123% flere rapporterede CVE'er pr. dag i 2026 end sidste år.

Hvad er Cyber Resilience Act?

EU-loven, der fastsætter cybersikkerhedsregler for hardware- og softwareprodukter, og hvad den kræver af de virksomheder, der laver dem

Cyber Resilience Act (CRA), forordning (EU) 2024/2847, er en EU-forordning, der fastsætter obligatoriske cybersikkerhedskrav til produkter med digitale elementer: hardware og software, der forbindes til en enhed eller et netværk, fra routere og smart home-enheder til apps, styresystemer og softwarekomponenter, der sælges separat. Den trådte i kraft den 10. december 2024. Producenter har skullet rapportere aktivt udnyttede sårbarheder og alvorlige hændelser siden 11. september 2026, og resten af forordningen gælder fra 11. december 2027.

Producenterne bærer de fleste forpligtelser. De vurderer cybersikkerhedsrisikoen, bygger produkter efter de væsentlige krav i bilag I, fører en softwarestykliste (SBOM), håndterer sårbarheder i en supportperiode på mindst fem år, gennemgår en overensstemmelsesvurdering og anbringer CE-mærkningen. Importører og distributører tjekker, at det er sket. Bøderne når op på €15 millioner eller 2,5 % af den globale årsomsætning.

CRACI automatiserer en betydelig del af den dokumentation, disse forpligtelser kræver: Det registrerer de komponenter, hvert build trækker ind, som en SBOM, tjekker dem igen mod nye sårbarheder, efter du har leveret, og eksporterer revisionsdokumentation til din tekniske dokumentation. Når en sårbarhed skal rapporteres, indsender CRACI CRA-underretningerne til myndighederne på dine vegne. Se sådan understøtter CRACI overholdelse af CRA.

What the Cyber Resilience Act asks manufacturers to do

Anvendelsesområdet for forordning (EU) 2024/2847, datoerne for, hvornår den finder anvendelse, indberetningsfristerne, og hvor forpligtelserne for SBOM og sårbarhedshåndtering ligger.

Petteri Pulkkinen og Erika Marttinen ved Kubernetes Community Days Helsinki 2026, 8:03 til 15:20 af SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.

Vigtige datoer

DatoHvad der sker
23. oktober 2024 Forordning (EU) 2024/2847 vedtaget af Europa-Parlamentet og Rådet
20. november 2024 Offentliggjort i Den Europæiske Unions Tidende
10. december 2024 Trådte i kraft
11. juni 2026 Reglerne om notifikation af overensstemmelsesvurderingsorganer (kapitel IV) gælder
11. september 2026 Rapportering af aktivt udnyttede sårbarheder og alvorlige hændelser (artikel 14) gælder, også for produkter, der allerede er på markedet
11. december 2027 Resten af forordningen gælder

CRA's centrale elementer

Obligatoriske sikkerhedskrav

Produkter skal opfylde de væsentlige cybersikkerhedskrav i bilag I, når de bringes i omsætning, og i hele supportperioden.

Risikobaseret klassificering

De fleste produkter hører til standardkategorien. Vigtige og kritiske produkter skal følge strengere veje til overensstemmelsesvurdering.

Håndtering af sårbarheder

Producenter fører en SBOM, retter sårbarheder uden forsinkelse og rapporterer aktivt udnyttede sårbarheder inden for 24 timer.

CE-mærkning

Efter en overensstemmelsesvurdering underskriver producenten en EU-overensstemmelseserklæring og anbringer CE-mærkningen.

Dokumentation og åbenhed

Teknisk dokumentation opbevares i mindst 10 år eller i supportperioden, og brugerne får at vide, hvornår supporten slutter.

Markedsovervågning

Nationale myndigheder kan anmode om dokumentation, påbyde korrigerende handlinger eller tilbagekaldelser og pålægge bøder.

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

Hvem berører CRA?

Producenter

Enhver, der udvikler eller fremstiller et produkt med digitale elementer eller får et lavet og markedsfører det under eget navn eller varemærke, mod betaling eller gratis. Producenter uden for EU er omfattet, når de sælger til EU.

Importører og distributører

Importører og distributører skal tjekke, at et produkt har CE-mærkningen, og at producenten har opfyldt sine forpligtelser, før de gør det tilgængeligt i EU.

Open source-software

Kun open source, der leveres som led i en kommerciel aktivitet, er omfattet. Open source-softwareforvaltere følger en lempelig ordning, og producenter forbliver ansvarlige for de open source-komponenter, de bygger ind.

Software- og SaaS-udbydere

Software, der sælges som et produkt, er omfattet, og det samme er den cloud-backend, et produkt har brug for for at virke. Software as a service alene hører under NIS2 og ikke under CRA.

Uden for anvendelsesområdet: produkter, der allerede er reguleret af EU's regler om medicinsk udstyr, in vitro-diagnostik og typegodkendelse af køretøjer, certificerede luftfartsprodukter, skibsudstyr, identiske reservedele og produkter bygget udelukkende til national sikkerhed eller forsvar (artikel 2).

Produktkategorier og overensstemmelsesvurdering

Alle producenter gennemfører en overensstemmelsesvurdering, før et produkt bringes i omsætning. Vejen afhænger af produktets kategori.

KategoriEksemplerOverensstemmelsesvurdering
Standard De fleste produkter med digitale elementer, der ikke er opført i bilag III eller IV Selvvurdering (intern kontrol) er tilladt
Vigtig, klasse I (bilag III) Identitets- og adgangsstyring, browsere, adgangskodeadministratorer, VPN'er, styresystemer, routere og switche, sikkerhedsprodukter til smart homes Selvvurdering kun, når der anvendes harmoniserede standarder, fælles specifikationer eller en certificeringsordning; ellers et bemyndiget organ
Vigtig, klasse II (bilag III) Hypervisorer og container-runtimes, firewalls og systemer til indtrængningsdetektion, manipulationssikre mikroprocessorer og mikrocontrollere Tredjepartsvurdering ved et bemyndiget organ eller en europæisk cybersikkerhedscertificeringsordning
Kritisk (bilag IV) Hardwareenheder med sikkerhedsbokse, gateways til intelligente målere, smartcards og sikre elementer Et europæisk cybersikkerhedscertifikat, hvor Kommissionen kræver et; ellers tredjepartsvurdering

Væsentlige krav

Bilag I fastsætter to grupper af væsentlige krav. Den første dækker selve produktet, ud fra en dokumenteret vurdering af cybersikkerhedsrisikoen:

  • Ingen kendte sårbarheder, der kan udnyttes, når produktet bringes i omsætning
  • En sikker standardkonfiguration
  • Sikkerhedsopdateringer, automatiske som standard, hvor det er relevant
  • Beskyttelse mod uautoriseret adgang og af dataenes fortrolighed og integritet
  • Dataminimering, tilgængelighed af væsentlige funktioner og en begrænset angrebsflade
  • Sikker, permanent fjernelse af brugerdata og indstillinger

Den anden dækker, hvordan producenten håndterer sårbarheder:

  • En SBOM, der som minimum dækker afhængighederne på øverste niveau
  • Rettelse af sårbarheder uden forsinkelse, med sikkerhedsopdateringer adskilt fra funktionsopdateringer, hvor det er muligt
  • Regelmæssige sikkerhedstest og gennemgange
  • En politik for koordineret offentliggørelse af sårbarheder og en kontakt til rapportering af sårbarheder
  • Offentliggørelse af rettede sårbarheder, når en opdatering er tilgængelig
  • Sikker og gratis distribution af opdateringer, med vejledende meddelelser

Producenter fastsætter også en supportperiode på mindst fem år, medmindre produktet forventes at være i brug i kortere tid, holder hver sikkerhedsopdatering tilgængelig i mindst 10 år og opbevarer den tekniske dokumentation og EU-overensstemmelseserklæringen i mindst 10 år eller i supportperioden, hvis den er længere (artikel 13).

Rapporteringsforpligtelser og frister

Siden 11. september 2026 har producenter skullet underrette om aktivt udnyttede sårbarheder og alvorlige hændelser via Single Reporting Platform, til det CSIRT, der er udpeget som koordinator i deres primære EU-medlemsstat, og samtidig til ENISA (artikel 14). Det gælder også produkter, der allerede er på markedet.

TrinAktivt udnyttet sårbarhedAlvorlig hændelse
Tidlig varsling Inden for 24 timer efter, at du er blevet opmærksom på den Inden for 24 timer efter, at du er blevet opmærksom på den
Underretning Inden for 72 timer, med oplysninger om produktet, udnyttelsen og eventuelle afhjælpende foranstaltninger Inden for 72 timer, med en første vurdering og eventuelle afhjælpende foranstaltninger
Endelig rapport Senest 14 dage efter, at en korrigerende eller afhjælpende foranstaltning er tilgængelig Inden for en måned efter underretningen om hændelsen

Producenter skal også informere berørte brugere og, hvor det er relevant, alle brugere om, hvilke afhjælpende skridt de kan tage. At overholde en frist på 24 timer afhænger af, at du inden for få timer ved, hvilke produkter og releases der indeholder den sårbare komponent, og det er det, en SBOM pr. release er til.

Sanktioner

Medlemsstaterne fastsætter sanktionerne inden for disse maksimumbeløb (artikel 64). Markedsovervågningsmyndigheder kan også påbyde korrigerende handlinger, tilbagetrækning eller tilbagekaldelse af et produkt.

OvertrædelseMaksimal administrativ bøde
Væsentlige cybersikkerhedskrav (bilag I) og producentens forpligtelser (artikel 13 og 14) Op til €15 millioner eller 2,5 % af den samlede globale årsomsætning, alt efter hvad der er højest
Andre forpligtelser, herunder importørers og distributørers, overensstemmelseserklæringen, CE-mærkning, teknisk dokumentation og overensstemmelsesvurdering Op til €10 millioner eller 2 % af den samlede globale årsomsætning, alt efter hvad der er højest
Ukorrekte, ufuldstændige eller vildledende oplysninger givet til bemyndigede organer eller markedsovervågningsmyndigheder Op til €5 millioner eller 1 % af den samlede globale årsomsætning, alt efter hvad der er højest

Mikrovirksomheder og små virksomheder får ikke bøder for at overskride fristen på 24 timer for den tidlige varsling, og open source-softwareforvaltere får ikke bøder for nogen overtrædelse.

Open source og CRA

Gratis og open source-software er kun omfattet, når den leveres som led i en kommerciel aktivitet, og at hoste et projekt på et åbent repository eller en pakkehåndtering gør det ikke i sig selv tilgængeligt på markedet. Open source-softwareforvaltere, juridiske personer som fonde, der støtter open source-projekter beregnet til kommerciel brug, skal have en dokumenteret cybersikkerhedspolitik, samarbejde med markedsovervågningsmyndighederne og rapportere aktivt udnyttede sårbarheder, i det omfang de er involveret i udviklingen (artikel 24).

For producenter er open source en komponent som enhver anden. De skal udvise rettidig omhu, når de integrerer den, rapportere sårbarheder, de finder, til det projekt, der vedligeholder den, og dele rettelser, de udvikler (artikel 13). Derfor er SBOM'en vigtig: Den er registreringen af, hvilke open source-komponenter, i hvilke versioner, der leveres i hver release.

Hvad CRA betyder for udviklingsteams

Et produkt i dag består for det meste af andres kode: open source-biblioteker, pakker hentet fra registries, base-images til containere, tredjeparts-SDK'er og de build-værktøjer og CI/CD-pipelines, der sætter det hele sammen. SolarWinds-angrebet gik gennem et build-system, og Log4Shell var en sårbarhed i et meget brugt bibliotek; begge nåede færdige produkter. CRA gør producenten ansvarlig for det hele, herunder rettidig omhu for de tredjeparts- og open source-komponenter, den bygger ind (artikel 13).

I praksis gør teams, der forbereder sig på CRA, følgende:

  • Ved, hvad der leveres i hver release, fordi de producerer en SBOM fra hvert build i et maskinlæsbart format som CycloneDX eller SPDX i stedet for én gang ved release
  • Overvåger udgivne versioner, ikke kun main-branchen, fordi en sårbarhed fundet efter release stadig skal rettes uden forsinkelse i supportperioden
  • Aftaler politikker for afhængigheder: hvordan nye komponenter vælges og gennemgås, hvor hurtigt opdateringer rulles ud, og hvilke fund der blokerer en release
  • Øver sig på fristen på 24 timer: hvem der bekræfter aktiv udnyttelse, hvem der indsender den tidlige varsling, og hvem der informerer brugerne
  • Gemmer dokumentation undervejs, da build-registreringer, SBOM'er og testresultater indgår i den tekniske dokumentation, der skal opbevares i mindst 10 år

Kravene som en trinvis køreplan finder du i CRA-guiden. Se også hvad CRA kræver af en SBOM og sådan understøtter CRACI overholdelse af CRA.

Ofte stillede spørgsmål om Cyber Resilience Act

Korte svar på de spørgsmål, producenter oftest stiller om CRA

Hvad er Cyber Resilience Act?

Cyber Resilience Act (CRA), forordning (EU) 2024/2847, er en EU-forordning, der fastsætter obligatoriske cybersikkerhedskrav til hardware- og softwareprodukter med digitale elementer, der bringes på EU-markedet. Den gør producenter ansvarlige for sikkerheden fra design og gennem en supportperiode på mindst fem år, herunder håndtering af sårbarheder, en SBOM og rapportering af aktivt udnyttede sårbarheder.

Hvornår gælder Cyber Resilience Act?

Den trådte i kraft den 10. december 2024. Rapporteringsforpligtelserne i artikel 14 gælder fra 11. september 2026, reglerne om overensstemmelsesvurderingsorganer fra 11. juni 2026 og resten af forordningen fra 11. december 2027.

Gælder CRA for software og SaaS?

Software, der sælges eller leveres som et produkt, er omfattet, herunder apps, styresystemer, firmware og softwarekomponenter, der bringes i omsætning separat. Cloud-tjenester er kun omfattet som fjerndatabehandling for et produkt, for eksempel den cloud-backend, der lader dig styre en smart home-enhed. Software as a service alene hører i stedet under NIS2 (betragtning 12).

Gælder CRA for open source-software?

Kun open source, der leveres som led i en kommerciel aktivitet. Ikke-kommercielle open source-projekter er uden for anvendelsesområdet. Open source-softwareforvaltere, for eksempel fonde, der støtter projekter beregnet til kommerciel brug, følger en lempelig ordning og kan ikke få bøder. Producenter, der bygger open source-komponenter ind i deres produkter, forbliver fuldt ansvarlige for dem.

Hvad er CRA's rapporteringskrav?

Producenter underretter om aktivt udnyttede sårbarheder og alvorlige hændelser via Single Reporting Platform til deres koordinerende CSIRT og ENISA: en tidlig varsling inden for 24 timer, en underretning inden for 72 timer og en endelig rapport inden for 14 dage efter en rettelse for sårbarheder eller inden for en måned for hændelser. De informerer også berørte brugere.

Kræver CRA en SBOM?

Ja. Bilag I, del II kræver en softwarestykliste i et almindeligt anvendt og maskinlæsbart format, der som minimum dækker afhængighederne på øverste niveau. Den er en del af den tekniske dokumentation og gives til en markedsovervågningsmyndighed efter anmodning; den skal ikke offentliggøres.

Hvad er sanktionerne under CRA?

Op til €15 millioner eller 2,5 % af den globale årsomsætning for overtrædelse af de væsentlige krav eller producentens forpligtelser, op til €10 millioner eller 2 % for andre forpligtelser og op til €5 millioner eller 1 % for at vildlede myndighederne. Mikrovirksomheder og små virksomheder får ikke bøder for at overskride fristen på 24 timer for den tidlige varsling.

Gælder CRA for produkter, der allerede er på markedet?

Det gør rapporteringsforpligtelserne, fra 11. september 2026. Ellers er produkter, der er bragt i omsætning før 11. december 2027, kun omfattet af CRA, hvis de ændres væsentligt efter den dato.

Få den dokumentation, din CRA-proces har brug for

Se, hvordan CRACI registrerer SBOM'er fra dine builds, overvåger det, du har leveret, og indsender CRA-underretninger på dine vegne

Book en demo Tjek, om CRA gælder for dig