Spørgeskemaet til jeres IT-leverandør kan godt have et afsnit om Cyber Resilience Act allerede nu. Men kun indberetningspligten i artikel 14 gælder i dag, og den har gjort det siden 11. september 2026. De øvrige regler finder anvendelse fra 11. december 2027, så skemaet bør skille spørgsmål om gældende pligter fra spørgsmål om planer.
Artiklen er skrevet til kunden, der sender skemaet. Hvordan et softwarehus selv bør svare, står i artiklen om, hvad en producent ærligt kan oplyse kunderne før december 2027.
Først et spørgsmål om rollen
Forordningen lægger de fleste pligter på fabrikanten. Det er den, der udvikler et produkt med digitale elementer eller får det udviklet og markedsfører det under sit eget navn eller varemærke (artikel 3, nr. 13). Mange IT-leverandører er ikke fabrikant af det, de leverer. En driftsleverandør installerer og passer ofte andres software, og en forhandler videresælger den.
Begynd derfor CRA-afsnittet med to spørgsmål:
- Hvilke af de produkter, I leverer til os, markedsfører I under jeres eget navn eller varemærke?
- For de øvrige produkter: hvem er fabrikanten, og hvilken version kører hos os?
En importør eller distributør, der sælger et produkt under eget navn eller ændrer det væsentligt, bliver selv regnet som fabrikant (artikel 21). Spørg derfor også, om leverandøren har tilpasset et andet firmas produkt, før det kom til jer. Svarene afgør, hvilke af de følgende spørgsmål leverandøren selv kan besvare, og hvilke der skal videre til fabrikanten.
Spørgsmål om det, der gælder nu
Artikel 14 pålægger fabrikanten at underrette den koordinerende CSIRT og ENISA om aktivt udnyttede sårbarheder og alvorlige hændelser i produktet. Pligten gælder også for produkter, der blev bragt i omsætning inden 11. december 2027 (artikel 69, stk. 3). Det giver jer fire spørgsmål, som en fabrikant bør kunne svare konkret på i dag:
- Hvem hos jer kan indgive en indberetning, og hvem træder til, når vedkommende er væk?
- Hvordan vurderer I en henvendelse om, at en sårbarhed bliver udnyttet, og hvem træffer beslutningen?
- Hvordan underretter I os som bruger af produktet, og til hvilken adresse hos os?
- Hvilke af jeres produkter har I vurderet som omfattet af forordningen, og hvornår blev vurderingen lavet?
Det tredje spørgsmål har grund i artikel 14, stk. 8, der kræver, at fabrikanten underretter de berørte brugere. Hvad fabrikanten skal kunne klare inden for fristerne, er beskrevet i artiklen om indberetningspligten, der gælder nu.
Spørgsmål om planer
Det meste andet bliver først pligt fra december 2027. Her kan I spørge til planen og bede om datoer, men ikke om en erklæring. Det er praksis og ikke et krav fra forordningen at stille spørgsmålene nu.
- Supportperiode. Har I fastlagt, hvor længe produktet får sikkerhedsopdateringer, og hvornår oplyser I slutdatoen? Fra december 2027 skal slutdatoen med mindst måned og år stå tydeligt ved købet (artikel 13, stk. 19).
- Kontaktpunkt. Har I et sted, hvor vi og andre kan melde en sårbarhed, og en politik for koordineret offentliggørelse? Begge dele bliver krav i bilag I, del II.
- Komponentliste. Udarbejder I en softwarekomponentliste for produktet, og vil I dele den med os? Fabrikanten skal udarbejde listen, men det er dens eget valg, om brugerne får den (bilag II, nr. 9).
- Ældre versioner. Hvilke af de versioner, vi bruger, er kommet på markedet før 11. december 2027? Kravene gælder for dem, hvis de får en væsentlig ændring den dag eller senere (artikel 69, stk. 2).
Det, skemaet ikke bør bede om
Nogle spørgsmål kan ikke besvares ærligt i dag, og et ja vil derfor være forkert.
En EU-overensstemmelseserklæring og et CE-mærke forudsætter, at fabrikanten har gennemført en overensstemmelsesvurdering med positivt resultat. Kommissionens tjenestegrene siger i deres FAQ, at erklæringen ikke kan underskrives, og mærket ikke anbringes, uden den vurdering. Før reglerne gælder, er der intet at erklære.
Den tekniske dokumentation har kunderne efter samme FAQ ingen ret til at få. Bed om den i aftalen, hvis I har brug for dele af den, men forvent ikke at få den med henvisning til forordningen.
Spørg heller ikke, om produktet er “CRA-certificeret”. Forordningen kender ikke en sådan betegnelse for et produkt i almindelighed, og i november 2026 var ingen harmoniseret standard til CRA set offentliggjort i EU-Tidende.
Svar, der skal følges op
Nogle svar lyder fyldestgørende, men giver intet at kontrollere. Tre typer er værd at spørge videre til:
- “Vi er CRA-klar.” Spørg, hvad det dækker, og hvilken del af forordningen svaret bygger på.
- “CRA gælder ikke for os.” Bed om begrundelsen, fx at ydelsen er en ren cloudtjeneste uden produkt hos jer. Begrundelsen kan være rigtig, men den skal stå på skrift.
- Svar uden navne og datoer. Et beredskab til indberetning er personer, en adgang og en arbejdsgang. Står ingen af delene i svaret, er det en plan og ikke et beredskab.
Hvis leverandøren afviser at svare eller svarer udenom, er fremgangsmåden den samme som ved andre spørgsmål i skemaet. Den står i artiklen om, hvad I gør, når leverandøren afviser eller undviger.
Hvad det kræver, og hvad det koster at lade være
Det kræver et kort CRA-afsnit i skemaet og en liste over de produkter, leverancen bygger på, med fabrikant og version. Svarene skal læses af én, der kender datoerne, så et “nej, ikke endnu” ikke bliver regnet som et fund.
Uden afsnittet ved I ikke, om jeres leverandør kan indberette en udnyttet sårbarhed, eller hvem hos jer der får beskeden. Spørger I til det forkerte, får I til gengæld svar, der ser rigtige ud, men ikke kan holde.
Det skal I lade være med
- At bede om en overensstemmelseserklæring før december 2027 · der er endnu intet, fabrikanten kan erklære.
- At sende CRA-spørgsmål til en leverandør, der ikke er fabrikant · spørg i stedet, hvem fabrikanten er, og hvordan oplysningerne når jer.
- At regne et manglende svar om planer som et fund · kun artikel 14 gælder i dag.
Det skal auditten kunne vise
- ☐ En liste over produkter i leverancen med fabrikant og version.
- ☐ Leverandørens svar om rolle, indberetning og underretning af brugere.
- ☐ Navngivne personer og en stedfortræder til indberetning hos fabrikanten.
- ☐ Den adresse hos jer, som fabrikanterne skal sende underretninger til.
- ☐ Svar om supportperiode, kontaktpunkt og komponentliste med datoer.
- ☐ Opfølgning på svar uden begrundelse.
Kilder
- Forordning (EU) 2024/2847 (Cyber Resilience Act), artikel 3, nr. 13, artikel 13, stk. 19, artikel 14, stk. 1 og 8, artikel 21, 69 og 71, bilag I, del II, og bilag II, nr. 9, læst 13. november 2026.
- Europa-Kommissionens tjenestegrene, FAQs on the Cyber Resilience Act, version 1.4 af 4. september 2026, FAQ 5.3, 6.6, 6.7 og 6.8, læst 13. november 2026.
- Europa-Kommissionen, Cyber Resilience Act: Standardisation, sidst opdateret 12. november 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de fire spørgsmål om indberetning ind i jeres skema, og send dem til de leverandører, der selv er fabrikant.
Læs også: Produkter med digitale elementer · Sådan læser I et udfyldt spørgeskema
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
