Overgangsbestemmelser
Cyber Resilience Act (CRA) blev offentliggjort i EU’s Tidende den 30. maj 2024 og får fuld virkning fra 11. december 2027. Dog gælder visse forpligtelser allerede tidligere, og der er indsat overgangsregler, der gør det muligt at forberede sig.
Hvornår gælder CRA?
| Dato | Hvad træder i kraft? |
|---|---|
| 11. september 2026 | Krav om rapportering af aktivt udnyttede sårbarheder (jf. artikel 14) |
| 11. december 2027 | CRA gælder for alle produkter med digitale elementer, der bringes i omsætning |
| Samtlige krav til teknisk dokumentation, overensstemmelse, CE-mærkning mv. træder i kraft |
🧠 Alle produkter, der bringer i omsætning efter 11. december 2027, skal overholde CRA, uanset hvornår de blev designet eller udviklet.
Hvad med produkter på markedet inden?
- Produkter, der allerede er bragt i omsætning inden 11. december 2027, er ikke omfattet af CRA’s hovedregler
- Men hvis produktet senere ændres væsentligt, skal det vurderes på ny og bringes i omsætning igen – og overholde CRA
Hvad er en væsentlig ændring?
- En ændring, der påvirker:
- Produktets tilsigtede anvendelse
- Dets cybersikkerhedsprofil
- Arkitektur, software eller netværksintegration
- Det er fabrikanten, der skal dokumentere, om ændringen er væsentlig
⚠️ En væsentlig ændring kan udløse krav om ny risikovurdering, opdateret dokumentation og CE-mærkning iht. CRA.
Rapportering gælder alle produkter – også gamle
Selv produkter, der er bragt i omsætning før december 2027, er omfattet af artikel 14 om rapportering af aktivt udnyttede sårbarheder. Det betyder:
- Hvis et eksisterende produkt fortsat supporteres, og en sårbarhed udnyttes aktivt:
- Skal producenten underrette myndigheder, CSIRT og ENISA inden for 24 timer
- Skal producenten informere brugerne hurtigst muligt
Overgangsstrategi for fabrikanter
Det anbefales, at fabrikanter allerede nu:
- Starter med at tilpasse teknisk dokumentation og SBOM
- Forankrer procedurer for sårbarhedshåndtering
- Vurderer, om eksisterende produkter skal redesignes
- Udpeger ansvarlige for compliance og CE-mærkning
📌 Overgangsperioden frem mod 2027 giver mulighed for test og tilpasning – men dokumentation og processer skal være på plads før produktet bringes i omsætning efter ikrafttrædelsesdatoen.
Opsummering
- CRA gælder fuldt ud fra 11. december 2027
- Kun krav om sårbarhedsrapportering gælder fra 11. september 2026
- Ændringer til gamle produkter kan gøre dem omfattet
- Forberedelse bør starte i god tid – særligt for kritiske produkter