Àngela Vercher
Marketing Manager Iberia
Àngela Vercher er marketing manager med erfaring inden for compliance- og reguleringssektoren. Hos Formalize leder hun marketing for Iberien, hvor hun hjælper fagfolk inden for compliance, risikostyring og sikkerhed med at holde sig opdaterede på lovgivningen og finde praktiske løsninger på deres daglige udfordringer.
Vigtigste pointer:
Siden den 11. september 2026 skal fabrikanter af produkter med digitale elementer sende en tidlig varsling senest 24 timer efter at være blevet bekendt med en aktivt udnyttet sårbarhed eller en alvorlig hændelse, der påvirker sikkerheden af deres produkt.
Forpligtelsen påhviler fabrikanterne og dækker produkter, der allerede er på EU-markedet. Ren SaaS falder generelt uden for CRA's anvendelsesområde, og det samme gør produkter, der er omfattet af egne sektorregler, såsom medicinsk udstyr og køretøjer.
CRA tilføjer en indberetningspligt; den erstatter ikke nogen. GDPR's 72-timers anmeldelse af brud gælder fortsat, og NIS2 har sin egen 24-timers tidlige varsling for væsentlige hændelser.
I Spanien er NIS2 endnu ikke implementeret i national lovgivning, hvorfor kongeligt dekret-lov 12/2018 indtil videre udgør rammen for hændelsesrapportering.
De teams, der er bedst rustet til at overholde disse tidsfrister, har på forhånd aftalt, hvordan en hændelse klassificeres, hvem der træffer beslutningen, og hvor denne beslutning registreres.
Nylige overskrifter i Spanien formulerede det enkelt: Virksomheder har nu 24 timer til at indberette et cyberangreb. Det er en brugbar overskrift, men også en forenkling. Forordningen om cyberrobusthed (CRA), forordning (EU) 2024/2847, har været trådt i kraft siden december 2024, men den første forpligtelse, der gælder for fabrikanter – pligten til at indberette visse sårbarheder og hændelser – trådte først i kraft den 11. september 2026. Størstedelen af forordningen, herunder CE-mærkning og de væsentlige cybersikkerhedskrav, finder anvendelse fra den 11. december 2027. Det, der ændrede sig i september, er mere snævert end "enhver virksomhed, ethvert angreb", og på visse måder mere krævende, fordi det lægger sig oven i de indberetningsforpligtelser, mange organisationer allerede har.
Hvad der ændrede sig den 11. september
Artikel 14 i CRA forpligter fabrikanter til at indberette to typer hændelser: aktivt udnyttede sårbarheder i deres produkter og alvorlige hændelser, der påvirker disse produkters sikkerhed. Fabrikanterne indsender hver indberetning via den centrale indberetningsplatform under Den Europæiske Unions Agentur for Cybersikkerhed (ENISA), og den når samtidig frem til både ENISA og det nationale CSIRT (Computer Security Incident Response Team), der er udpeget som koordinator. Platformen gik i luften samme dag, som forpligtelsen trådte i kraft.
Indberetningen forløber i tre faser:
Stadie | Deadline | Hvad det indebærer |
|---|---|---|
Tidlig advarsel | Senest 24 timer efter at være blevet bekendt med det | En første varsling, herunder hvor i EU produktet er tilgængeligt |
Notifikation | Senest 72 timer efter | Mere detaljerede oplysninger og en indledende vurdering |
Endelig rapport | 14 dage efter en rettelse eller afbødning er tilgængelig (sårbarheder), eller en måned efter underretningen (alvorlige hændelser) | En fuldstændig beskrivelse, årsagen og de trufne foranstaltninger |
Fabrikanter skal også informere berørte brugere, og hvis det er relevant alle brugere, så de kan beskytte sig selv. Forpligtelsen har dog ikke tilbagevirkende kraft: Ifølge Europa-Kommissionens retningslinjer behøver fabrikanter ikke med tilbagevirkende kraft at indberette udnyttelse, de allerede havde kendskab til før den 11. september.
Hvem det gælder for, og hvem det ikke gør
24-timers-forpligtelsen påhviler fabrikanter af produkter med digitale elementer, hvilket dækker det meste hardware og software, der forbindes til en enhed eller et netværk. Den gælder for produkter, der allerede er på EU-markedet, og ikke kun for nye lanceringer.
Tre grænser man nemt kan overse:
Ren SaaS falder generelt uden for anvendelsesområdet. CRA regulerer produkter, ikke tjenester. Cloudtjenester, der anvendes uden nogen installeret komponent, kan i stedet høre under NIS2-direktivet, afhængigt af udbyderen, selvom installerbare klienter, agenter eller ekstern databehandling, som et produkt afhænger af, kan bringe en løsning tilbage inden for anvendelsesområdet.
Visse sektorer har deres egne regler. Produkter, der allerede er reguleret af sektorspecifik EU-lovgivning, såsom medicinsk udstyr og køretøjer, er undtaget fra CRA.
Små fabrikanter skal stadig indberette. Ifølge Europa-Kommissionen kan mikrovirksomheder og små virksomheder ikke idømmes bøder for at overskride 24-timers fristen for den tidlige varsling, men selve forpligtelsen gælder fuldt ud for dem.
For organisationer, der køber software frem for at bygge den, ligger indberetningspligten hos deres leverandører. Det gør det ikke irrelevant. En CRA-notifikation fra en leverandør er præcis den type signal, som bør indgå i jeres egne processer for leverandørrisiko og hændelseshåndtering.
Én hændelse, tre tidsfrister
Det er her, sammenligningen med databeskyttelsesretten kommer til kort. Generel forordning om databeskyttelse (GDPR) giver organisationer 72 timer til at anmelde et brud på persondatasikkerheden, og det er fristende at læse CRA som, at dette vindue er skrumpet til 24 timer. I praksis løber begge tidsfrister side om side, udløst af forskellige hændelser og sendt til forskellige myndigheder. Tilføjer man NIS2 for organisationer, der er omfattet af direktivets anvendelsesområde, kan en enkelt hændelse starte tre separate tidsfrister.
Forestil dig en mellemstor softwarevirksomhed i Spanien. En angriber udnytter en sårbarhed i et af dens installerede produkter, bruger den til at få adgang til virksomhedens egne supportsystemer og kopierer kunders kontaktoplysninger. Inden for få timer kan virksomheden stå over for en tidlig varsling under CRA for den udnyttede sårbarhed, en GDPR-anmeldelse for de berørte persondata og, afhængigt af om den er omfattet af de nationale NIS-regler, en underretning om en væsentlig hændelse, der påvirker dens tjenester.
CRA | NIS2 | GDPR | |
|---|---|---|---|
Hvad der udløser den | En aktivt udnyttet sårbarhed eller en alvorlig hændelse, der påvirker produktsikkerheden | En væsentlig hændelse, der påvirker tjenesterne hos en omfattet enhed | Et brud på persondatasikkerheden, der sandsynligvis vil medføre en risiko for fysiske personer |
Hvem der indberetter | Fabrikanter af produkter med digitale elementer | Væsentlige og vigtige enheder | Dataansvarlige |
Første deadline | Tidlig varsling inden for 24 timer | Tidlig varsling inden for 24 timer | 72-hour notification |
Hvor det ender | ENISA's fælles indberetningsplatform, til det koordinerende CSIRT og ENISA | Det nationale CSIRT eller den kompetente myndighed | Datatilsynet, i Spanien det spanske databeskyttelsesagentur (AEPD) |
Tidsfristerne er den synlige del. Den svære del kommer i den første time, når nogen skal beslutte, hvilke af disse regelsæt der finder anvendelse, baseret på ufuldstændige oplysninger. Alle tre tidsfrister starter, så snart organisationen bliver opmærksom på hændelsen, men hvert regelsæt har sit eget syn på, hvad organisationen skal være opmærksom på. Den beslutning er nem at undervurdere, og i mange organisationer er kriterierne for at træffe den ikke skrevet ned nogen steder.
Spaniens ekstra lag
Spanske organisationer står over for endnu en komplikation. Spanien overskred fristen i oktober 2024 for at gennemføre NIS2, og lovudkastet, der skulle gøre det, Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, blev godkendt af Ministerrådet i januar 2025 og var i begyndelsen af september 2026 stadig ikke blevet vedtaget. I juli 2026 indbragte Europa-Kommissionen Spanien for EU-Domstolen på grund af forsinkelsen.
Indtil den nye lov vedtages, forbliver kongeligt dekretlov 12/2018 den nationale ramme for indberetning af hændelser. Konkrete nationale detaljer, såsom hvilken myndighed der skal underrettes og under hvilke tærskler, vil først blive fastlagt, når den spanske tekst er endelig. Det efterlader spanske teams i en situation, hvor de skal planlægge ud fra et direktiv, hvis indhold er på plads, og en national lov, de endnu ikke kan læse. CRA har ikke det problem: Som EU-forordning finder den direkte anvendelse, i Spanien som overalt i EU.
Vil EU forenkle dette?
Bruxelles er opmærksom på overlapningen. Som en del af sine Digital Omnibus-forslag har Europa-Kommissionen foreslået et fælles kontaktpunkt for indberetning af hændelser, bygget på CRA-platformen, så én enkelt underretning kan opfylde flere juridiske forpligtelser på én gang. I skrivende stund er dette stadig et forslag. Og selv hvis det bliver vedtaget, vil det ikke afgøre for nogen, hvilke regelsæt en hændelse udløser, eller fjerne behovet for at overholde den korteste gældende tidsfrist.
Se, hvordan jeres team ville håndtere den første time
Tag jeres nuværende hændelsesproces med, uanset hvor uformel den er i dag. Vi vil hellere gennemgå et realistisk scenarie sammen med jer end at beskrive det abstrakt.
Hvad god forberedelse indebærer
Forberedelse til dette handler primært om nogle få beslutninger, der træffes i ro og mag, før den første reelle hændelse tvinger dem igennem. Efter vores mening er der fem, der er vigtigst:
En samlet triage-tjekliste til alle tre regelsæt. En kort række spørgsmål, der afklarer udløsende faktorer for CRA, NIS2 og GDPR på én gang, i stedet for tre separate processer, der hver især starter forfra.
Navngivne beslutningstagere med stedfortrædere. Nogen skal have ansvaret for beslutningen om at indberette for hvert regelsæt, herunder i weekender og på helligdage. En 24-timers frist sættes ikke på pause af nogen af delene.
Forarbejdet udført på forhånd. Hav styr på, hvilke produkter der er tilgængelige i hvilke EU-lande, tilmeld jer ENISA's platform, før I får brug for den, og hold myndighedernes kontaktoplysninger opdaterede.
En log over enhver beslutning, herunder beslutninger om ikke at indberette. Når en tilsynsmyndighed senere spørger, hvorfor en hændelse ikke blev anmeldt, bør begrundelsen allerede foreligge frem for at blive rekonstrueret ud fra hukommelsen.
En generalprøve med et realistisk scenarie. En skrivebordsøvelse baseret på en sag som ovenstående viser hurtigt, hvor processen slår fejl.
Sådan understøtter Formalize dette
Ingen platform kan afgøre for jer, om en hændelse skal indberettes, og vi indsender ikke underretninger på jeres vegne. Det, Formalize gør, er at samle forarbejdet ét sted, så den første time ikke bliver brugt på at lede efter det:
Hændelsesregistreringer med navngivne ansvarlige og tidsfrister, herunder begrundelsen bag hver enkelt indberetningsbeslutning.
Politikkerne og kontrollerne bag jeres hændelseshåndtering, med klare ansvarsområder, dokumenteret og holdt ajour.
Jeres arbejde med NIS2 og GDPR i samme system, i stedet for separate værktøjer, der hver især kræver deres egen opdatering.
Leverandørregistreringer koblet til jeres risikostyring, så en leverandørs sikkerhedsunderretning har et sted at blive håndteret.
Er I et rådgivningsfirma eller et konsulentfirma, der udvikler tjenester i henhold til forordningen om cybermodstandsdygtighed til jeres kunder? Vi samarbejder med partnere, der bidrager med den tekniske ekspertise, og Formalize Partner Program er det rette sted at starte.
Denne artikel er udelukkende til orientering og udgør ikke juridisk rådgivning.