Siden 11. september 2026 skal fabrikanter af software og udstyr med digitale elementer indberette aktivt udnyttede sårbarheder i deres produkter. Indberetningen går til myndighederne, ikke til jer. Som bruger hører I om sagen gennem fabrikantens underretning af brugerne, og den når kun frem, hvis nogen hos jer er sat til at modtage den.
Artiklen er skrevet til kunden. Fabrikantens egen arbejdsgang ved en indberetning behandles ikke her.
Det, fabrikanten skal gøre
Pligten står i artikel 14 i forordning 2024/2847. Den gælder også for produkter, der er solgt før 11. december 2027 (artikel 69, stk. 3). Forordningen kalder en sårbarhed aktivt udnyttet, når det kan dokumenteres pålideligt, at nogen med ond hensigt har brugt den i et system, hvis ejer ikke har givet lov (artikel 3, nr. 42). Hvornår fabrikanten har fået kendskab til det, er forklaret i artiklen om, hvornår en sårbarhed regnes som aktivt udnyttet.
Fabrikanten underretter samtidig den koordinerende CSIRT og ENISA via den fælles indberetningsplatform. Indberetningen sker i tre trin efter artikel 14, stk. 2. Varslingen skal ind inden for et døgn, meddelelsen inden for tre døgn, og den endelige rapport to uger efter, at der findes en rettelse eller anden løsning, som brugerne kan tage i brug. For Danmark er den koordinerende CSIRT placeret hos Forsvarets Efterretningstjeneste.
Fristerne gælder indberetningen til myndighederne. De siger intet om, hvornår I som bruger skal høre fra fabrikanten.
Det, I som bruger hører
Efter artikel 14, stk. 8, underretter fabrikanten de berørte brugere og, hvor det er relevant, alle brugere. Underretningen handler om sårbarheden og om nødvendigt om de foranstaltninger, brugerne kan træffe for at begrænse risikoen. Hvor det er relevant, gives den i et struktureret, maskinlæsbart format. Underretter fabrikanten ikke i tide, kan CSIRT’en gøre det, hvis den finder det nødvendigt.
Kommissionen skriver i sin vejledning, at pligten skal bruges efter risiko og med måde. Fabrikanten må holde de tekniske detaljer inden for kredsen af berørte kunder, især når detaljerne kan øge risikoen. I kan altså få mere at vide end offentligheden, men I skal kunne tage imod det fortroligt. Hvad underretningen skal rumme, er gennemgået i artiklen om fabrikantens underretning af brugerne.
Ifølge den danske CSIRT har brugere ingen selvstændig pligt efter artikel 14. Det har importører og distributører heller ikke, alene fordi de sælger produktet videre.
Når leverandøren ikke er fabrikanten
Mange købte systemer kommer gennem en driftsleverandør eller et softwarehus, der samler andres produkter. Fabrikanten sender da sin underretning til den, den kender som bruger. Det er ofte leverandøren og ikke jer.
Spørg derfor leverandøren, hvem fabrikanterne har registreret som kontakt for de produkter, I bruger. Og spørg, hvordan en underretning bliver givet videre til jer, hvem der gør det, og hvor hurtigt. Et tænkt eksempel: Et regnskabsprogram hos jer bygger på en databasemotor fra en anden fabrikant. Fabrikanten underretter driftsleverandøren, der har købt licensen. Står intet i aftalen, kan beskeden blive i leverandørens indbakke, mens I kører videre på den sårbare version.
Det, aftalen bør sige
Punkterne nedenfor er almindelig praksis. Forordningen stiller dem ikke som krav.
- Videregivelse. Leverandøren giver en underretning fra en fabrikant videre til en navngiven modtager hos jer inden for en aftalt frist.
- Betydning for jer. Leverandøren oplyser, hvilke af jeres systemer og versioner der er berørt, og hvad der er gjort for at begrænse risikoen.
- Opdatering. Leverandøren oplyser, hvornår rettelsen er installeret, eller hvorfor den ikke er det endnu.
- Fortrolighed. Detaljer, I får før offentligheden, behandles fortroligt hos begge parter.
- Status. I kan bede om en status, når fabrikantens endelige rapport er afgivet.
Er leverandøren selv fabrikant, kan aftalen henvise direkte til underretningen efter artikel 14, stk. 8, og fastlægge adressen hos jer. Hvad der i øvrigt bør stå om hændelser hos leverandøren, står under hændelseshåndtering og underretning.
Jeres egne pligter er en anden sag
Rammer udnyttelsen jeres egne systemer, kan I have pligter efter andre regler, fx NIS 2-loven eller databeskyttelsesforordningen. De følger af jeres egen situation og ikke af fabrikantens indberetning. En underretning fra fabrikanten bør derfor gå ind i jeres egen hændelsesproces, så nogen tager stilling til, om sårbarheden er udnyttet hos jer.
Vurderer I bagefter, at leverandøren har håndteret sagen dårligt, kan en ekstraordinær audit være på sin plads. Fremgangsmåden står under audit efter en sikkerhedshændelse hos leverandøren.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fast modtager hos jer og en aftale om, at leverandøren giver beskeder fra fabrikanterne videre. Det kræver også, at modtageren ved, hvem der vurderer beskeden, og hvem der kan beslutte at lukke en funktion ned.
Uden aftalen kan en aktivt udnyttet sårbarhed være kendt af fabrikant, leverandør og myndigheder, før nogen hos jer har hørt om den.
Det skal I lade være med
- At regne med, at fabrikanten kender jeres adresse · skriv modtageren ned, og bed leverandøren bekræfte den.
- At læse 24 og 72 timer som jeres varslingsfrist · fristerne gælder indberetningen til myndighederne.
- At dele de tekniske detaljer bredt · de kan øge risikoen, indtil rettelsen er ude.
Det skal auditten kunne vise
- ☐ En navngiven modtager hos jer for underretninger fra fabrikanter.
- ☐ Leverandørens oplysning om, hvem fabrikanterne har som kontakt.
- ☐ En aftalt frist for videregivelse af underretninger.
- ☐ Sporet fra en underretning til installeret rettelse hos jer.
- ☐ At underretningen indgår i jeres egen hændelsesproces.
Kilder
- Forordning (EU) 2024/2847 (Cyber Resilience Act), artikel 3, nr. 42, artikel 14, stk. 1, 2 og 8, artikel 69, stk. 3, og artikel 71, læst 13. november 2026.
- Europa-Kommissionen, Commission guidance on the application of Regulation (EU) 2024/2847, C(2026) 5252, 27. juli 2026, punkt 211 til 221, læst 13. november 2026.
- Forsvarets Efterretningstjeneste, Cyber Resilience Act (CRA), sidst opdateret 2. oktober 2026, læst 13. november 2026.
- ENISA, List of CSIRTs Designated as Coordinators, sidst opdateret 10. september 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Udpeg en modtager hos jer, og bed hver leverandør oplyse, hvordan beskeder fra fabrikanterne når frem.
Læs også: Sårbarhedshåndtering og opdateringer hos leverandøren · Produkter med digitale elementer
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
