Ofte stillede spørgsmål

Klassifikationen følger produktets kernefunktionalitet, ikke enhver funktion, det indeholder. Hvis kernefunktionen svarer til en kategori nævnt i bilag III, er produktet "vigtigt" (klasse I eller II); hvis den svarer til bilag IV, er det "kritisk"; ellers er det "standard". En funktion som identitetshåndtering eller en VPN, der kun er inkluderet som en funktion, gør ikke produktet "vigtigt", medmindre det er dets kerneformål. Hvor mere end én kategori kunne finde anvendelse, gælder den strengeste klasse. Art. 7

Ikkekommerciel open source-software, der udvikles uden for en kommerciel aktivitet, falder i vid udstrækning uden for anvendelsesområdet. Open source-softwareforvaltere har et lempeligere og tilpasset sæt forpligtelser. Open source-komponenter, der leveres som led i en kommerciel aktivitet, kan falde inden for anvendelsesområdet.

Selvstændige tjenester ligger generelt uden for CRA. Løsninger til databehandling på afstand, som er nødvendige for, at et produkt kan udføre sine funktioner, behandles dog som en del af det pågældende produkt og er omfattet. At falde uden for CRA betyder ikke, at man er ureguleret: web- og cloudtjenester kan være omfattet af andre EU-regler, navnlig NIS2 (Directive (EU) 2022/2555) for mellemstore og store enheder i omfattede sektorer og GDPR for personoplysninger. Art. 3(2)

Ja. CRA gælder for produkter, der bringes i omsætning på EU-markedet, uanset hvor fabrikanten er etableret. Fabrikanter uden for EU skal sikre, at en erhvervsdrivende, der er etableret i Unionen, er ansvarlig for de relevante forpligtelser.

De falder i to dele af bilag I: sikkerhedsegenskaber, produktet skal have (sikker som standard, fortrolighed, integritet, tilgængelighed, minimeret angrebsflade, sikkerhedsopdateringer) og processer for sårbarhedshåndtering, som fabrikanten skal drive (SBOM, afhjælpning, koordineret oplysning). Bilag I

Ja. Fabrikanter skal identificere og dokumentere de komponenter, produktet indeholder, herunder ved at udarbejde en softwarestykliste i et almindeligt anvendt, maskinlæsbart format. Bilag I · II(1)

Supportperioden er det tidsrum, hvor en fabrikant skal levere sikkerhedsopdateringer. Den skal afspejle det tidsrum, produktet med rimelighed forventes at være i brug: fem år som standard, kortere, hvor den forventede anvendelse er kortere, og længere, hvor den er længere. Art. 13(8)

Aktivt udnyttede sårbarheder og alvorlige hændelser, der påvirker produktets sikkerhed, skal indberettes til ENISA og det relevante CSIRT. En tidlig varsling skal afgives inden for 24 timer, efter at man er blevet bekendt hermed, efterfulgt af en mere fyldestgørende underretning og en endelig rapport. Art. 14

Forordningen trådte i kraft den 10. december 2024. Rapporteringsforpligtelserne finder anvendelse fra september 2026 (21 måneder senere), og hovedparten af forpligtelserne finder anvendelse fra december 2027 (36 måneder senere). Art. 71

Overtrædelser af de væsentlige krav eller fabrikantforpligtelserne kan medføre bøder på op til 15 mio. € eller 2,5 % af den samlede årlige omsætning på verdensplan, alt efter hvad der er højest. Lavere lofter gælder for andre overtrædelser og for afgivelse af ukorrekte oplysninger.

Ja, siden 11. september 2026, den dag da selve pligten efter artikel 14 trådte i kraft. Platformen er aktiv på portal.cra-srp.enisa.europa.eu; du vælger rollen som bemyndiget repræsentant og logger ind med en EU Login-konto, hvor multifaktorgodkendelse er aktiveret. ENISA offentliggjorde adressen i sine SRP-ofte stillede spørgsmål den 10. september 2026 sammen med en brugervejledning til bemyndigede repræsentanter og platformens vilkår og betingelser. Fire ting fulgte ikke med: frivillig indberetning efter artikel 15, en indberetnings-API, et felt til oplysning om aktivt udnyttede sårbarheder og en 72-timers-tæller, der måler fra det tidspunkt, hvor man blev bekendt med forholdet, og ikke fra indsendelsen af den tidlige varsling, hvilket betyder, at uret på skærmen kan vise en indberetning som forsinket, før den lovpligtige frist er udløbet. Platformen fungerer foreløbig kun på engelsk. Se indberetningsvejledning. Art. 14 · 16

Kommissionens standardiseringsanmodning M/606 blev accepteret af CEN, CENELEC og ETSI i 2025 og omfatter omkring 41 standarder (horisontale og produktspecifikke). Efter Kommissionens udkast til ændring af M/606 fra juli 2026, som udskød 2026-fristerne med to måneder, forventes de to centrale horisontale standarder (sikker udvikling og sårbarhedshåndtering) nu senest den 31. oktober 2026, de vertikale produktstandarder senest den 31. december 2026, og de resterende horisontale standarder senest den 30. oktober 2027, forud for fuld anvendelse i december 2027. At følge en citeret harmoniseret standard giver en formodning om overensstemmelse. Bilag I

Gennemfør overensstemmelsesvurderingsruten for din produktklasse, udarbejd den tekniske dokumentation, udfærdig og underskriv EU-overensstemmelseserklæringen, og anbring derefter CE-mærkningen. Standardprodukter kan selvvurderes; vigtige og kritiske produkter kræver strengere ruter. Art. 28 · 32

Begynd med CRA Fast Check for at bekræfte anvendelsesområde og klasse, følg vejledningen, der er skrevet til din rolle, og brug overensstemmelsesmatrixen til at spore de væsentlige krav til mål.

Indberetningsforpligtelserne i artikel 14 bliver håndhævelige. Fra denne dato skal fabrikanter underrette ENISA og den relevante CSIRT om aktivt udnyttede sårbarheder og alvorlige hændelser via den fælles indberetningsplatform. Det er den første af CRA's større forpligtelser, der træder i kraft, godt forud for fuld anvendelse den 11. december 2027. Se indberetningsvejledning. Art. 14 · 71

Nej. Kun aktivt udnyttede sårbarheder og alvorlige hændelser der berører dit produkts sikkerhed, er indberetningspligtige i henhold til artikel 14. Sårbarheder, du finder og afhjælper, inden de udnyttes, håndteres via din sædvanlige sårbarhedshåndteringsproces, ikke indberetningskanalen. indberetningsvejledning angiver testen og fristerne. Art. 14

Via ENISA's fælles indberetningsplatform, der har været aktiv siden 11. september 2026 på portal.cra-srp.enisa.europa.eu, og som videresender din anmeldelse til ENISA og det relevante nationale CSIRT. Du sender en tidlig varsling inden for 24 timer efter, at du er blevet bekendt med forholdet, en mere fyldestgørende anmeldelse inden for 72 timer og en afsluttende rapport inden for 14 dage efter, at en afhjælpende foranstaltning er tilgængelig for en sårbarhed, eller inden for en måned efter 72-timers-anmeldelsen for en alvorlig hændelse. Log ind sker via EU Login med multifaktorgodkendelse. Se den trinvise indberetningsvejledning. Art. 14 · 16

Generelt ikke i sig selv. Kommissionens vejledning præciserer, at software, der udføres på brugerens enhed (en downloadet app, en browserudvidelse, en lokalt installeret klient), er et produkt med digitale elementer, mens en webapplikation, der udelukkende anvendes via en browser, eller et websted, der blot præsenterer information, ikke er det. En fjerntjeneste er kun omfattet, hvis der er tale om databehandling på afstand, som er nødvendig for, at et produkt kan udføre sine funktioner. At falde uden for CRA er ikke det samme som at være uregleret: en tjeneste, der udelukkende leveres via nettet, kan stadig være omfattet af NIS2 (for mellemstore og store udbydere) og GDPR. Art. 3 Se Overblik over Kommissionens vejledning.

Det kan ændre svaret, fordi CRA regulerer produkter og ikke tjenester. Den samme kode pakket som en installerbar app (herunder en Capacitor-, Electron- eller lignende build) udføres på brugerens enhed og er et produkt med digitale elementer, så CRA finder anvendelse. Leveres den udelukkende som en progressiv webapp i browseren, er den en webtjeneste og ligger generelt uden for CRA som produkt; den backend, den kommunikerer med, er kun omfattet, hvis der er tale om databehandling på afstand, som et produkt har brug for for at kunne udføre sine funktioner. To forbehold: en tjeneste, der udelukkende leveres via nettet, er ikke ureguleret (NIS2 kan finde anvendelse på mellemstore og store udbydere, og GDPR på personoplysninger), og grænsen mellem produkt og tjeneste kan udviskes, så betragt valget af en PWA som en arkitekturbeslutning og ikke som en garanteret undtagelse. Art. 3 Se Overblik over Kommissionens vejledning.

Kun når opdateringen er en væsentlig ændring: en ændring, der ændrer produktets cybersikkerhedsrisiko på en måde, som din risikovurdering ikke allerede dækkede. Almindelige sikkerhedsopdateringer er generelt ikke væsentlige ændringer. Hvis en opdatering er væsentlig, betragtes det ændrede produkt som nyligt markedsført, og en ny overensstemmelsesvurdering kræves for de berørte dele. Art. 3(30) Den Kommissionens vejledning fastlægger testen.