Sammenligning af leverandører til sårbarhedsrapportering under Cyber Resilience Act (CRA)

• CRA sårbarhedsrapportering er obligatorisk fra 11. september 2026
• Kun få leverandører offentliggør priser og inkluderede detaljer
• Repræsentationen dækker kun videresendelse af rapporter, ikke teknisk vurdering
• Sammenlign undtagelser, fornyelser og verifikationsprocesser
• Bøder for manglende rapportering kan nå op på €15 millioner eller 2,5% af omsætningen
• Repræsentationsmandatet dækker ikke vurdering, SBOM eller teknisk support

Opdateret 21 October 2026 · 12 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 21 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Lovkrav: forpligtelser, artikler og deadlines

Cyber Resilience Act (CRA), Forordning (EU) 2024/2847, indfører strenge krav for dem, der bringer produkter med digitale elementer på EU-markedet, både hardware og software, uanset etableringssted. De vigtigste forpligtelser er:

• Udpegning af en autoriseret repræsentant (Art. 18): Hvis producenten ikke er etableret i EU, skal der skriftligt udpeges en repræsentant i Unionen. Denne repræsentant er ansvarlig for at videresende rapporter om sårbarheder og alvorlige hændelser til de kompetente myndigheder (CSIRT, ENISA).
• Sårbarhedsrapportering (Art. 14): Fra 11. september 2026 skal enhver producent rapportere inden for 24 timer efter at være blevet bekendt med en aktivt udnyttet sårbarhed eller en alvorlig hændelse, der påvirker produktsikkerheden. Rapporteringen skal ske via ENISA-platformen og rettes til den koordinerende CSIRT.
• Fuldstændig anmeldelse og endelig rapport: Inden for 72 timer efter den indledende rapport skal der gives en detaljeret anmeldelse med de første korrigerende tiltag. Inden for 14-30 dage skal der sendes en endelig rapport med detaljer om sårbarheden og den anvendte løsning.
• Anvendelse på alle digitale produkter: Kravet gælder både nye og allerede markedsførte produkter og dækker hele livscyklussen, inklusive opdateringer og support.
• Sanktioner: Manglende overholdelse kan medføre bøder op til €15 millioner eller 2,5% af den globale omsætning, alt efter hvad der er højest.

Det er vigtigt at skelne mellem CRA-rapportering (produktsårbarheder) og andre krav som GDPR (brud på persondata) eller NIS2 (servicehændelser). Hvert regelsæt har forskellige modtagere, deadlines og platforme.

Sådan vælger du leverandør: praktiske kriterier og risici

Valget af leverandør til CRA sårbarhedsrapportering bør baseres på praktiske og gennemsigtige kriterier. Her er nøglepunkterne at vurdere:

• Offentliggjort og gennemsigtig pris: Foretræk leverandører, der klart angiver pris og fornyelsesomkostninger. Undgå tilbud med "introduktionspriser" eller skjulte fornyelsesgebyrer.
• Hvad der er inkluderet: Tjek om tjenesten kun dækker repræsentationsmandatet og videresendelse af rapporter, eller om den også tilbyder teknisk support, dokumentation, SBOM eller avancerede workflows. De fleste leverandører begrænser sig til juridisk repræsentation.
• Verificerbart certifikat: Et certifikat med QR-kode og offentlig verifikationsside mindsker risikoen for tvister ved revisioner eller hændelser.
• 24/7 desk: Rapportering skal kunne ske når som helst, også om natten, i weekender og på helligdage. Spørg eksplicit om deskens tilgængelighed hele året.
• Sprog og svartider: Sørg for, at leverandøren kan håndtere forespørgsler på engelsk og eventuelt andre EU-sprog. Forsinkelser over 24 timer kan true overholdelsen.
• Undtagelser og begrænsninger: Ingen repræsentant dækker teknisk vurdering, sikkerhedstest, SBOM-generering eller ingeniørmæssig support; dette er producentens eller specialiserede leverandørers ansvar.

Vurder altid klarheden i undtagelserne: en leverandør, der ikke specificerer dem, risikerer at have uklare servicegrænser.

Hvad prisen egentlig inkluderer: sammenligningstabel og analyse

De fleste leverandører tilbyder repræsentationsmandatet og videresendelse af rapporter, men få dækker yderligere tekniske tjenester. Her er en sammenligningstabel:

Den væsentlige forskel mellem "klassiske" leverandører (REP27, kadano, Euverify) og dem med bredere tjenester (Attestra AI, Seentrix, Illicium) er, at førstnævnte kun opfylder lovens minimumskrav, mens sidstnævnte også tilbyder sikkerhedsworkflow, automatiserede SBOM'er eller pentesting. Til overholdelse af Art. 18 og 14 CRA er repræsentationsmandatet og rettidig videresendelse dog tilstrækkeligt.

Bemærk: Den offentliggjorte pris dækker kun det, der eksplicit er angivet. Yderligere tekniske tjenester prissættes ofte separat og kan være betydeligt dyrere.

Skjulte omkostninger, undtagelser og hvad leverandørerne ikke siger

Mange leverandører offentliggør ikke fornyelsespriser eller pålægger ekstra gebyrer for forespørgsler uden for normal arbejdstid, udstedelse af ekstra certifikater eller support på andre sprog end engelsk. Her er, hvad du skal være opmærksom på:

• Fornyelser: Spørg altid efter skriftlig pris for fornyelse før underskrift. REP27 angiver klart (€440), andre oplyser kun på forespørgsel.
• Undtagelser: Ingen leverandør dækker overholdelsesvurdering, sikkerhedstest, SBOM-generering eller ingeniørmæssig support. Disse tjenester er separate og ofte dyrere end repræsentationsmandatet.
• Ansvarsbegrænsninger: Leverandører påtager sig ikke ansvar for tekniske fejl, manglende rapportering fra kunden eller håndtering af sårbarheder.
• Opsigelsesvarsel: Nogle leverandører kan kræve varsel ved ophør af tjenesten eller skift af repræsentant. Tjek altid kontraktbetingelserne.
• Gebyrer per forespørgsel: Hvis der ikke er offentlig information, spørg om ekstra omkostninger for yderligere forespørgsler, nye certifikater eller nødsupport.

Beslutningstabel:

Sammenfattende er klarhed om undtagelser og skjulte omkostninger afgørende for at undgå overraskelser og sikre fuld overholdelse.

Sådan fungerer udpegningen: trin for trin og praktisk tjekliste

Udpegning af CRA-repræsentanten følger nogle nøgletrin. Her er en detaljeret guide:

1. Bekræft forpligtelsen: Er du producent af digitale produkter (hardware/software) solgt i EU og ikke etableret i Unionen? Hvis ja, er du forpligtet.
2. Vælg leverandør: Sammenlign priser, inkluderinger, undtagelser og verifikationsprocesser. Foretræk leverandører med 24/7 desk og offentligt verificerbart certifikat.
3. Underskriv mandat: Mandatet skal være skriftligt, underskrevet af leverandørens juridiske enhed (f.eks. Europe Services, SE for REP27), og begrænset til Art. 18 forpligtelser. Undgå mandater, der også dækker Art. 13.
4. Modtag certifikat: Leverandøren udsteder et udpegelsescertifikat, helst med QR-kode og online verifikationsside.
5. Forbered intern runbook: Indsæt repræsentantens data, eskalationsprocedure og kontaktoplysninger til rapportering i intern dokumentation.
6. Konfigurer rapporteringskanal: Opret en intern kanal til at modtage sårbarheds- og hændelsesrapporter, med mindst to personer udpeget som submittere på ENISA-platformen.
7. Træn teamet: Sørg for, at personalet ved, hvad og hvornår der skal rapporteres, og at procedurer testes i simulation.

Praktisk tjekliste:

1. Har du identificeret produktklasser og deres EU-destination?
2. Har du kortlagt alle salgskanaler og distribution?
3. Har du valgt en leverandør med 24/7 desk og gennemsigtig fornyelsespris?
4. Har du skrevet eskalations- og rapporteringsprocedurer?
5. Har du udpeget mindst to submittere på ENISA-platformen?
6. Har du testet rapporteringsflowet med en simulation?

Ved at følge disse trin minimerer du risikoen for manglende overholdelse og sanktioner.

Risici, bøder og realistiske scenarier: hvad kan ske i praksis

Manglende rapportering af en sårbarhed inden for 24 timer kan føre til bøder op til €15 millioner eller 2,5% af den globale omsætning, samt omdømmeskade og salgsblokering i EU. Her er tre realistiske scenarier for at illustrere kravene:

• USA SaaS: Et amerikansk SaaS-firma, der leverer tjenester til EU-kunder, skal udpege en CRA-repræsentant, aktivere en 24/7 rapporteringskanal og rapportere alle udnyttede sårbarheder. Repræsentanten videresender rapporter via ENISA og besvarer myndigheders henvendelser.
• Kinesisk Amazon-sælger: Hvis sælgeren også er producent af det digitale produkt, skal der udpeges en CRA-repræsentant og overholdes rapporteringsfrister. Hvis sælgeren kun er forhandler, påhviler forpligtelsen producenten. Rapportkanalen skal være klar fra 11. september 2026.
• Britisk onlinebutik: En britisk webshop, der sælger enheder med firmware til EU-kunder, skal udpege en CRA-repræsentant. Hvis kun ikke-digitale tjenester tilbydes, gælder kravet ikke. Ved hændelser skal rapportering ske inden for 24 timer, selvom virksomheden er uden for EU.

I alle tilfælde kan manglende forberedelse (ingen runbook, utestet rapporteringskanal, ikke verificerbar repræsentant) forsinke responsen og forværre juridiske og økonomiske konsekvenser.