Sådan rapporterer du sårbarheder inden for 24 timer under Cyber Resilience Act

• CRA Artikel 14: 24-timers rapportering af udnyttede sårbarheder/alvorlige hændelser.
• Rapportering sker via ENISA’s platform til den koordinerende CSIRT.
• Producenter uden for EU skal udpege en autoriseret repræsentant.
• REP27 — Europe Services, SE: €490/år mandat (pris verificeret).
• Skjulte omkostninger: intern engineering, supportperiode, overensstemmelsesvurdering.
• Leverandører varierer i offentliggjorte priser, inklusioner og gennemsigtighed.

Opdateret 19 October 2026 · 12 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 19 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Hvad kræver Cyber Resilience Act (med artikelnumre)

Cyber Resilience Act (CRA) er en omfattende regulering, der gælder for alle produkter med digitale elementer, der bringes på EU-markedet, uanset om det er hardware eller software (Artikel 1, kilde). Dets kerneformål er at sikre, at produkter designes, udvikles og vedligeholdes med cybersikkerhed som en integreret del af deres livscyklus. Loven trådte i kraft den 10. december 2024 (Artikel 71(1)), men de fleste forpligtelser, herunder rapportering, bliver bindende fra 11. september 2026 for Artikel 14 og fuldt ud fra 11. december 2027 (Artikel 71(2)).

Artikel 14 er central for hændelsesrespons: producenter skal rapportere enhver aktivt udnyttet sårbarhed eller alvorlig hændelse, der påvirker produktsikkerheden, inden for 24 timer efter at være blevet opmærksomme på den. Dette skal ske via ENISA-platformen til den koordinerende CSIRT. Tiden starter ved opmærksomhedstidspunktet, ikke efter undersøgelse eller bekræftelse. En fuld anmeldelse skal derefter indsendes inden for 72 timer, og en endelig rapport inden for 14 dage. Rapporteringstiden inkluderer weekender og helligdage – der er ingen forlængelser eller pauser.

Artikel 18 kræver, at producenter uden for EU udpeger en autoriseret repræsentant etableret i EU. Denne repræsentant fungerer som den officielle rapporteringsvej og kontakt til myndighederne. Uden dette bliver importøren eller distributøren ansvarlig som standard, hvilket kan skabe kommercielle og overholdelsesrisici.

Produkter, der er bragt på markedet før 11. december 2027, er kun omfattet af CRA, hvis de gennemgår en væsentlig ændring efter denne dato (Artikel 69(2)). Manglende overholdelse kan medføre bøder på op til €15 millioner eller 2,5% af global årlig omsætning (kilde).

• Artikel 14: 24-timers rapportering af udnyttede sårbarheder/alvorlige hændelser
• Artikel 18: Autoriseret repræsentant for producenter uden for EU
• Artikel 69(2): Regler for ældre produkter

Sådan vælger du en CRA autoriseret repræsentant

Valget af den rette CRA autoriserede repræsentant er afgørende for producenter uden for EU. Repræsentanten er din officielle kanal for sårbarhedsrapportering og regulatorisk kontakt i EU. Her er de vigtigste faktorer at overveje:

• Prisgennemsigtighed: Kun få leverandører offentliggør verificerede priser. REP27 — Europe Services, SE tilbyder et klart €490/år mandat (fornyelse €440), mens kadano oplyser €999/år og Euverify £590/år. Andre kræver direkte tilbud.
• Serviceomfang: Bekræft hvad der er inkluderet i gebyret. Artikel 18-mandatet er minimum, men nogle leverandører tilbyder ekstra tjenester som overvågning, bevisopbevaring eller selvvurderingsdokumentation (se CRAguard, ProvenVEX, SECURiMENT).
• Eksklusioner: Ingen af leverandørerne inkluderer overensstemmelsesvurdering, sikkerhedstest eller SBOM-generering i mandatgebyret. Disse er separate engineering- eller notificerede organ-omkostninger.
• Certifikat og verifikation: Søg efter en leverandør, der tilbyder et verificerbart certifikat (REP27 leverer QR-kode og offentlig verifikationsside).
• Fornyelsesvilkår: Sørg for, at fornyelsesprisen er angivet skriftligt, inden du betaler første faktura. Tavse eller uklare fornyelser er et almindeligt problem på dette marked.
• Responsproces: Spørg hvordan anmodninger fra myndigheder håndteres, på hvilke sprog og i hvilke tidsrum. En døgnåben bemandet desk er essentiel for at overholde 24-timers rapporteringsfristen.

Nedenfor er en sammenligning af hvad der er inkluderet og ekskluderet hos hver leverandør baseret på offentliggjorte oplysninger:

Bed altid om en skriftlig kontrakt, der angiver alle inklusioner, eksklusioner og fornyelsesvilkår.

Hvad prisen faktisk inkluderer

Det er afgørende at forstå, hvad der er (og ikke er) inkluderet i den offentliggjorte pris for budgettering og overholdelsesplanlægning. Artikel 18-mandatgebyret dækker typisk kun den juridiske udpegning og driften af en rapporteringsdesk i EU. Her er hvad det betyder i praksis:

• Mandat og rapporteringsdesk: Repræsentanten er bemyndiget til at fungere som din officielle kontakt for sårbarhedsrapportering. For REP27 inkluderer dette en døgnåben bemandet desk, CSIRT/ENISA kanalstyring og et verificerbart certifikat med QR-kode. Kadano og Euverify tilbyder lignende mandater, men specificerer ikke yderligere funktioner på deres offentlige sider.
• Pakke-tjenester: Nogle leverandører (CRAguard, ProvenVEX, SECURiMENT) tilbyder ekstra tjenester som overvågning af afhængigheder, bevisopbevaring eller hændelsesrespons-workflows. Disse er dog ikke offentligt prissat og kan medføre betydelige ekstraomkostninger.
• Hvad der ikke er inkluderet: Ingen leverandør i denne sammenligning inkluderer overensstemmelsesvurdering, sikkerhedstest eller SBOM-generering. Disse er separate, ofte betydelige, omkostninger håndteret af notificerede organer eller dit interne engineeringteam.
• Fornyelsespriser: Kun REP27 offentliggør en fornyelsespris (€440/år), som er lavere end førsteårsgebyret. Kadano og Euverify angiver ikke fornyelsesvilkår offentligt.

Ved sammenligning af leverandører, bed altid om en detaljeret oversigt over, hvad der er inkluderet i prisen, og hvad der medfører ekstra omkostninger. Nogle leverandører kan også tilbyde pakkeløsninger med GDPR Artikel 27 eller NIS2 repræsentation for en samlet pris (REP27: €690/år for CRA+GDPR, €990/år for CRA+GDPR+NIS2).

Oversigtstabel:

Skjulte omkostninger og eksklusioner

Selvom mandatgebyret for repræsentanten ofte er den mindste post i CRA-overholdelsen, kan skjulte omkostninger og eksklusioner være betydelige:

• Intern engineeringtid: Selv-vurdering, dokumentation og forberedelse af SBOM’er er obligatoriske, men ikke inkluderet i repræsentantgebyret. Disse opgaver kræver dedikerede tekniske ressourcer.
• Supportperiode: CRA kræver mindst fem års sikkerhedsopdateringer for de fleste produkter. Budgetter for løbende vedligeholdelse som produktlinje, ikke som enkeltstående projekt.
• Overensstemmelsesvurdering: For vigtige klasse II eller kritiske produkter kræves vurdering af notificeret organ. Dette kan koste tusindvis af euro og tage måneder. Ingen repræsentant dækker denne omkostning.
• Hændelsesdetektion: Repræsentanten overvåger ikke dine systemer for sårbarheder. Dit sikkerhedsteam er ansvarligt for detektion og indledende vurdering.
• Gebyrer pr. hændelse eller anmodning: Mens REP27 oplyser ingen ekstra gebyrer for anmodninger, kan andre leverandører opkræve for yderligere tjenester eller hændelseshåndtering. Afklar altid dette skriftligt.
• Ansvarsbegrænsninger: Leverandører begrænser typisk deres ansvar til mandatets omfang. De er ikke ansvarlige for manglende rapportering på grund af interne fejl hos dig.
• Opsigelsesvarsler og fornyelsesvilkår: Tavse eller uklare fornyelser kan føre til uventede omkostninger eller dækningstab. REP27 offentliggør fornyelsespriser og vilkår; andre gør det muligvis ikke.

Hvad leverandører normalt ikke siger:

• Mandatet dækker ikke sårbarhedsdetektion, patching eller brugerinformation – dette er dit ansvar.
• Dokumentationsanmodninger fra myndigheder kan forsinkes, hvis din runbook er ufuldstændig eller dit team ikke er forberedt.
• Skift af leverandør kan være komplekst, hvis dit mandat ikke klart er begrænset til Artikel 18(3).

Bed altid om en liste over eksklusioner og bekræft alle vilkår skriftligt inden underskrift.

Sådan fungerer udpegning: trin for trin

Udpegning af en CRA autoriseret repræsentant er en struktureret proces. Sådan fungerer det i praksis med konkrete trin og tips:

1. Fastlæg din status: Er du producent af et produkt med digitale elementer, der bringes på EU-markedet? Hvis ja, fortsæt. Hvis du kun er importør eller distributør, tjek om du bringer produktet på markedet under eget navn.
2. Tjek din etablering: Hvis du ikke har en juridisk enhed i EU, skal du udpege en autoriseret repræsentant. Hvis du har et EU-datterselskab, der fungerer som producent, rapporterer du direkte.
3. Vælg en leverandør: Sammenlign leverandører baseret på offentliggjorte priser, omfang og gennemsigtighed. REP27, kadano og Euverify offentliggør priser; andre giver detaljer efter forespørgsel.
4. Underskriv et skriftligt mandat: Leverandøren (f.eks. REP27) udsteder et underskrevet udpegelsesbrev, normalt med eIDAS elektronisk signatur og et verificerbart certifikat. Bekræft, at mandatet er begrænset til Artikel 18(3) opgaver.
5. Opdater din overholdelsesdokumentation: Tilføj repræsentantens oplysninger til dine tekniske filer, runbook og eventuel produktdokumentation krævet af CRA.
6. Opsæt rapporteringsprocessen: Navngiv mindst to indsendere med adgang til ENISA-rapportplatformen. Forbered tidlige advarsels- og anmeldelsesskabeloner på forhånd.
7. Definer triggere og interne processer: Dokumentér, hvad der udgør opmærksomhed på en udnyttet sårbarhed eller alvorlig hændelse. Beslut, hvem der kan erklære det, og hvilke beviser der kræves (f.eks. observeret udnyttelse, troværdig kundeindberetning).
8. Journalføring: Gem tidsstempler for opmærksomhed, indsendelse og opdateringer. Dette er dit bevis, hvis fristen nogensinde anfægtes.
9. Løbende beredskab: Træn dit team, test din rapporteringsproces og gennemgå din runbook regelmæssigt.

Denne proces sikrer, at du er klar til at overholde 24-timers rapporteringsfristen og undgå overholdelsesbrister.

Risici og bøder

Risiciene ved manglende overholdelse af CRA er betydelige, både økonomisk og operationelt:

• Bøder: Manglende overholdelse kan medføre administrative bøder på op til €15 millioner eller 2,5% af global årlig omsætning, alt efter hvad der er højest. Disse sanktioner gælder for overskredne rapporteringsfrister, manglende udpegning af repræsentant eller utilstrækkelig hændelsesrespons (kilde).
• Operationelle risici: Forsinkelser i rapportering kan føre til regulatoriske undersøgelser, produkttilbagekaldelser eller markedsadgangsforbud. Indkøb og distribution kan blokeres, hvis du ikke kan dokumentere en gyldig EU-repræsentant.
• Omdømmeskade: Manglende rettidig underretning af brugere eller myndigheder kan medføre negativ omtale og tab af kundetillid.
• Intern forstyrrelse: Uden en klar rapporteringsproces kan værdifulde timer gå tabt under en hændelse, hvilket øger både risiko og omkostninger.

Eksempler på hvad der kan gå galt:

• At bruge de første timer af en hændelse på at finde den rette CSIRT eller rapporteringsvej, hvilket spilder værdifuld tid.
• Dokumentationsanmodninger, der når en kontor i en anden tidszone, hvilket forsinker svar.
• En distributør, der behandles som din rapporteringsvej som standard, hvilket fører til tab af kontrol over hændelseshåndtering.
• Tavshed omkring mandatets fornyelse, der fører til dækningstab.

Reducer disse risici ved at udpege en gennemsigtig, lydhør repræsentant og opretholde en robust intern proces.

Beslutningsmatrix: Har du brug for en CRA repræsentant?

Brug nedenstående matrix til at afgøre, om du har brug for en CRA autoriseret repræsentant baseret på din forretningsmodel og placering:

Bekræft altid din status og forpligtelser, inden du udpeger en repræsentant.

Tjekliste: Trin til CRA 24-timers rapporteringsoverholdelse

1. Identificer om dit produkt er dækket af CRA (digitalt element, EU-marked).
2. Bekræft om du er producent (ikke kun importør/distributør).
3. Hvis uden for EU, udpeg en CRA autoriseret repræsentant og få et underskrevet mandat.
4. Dokumentér repræsentantens oplysninger i dine tekniske filer og overholdelsesregistre.
5. Opsæt en døgnåben modtagelseskanal for sårbarhedsrapporter (internt eller via repræsentant).
6. Navngiv mindst to indsendere med adgang til ENISA-rapportplatformen.
7. Forbered tidlige advarsels- og anmeldelsesskabeloner til hurtig udfyldelse.
8. Træn medarbejdere i, hvad der udløser en rapport, og hvordan man reagerer inden for 24 timer.
9. Definér og dokumentér de beviser, der kræves for at "blive opmærksom" på en sårbarhed eller hændelse.
10. Registrér alle relevante tidsstempler til overholdelsesbevis og revision.
11. Gennemgå og opdater din runbook og rapporteringsproces regelmæssigt.

Følg denne tjekliste for at undgå de mest almindelige overholdelsesfejl.

Realistiske scenarier: Hvilken forpligtelse gælder?

• Amerikansk SaaS-virksomhed, der sælger til EU: Som producent uden for EU skal du udpege en CRA autoriseret repræsentant (f.eks. REP27) som din rapporteringsvej. Opsæt en døgnåben modtagelseskanal og sørg for, at mindst to medarbejdere kan indsende rapporter via ENISA-platformen. Forbered tidlige advarselsskabeloner og dokumentér din proces for at afgøre, hvornår en sårbarhed er aktivt udnyttet.
• Kinesisk Amazon-sælger (eget mærke): Hvis du producerer og sælger egne mærkevarer med digitale produkter til EU-kunder, har du brug for en CRA repræsentant. Hvis du kun videresælger tredjepartsmærker, har du ikke. Udpeg en repræsentant, opdater dine overholdelsesfiler og forbered dig på 24-timers rapportering.
• Britisk onlinebutik med egen IoT-enhed: Hvis du sælger direkte til EU-forbrugere, er du producent og skal udpege en CRA repræsentant. Hvis du kun sælger i Storbritannien, gælder CRA ikke. Hvis du bruger en EU-distributør, der bringer produktet på markedet under eget navn, påtager de sig ansvaret.

I alle tilfælde er den enkleste overholdelsesvej at udpege en gennemsigtig, fastprismodel repræsentant, dokumentere din rapporteringsproces og træne dit team inden lovens ikrafttrædelsesdato.