En fremstillingsvirksomhed, der laver produkter med digitale elementer, kan have to regelsæt på samme tid. NIS 2-loven gælder virksomhedens egne net- og informationssystemer. Forordningen om cyberrobusthed (CRA) gælder de produkter, virksomheden gør tilgængelige på markedet.
En NIS2-audit dækker det første. Artiklen forklarer grænsen, de datoer, der allerede gælder, og hvor de to regelsæt rører hinanden.
CRA i korte træk
Forordning (EU) 2024/2847 gælder produkter med digitale elementer, der gøres tilgængelige på markedet, og som har en direkte eller indirekte logisk eller fysisk dataforbindelse til en enhed eller et net (artikel 2, stk. 1). Tænkte eksempler er en maskine med styring og netforbindelse eller et måleinstrument, der sender data.
Forordningen finder anvendelse fra 11. december 2027 (artikel 71). Der er to tidligere datoer:
- Kapitel IV (artikel 35-51) gælder fra 11. juni 2026.
- Artikel 14 om fabrikantens rapporteringsforpligtelser gælder fra 11. september 2026.
Pr. november 2026 gælder artikel 14 altså allerede.
Artikel 14: det, der gælder nu
Artikel 14 pålægger fabrikanten at underrette CSIRT-koordinatoren og ENISA om aktivt udnyttede sårbarheder i sine produkter. Forenklet gengivet er fristerne en tidlig varsling senest 24 timer efter, en meddelelse senest 72 timer efter, og en endelig rapport senest 14 dage efter, at en korrigerende foranstaltning er tilgængelig.
Fristerne minder om NIS 2-lovens, men det er en anden pligt med et andet emne. NIS 2 handler om væsentlige hændelser i jeres egne systemer. Artikel 14 handler om sårbarheder i produkter, I har sendt på markedet.
Undtagelser
CRA gælder ikke produkter under forordning 2017/745 og 2017/746 om medicinsk udstyr eller under forordning 2019/2144, produkter certificeret efter forordning 2018/1139 og udstyr under direktiv 2014/90/EU (artikel 2, stk. 2-4). Er I producent af medicinsk udstyr, er forholdet til NIS 2 beskrevet i producent af medicinsk udstyr.
Grænsen for NIS2-auditten
Det følgende er vores tolkning. NIS 2-loven retter sig mod de systemer, virksomheden selv kører på. Det er udviklingsmiljøer, produktionsstyring, ERP, mail og de systemer, der håndterer kundedata. CRA gælder produktet: hvordan det er konstrueret, hvordan sårbarheder håndteres i dets levetid, og hvordan overensstemmelsen vurderes.
En NIS2-audit udtaler sig derfor ikke om, hvorvidt jeres produkter overholder CRA. Den tester ikke fysiske produkter. Hvordan audit af virksomheden og af et softwareprodukt adskiller sig, står i virksomheden eller produktet.
Hvor de to rører hinanden
Nogle processer tjener begge regelsæt:
- Sårbarhedshåndtering. NIS 2 kræver håndtering og offentliggørelse af sårbarheder som del af sikkerheden ved erhvervelse, udvikling og vedligeholdelse (§ 6, stk. 1, nr. 5). CRA kræver rapportering om aktivt udnyttede sårbarheder i produkterne. Begge forudsætter, at nogen modtager og vurderer oplysninger om sårbarheder. Se audit af sårbarhedshåndtering.
- Hændelsesberedskab. Den, der modtager en melding om en sårbarhed i et produkt, er måske også den, der håndterer hændelser i virksomheden. Rollerne bør være beskrevet for begge spor.
- Udviklingsmiljøet. Et kompromitteret byggesystem kan ramme både virksomheden og produktet.
Betragtning 68 i CRA nævner, at forordningen også skal gøre det lettere for udbydere af digital infrastruktur at overholde forsyningskædekravene efter NIS 2-direktivet. Jeres kunder kan altså komme til at spørge til CRA, når de selv arbejder med NIS 2.
Hvad en gennemgang af selve softwareproduktet og udviklingsprocessen efter CRA omfatter, er beskrevet på siden om Cyber Resilience Act for softwareproducenter.
Hvad en NIS2-audit kan sige om grænsefladerne
Det følgende er praksis. Auditten kan efterprøve, at meldinger om sårbarheder har en fast modtager, at de sorteres i egne systemer og produkter, og at rollerne for de to slags underretning er fordelt. Den kan også se på, om udviklingsmiljøet er med i risikovurderingen. Den vurderer ikke, om rapporteringen efter CRA er korrekt.
Kundernes spørgsmål
Det følgende er praksis. Kunder, der selv er omfattet af NIS 2, kan spørge både til jeres virksomhed og til jeres produkter. Svarene kommer fra to forskellige steder. Spørgsmål om jeres egne systemer kan belægges med en NIS2-audit. Spørgsmål om produktet kræver dokumentation fra produktudviklingen. Hold de to svar adskilt, så en kunde ikke læser en auditrapport som en udtalelse om produktet. Om kundens krav, når I ikke selv er omfattet, se når kunden er under NIS 2.
Hvad det kræver, og hvad det koster at lade være
At holde de to regelsæt adskilt kræver en afgrænsning skrevet ned: hvilke systemer er virksomhedens, hvilke produkter er omfattet af CRA, og hvem ejer hvert spor. Arbejdet kræver både IT og produktudvikling ved bordet.
Blandes de sammen, kan en NIS2-audit blive læst som en udtalelse om produkterne, og en sårbarhed i et produkt kan blive behandlet som en intern hændelse. Begge dele giver forkerte beslutninger.
Det skal I lade være med
- At bruge en NIS2-auditrapport som dokumentation for produkternes overensstemmelse · den dækker virksomheden.
- At antage, at CRA først gælder i 2027 · artikel 14 gælder allerede.
- At lade udviklingsmiljøet ude af risikovurderingen · det rammer både virksomhed og produkt.
Det skal auditten kunne vise
- ☐ En afgrænsning mellem virksomhedens systemer og produkterne med digitale elementer.
- ☐ En proces for meldinger om sårbarheder, der skelner mellem egne systemer og produkter.
- ☐ Roller for underretning efter NIS 2-loven og efter CRA artikel 14.
- ☐ Udviklings- og byggemiljøer med i risikovurderingen.
Kilder
- Forordning (EU) 2024/2847 (cyberrobusthed), artikel 2, 14 og 71 samt betragtning 68, https://publications.europa.eu/resource/celex/32024R2847, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhed ved anskaffelse og udvikling · OT i NIS2-auditten
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
