. november 2026.
- Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4 af 4. september 2026, afsnit 5.1-5.3, https://ec.europa.eu/newsroom/dae/redirection/document/123307, læst 13. november 2026.
- ENISA, CRA SRP Guidance, AR User Registration, https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration, læst 13. november 2026.
- ENISA, CRA SRP Glossary, version 1.6, https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2, læst 13. november 2026.
- Forsvarets Efterretningstjeneste, Cyber Resilience Act (CRA), https://www.fe-ddis.dk/da/arbejdsomrade-a/Cybertruslen/cyber-reciliance-act/, læst 13. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12 og 13, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kan I nå 24 timer, 72 timer og en måned? · Auditten finder en hændelse
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
