Spørger ledelsen eller bestyrelsen, om virksomheden er klar til forordningen om cyberrobusthed (CRA), kan en intern parathedsaudit give et ærligt svar. Den kan vise, om organisationen har ejere, processer og planer for de pligter, som forordningen først stiller fra 11. december 2027, og om den allerede overholder indberetningspligten i artikel 14, som har gældt siden 11. september 2026.
Den kan ikke sige, at produkterne lever op til forordningen. Det er en anden opgave med en anden genstand.
Anledningen
Spørgsmålet kommer typisk fra tre steder. Ledelsen vil vide, hvor meget arbejde der ligger foran. Bestyrelsen vil have et billede, der hviler på mere end udviklingsafdelingens egen vurdering. Og kunderne begynder at spørge, hvad virksomheden kan sige om CRA, før kravene gælder. Hvad der ærligt kan svares kunderne, er beskrevet under hvad kunderne kan få at vide før december 2027.
En intern audit er et godt første skridt, fordi den kan tilrettelægges af virksomheden selv og gentages, efterhånden som arbejdet skrider frem. Hvornår en ekstern auditor giver mere, står i intern og ekstern audit.
Kriterierne er forordningens pligter
En audit skal måle mod noget. EU-Tidende havde efter det, vi har kunnet finde, i november 2026 ingen reference til en harmoniseret standard for forordningen, og Kommissionens vejledning af 27. juli 2026 er ikke bindende. Det mest holdbare kriterium er derfor forordningens egne pligter for fabrikanten, læst én for én.
Forordningen pålægger “fabrikanten” pligterne og fordeler dem ikke internt. Auditten kan derfor spørge, om hver pligt har fået en ejer i organisationen. Eksempler fra teksten:
- risikovurderingen og dens ajourføring (artikel 13, stk. 2-3 og stk. 7)
- supportperioden og sårbarhedshåndteringen (artikel 13, stk. 8)
- det centrale kontaktpunkt for brugerne (artikel 13, stk. 17)
- den tekniske dokumentation og erklæringen om overensstemmelse (artikel 13, stk. 12-13)
- korrigerende foranstaltninger og svar til myndigheden (artikel 13, stk. 21 og 22)
- indberetning og underretning af brugerne (artikel 14)
For hver pligt kan auditten stille de samme fire spørgsmål. Hvem ejer den? Findes der en proces? Hvor langt er den? Hvad er planen for resten? Hvordan ejerskabet kan fordeles, er beskrevet under hvem ejer CRA i en produktvirksomhed.
Det, der kan prøves som gældende ret, og det, der kun er plan
Parathedsauditten har to dele, og rapporten bør holde dem adskilt.
Artikel 14 gælder nu. Her kan auditten prøve, om beredskabet kan indberette inden for fristerne. Fund her er mangler i forhold til en gældende pligt. Metoden står i auditten af beredskabet efter artikel 14.
Resten gælder fra 11. december 2027. Her kan auditten kun vurdere tilstand og plan. Et manglende sårbarhedsregister er i dag ikke et brud på forordningen. Det er en risiko for, at virksomheden ikke når at blive klar. Den forskel skal stå tydeligt, ellers læser ledelsen rapporten forkert.
Produktoversigten
En del af parathedsauditten er at se efter, om der findes en oversigt over virksomhedens produkter med en vurdering af, om de er omfattet, og om nogle er vigtige produkter. Auditten kan efterprøve, at oversigten findes, er ajour og har en ejer.
Om vurderingen af det enkelte produkt er rigtig, er et spørgsmål om produktet og hører til en gennemgang af det. Hvordan produkterne kan prioriteres efter forordningens egne kriterier, står under produktporteføljen i rækkefølge.
Hvem auditerer
Det følgende er praksis. En intern auditor bør ikke selv have bygget det, der auditeres. Er det udviklingschefen, der har lagt CRA-planen, bør en anden stille spørgsmålene, fx kvalitets- eller compliance-funktionen. Virksomheden uden en sådan funktion kan få en ekstern til at stå for den første runde og selv gentage den bagefter.
Hvad rapporten må sige
Rapporten beskriver tilstand og plan. Den må ikke kalde virksomheden “CRA-klar”, “CRA-godkendt” eller noget lignende. En EU-overensstemmelseserklæring kan først underskrives, når en overensstemmelsesvurdering er gennemført med positivt resultat, og det er fabrikanten selv, der underskriver den.
Fundene bør ende i en handlingsplan med ejere og frister, så ledelsen kan beslutte ressourcer og rækkefølge. Se fra fund til handlingsplan.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over forordningens pligter, en produktoversigt og nogen, der kan stille spørgsmålene uden at have svaret på dem selv. En første runde kan tage form af interviews og gennemsyn af dokumenter. Det er praksis og ingen norm.
Uden en parathedsaudit hviler ledelsens billede på antagelser. Det tager tid at opbygge sårbarhedshåndtering, dokumentation og supportpolitik for flere produkter, og den tid kan være brugt, før nogen opdager, at ingen ejede opgaven.
Det skal I lade være med
- At skrive “CRA-klar” i rapporten eller i salgsmaterialet · det kan ingen dokumentere før en overensstemmelsesvurdering.
- At blande gældende pligt og fremtidig plan i samme fundliste · ledelsen skal kunne se forskel.
- At lade den, der har lagt planen, auditere den · så måler planen sig selv.
Det skal auditten kunne vise
- ☐ En liste over fabrikantens pligter med ejer, status og plan for hver.
- ☐ En prøve af indberetningsberedskabet efter artikel 14.
- ☐ En produktoversigt med vurdering af, om produkterne er omfattet, og med ejer.
- ☐ En rapport, der holder gældende pligt og fremtidig plan adskilt.
Kilder
- Europa-Parlamentets og Rådets forordning (EU) 2024/2847 af 23. oktober 2024 (forordningen om cyberrobusthed), artikel 13, 14, 27, 69 og 71, https://eur-lex.europa.eu/legal-content/DA/TXT/HTML/?uri=OJ:L_202402847, læst 13. november 2026.
- Europa-Kommissionen, Commission guidance on the application of Regulation (EU) 2024/2847, C(2026) 5252, 27. juli 2026, punkt 8, https://ec.europa.eu/newsroom/dae/redirection/document/131456, læst 13. november 2026.
- Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4 af 4. september 2026, afsnit 6.8, https://ec.europa.eu/newsroom/dae/redirection/document/123307, læst 13. november 2026.
- Europa-Kommissionen, Cyber Resilience Act, Standardisation, https://digital-strategy.ec.europa.eu/en/policies/cra-standardisation, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Bestyrelsen vil have et uafhængigt billede · Hvad en sikkerhedsaudit ikke kan
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
