CRA-hændelses- og sårbarhedsindberetning

01Hvad skal indberettes

Artikel 14 i Cyber Resilience Act skaber to indberetningspligter for fabrikanter af produkter med digitale elementer. De er snævrere, end de umiddelbart ser ud: rutinemæssige fejl og almindelige rettelser er ikke omfattet. Art. 14

• Aktivt udnyttede sårbarheder; en sårbarhed i dit produkt, hvor der er pålidelige beviser for, at en ondsindet aktør har udnyttet den i et system uden ejerens tilladelse. En sårbarhed, som du opdager og retter, inden den udnyttes, håndteres gennem din normale sårbarhedshåndteringsproces, ikke denne indberetningskanal.
• Alvorlige hændelser; en hændelse, der har eller kan have en negativ indvirkning på produktets evne til at beskytte tilgængeligheden, autenticiteten, integriteten eller fortroligheden af data eller funktioner. Kriterierne for alvorlighed findes i artikel 14, stk. 5.

Pligterne er ikke begrænset til kommercielle fabrikanter. Open source-softwareforvaltere har deres egne indberetningsforpligtelser, i det omfang de er involveret i produkter med digitale elementer. Art. 24(3)

02De tre frister

Hver rapport udfolder sig i tre faser, målt fra det øjeblik du bliver opmærksom på den udnyttede sårbarhed eller den alvorlige hændelse. Vinduerne er korte, og derfor er beredskab afgørende. Art. 14(2)–(4)

• Inden for 24 timerTidlig varsling. En første underretning om, at der er indtruffet en aktivt udnyttet sårbarhed eller en alvorlig hændelse, herunder for hændelser om den mistænkes at være forårsaget af ulovlige eller ondsindede handlinger.
• Inden for 72 timerSårbarhed / hændelsesunderretning. En fyldigere redegørelse: sårbarhedens og udnyttelsens generelle karakter, en indledende vurdering og de afhjælpende eller begrænsende foranstaltninger, der er truffet, samt dem, brugerne kan træffe.
• Endelig rapportEndelig rapport. For en sårbarhed, senest 14 dage efter at en afhjælpende eller begrænsende foranstaltning bliver tilgængelig. For en alvorlig hændelse, inden for en måned efter underretningen efter 72 timer. Den indeholder den fulde beskrivelse, alvorlighed, virkning og den udbedring, der er gennemført.

Bemærk asymmetrien i sidste række: uret for sårbarheder udløses af, at en rettelse findes, uret for hændelser af den tidligere underretning. Det er forskellige mekanikker, og de er værd at skrive ind i din drejebog hver for sig.

03Hvornår det begynder

Indberetningsforpligtelserne er den første større del af CRA, der træder i kraft. Mens de fleste bestemmelser gælder fra den 11. december 2027, gælder artikel 14 fra 11. september 2026; 21 måneder efter at retsakten trådte i kraft. ENISA åbnede den fælles indberetningsplatform på netop den dato. Art. 71

04Hvem du indberetter til

Rapporter sendes til ENISA og til den CSIRT udpeget som koordinator, gennem ét enkelt indgangspunkt frem for særskilte indsendelser til hver national myndighed. Dette indgangspunkt er den fælles indberetningsplatform, som ENISA opretter, forvalter og vedligeholder efter artikel 16. Art. 14 · 16

Hvilken CSIRT der er din, følger af dit hovedforretningssted i Unionen, eller, hvis du ikke er etableret i EU, af det, der gælder for din bemyndigede repræsentant. Den modtagende CSIRT videresender underretningen til CSIRTs i de medlemsstater, hvor produktet er tilgængeligt, og til markedsovervågningsmyndighederne efter behov. Art. 14(7) · 18

Listen over koordinatorer blev offentliggjort den 4. september 2026

Indtil den 4. september 2026 fandtes der ikke noget offentliggjort svar på det mest praktiske spørgsmål på denne side: hvilket nationalt team der rent faktisk modtager din indsendelse. ENISA har nu offentliggjort en liste over CSIRTs udpeget som koordinatorer der giver en eller flere kontakt-URL'er for hver enkelt af de 27 medlemsstater, og ombestemplede den til den 10. september 2026, så tjek din række igen, før du stoler på en kopi taget tidligere. Irland henviser til en dedikeret NCSC-side for CRA; Spanien angiver to separate INCIBE-veje, en til hændelser og en til sårbarhedskoordinering.

Listen fortæller dig, hvem hver medlemsstats koordinator er. Den fortæller dig ikke, hvilken der er din, og testen i artikel 14, stk. 7, er snævrere, end de fleste organisationer antager. Dit hovedforretningssted er den medlemsstat, hvor beslutningerne om cybersikkerheden i dine produkter med digitale elementer overvejende træffes, hvilket kan være et udviklingssted snarere end et registreret hjemsted eller den største kommercielle aktivitet. Kan det ikke fastslås, er reservereglen den medlemsstat, hvor I har flest ansatte i EU. Uden noget etableringssted i EU overhovedet er rækkefølgen: den medlemsstat, hvor jeres bemyndigede repræsentant handler for flest produkter, dernæst den importør, der bringer flest produkter i omsætning, dernæst den distributør, der gør flest tilgængelige, dernæst den medlemsstat med flest brugere. Da dette fastlægger modtageren for enhver fremtidig indsendelse, bør I afklare det på forhånd, med juridisk bistand, og skrive begrundelsen ned.

Der findes støtte på begge sider. ENISA driver en helpdesk med særligt fokus på SMV'er, og de CSIRTs udpeget som koordinatorer skal ligeledes yde helpdesk-støtte om pligterne efter artikel 14. ENISA indfører også rettede sårbarheder i den europæiske sårbarhedsdatabaseog offentliggør hvert andet år en teknisk trendrapport, hvoraf den første skal foreligge senest 24 måneder efter, at indberetningsforpligtelserne begynder. Art. 17(6)

Videreformidling af en indberettet sårbarhed kan sættes på pause af CSIRT'en, men ikke af dig

Den modtagende CSIRT kan udskyde eller tilbageholde videreformidlingen af begrundede cybersikkerhedshensyn i det tidsrum, der er strengt nødvendigt; for eksempel hvor en sårbarhed indgår i en koordineret offentliggørelsesprocedure. Kommissionen fastlagde vilkårene i delegeret forordning (EU) 2026/881, vedtaget den 11. december 2025Hvis en CSIRT tilbageholder en underretning, skal den straks meddele det til ENISA med en begrundelse og en angivelse af, hvornår den vil videreformidle den.

Derudover kan du under særligt ekstraordinære omstændigheder markere en af de snævre betingelser i artikel 16, stk. 2 i din underretning efter 72 timer: at udnyttelsen er begrænset til din CSIRT's medlemsstat, at yderligere videreformidling ville stride mod denne medlemsstats væsentlige interesser, eller at videreformidling udgør en overhængende høj cybersikkerhedsrisiko. Gør du det, modtager ENISA kun begrænsede oplysninger (at der er indgivet en underretning, generelle oplysninger om produktet, udnyttelsens generelle karakter og at der er påberåbt sikkerhedshensyn), indtil CSIRT'en frigiver den fulde underretning.

05Registrering på platformen

ENISA's vejledning om registrering, ombestemplet den 10. september 2026, og dens vejledning om grænsefladen, ombestemplet den 9. september 2026, viser de faktiske skærmbilleder. Registreringen åbnede sammen med platformen den 11. september 2026, så dette er nu et forløb, du kan gå igennem frem for at læse om. ENISA beder dig ikke desto mindre om ikke at registrere dig på forhånd, af den grund der er anført nedenfor, hvilket gør det mere nyttigt, ikke mindre, at kende forløbet på forhånd: første gang du følger det, kan det meget vel være under et 24-timers ur.

Udpeg to personer, inden du får brug for dem

Platformen giver hver fabrikant to slags brugerkonti, og du kan allerede i dag beslutte, hvem der skal besætte dem. Den primære repræsentant registrerer sig først og opretter fabrikantens post på platformen. Den person inviterer derefter den sekundære repræsentant, som har en backup-rolle hos samme fabrikant og kan indsende på dennes vegne. Begge er navngivne personer i din virksomhed. Da indsendelsen er manuel, er én enkelt udpeget indberetter, der er på ferie, sover eller er stoppet, en reel driftsrisiko, så behandl den anden plads som nødvendig frem for valgfri.

EU Login er loginoplysningen, og begge personer kan oprette den i dag

Konti på platformen autentificeres gennem EU Login, Europa-Kommissionens fælles login-tjeneste, der bruges på tværs af dens onlinesystemer. Opret en til den primære repræsentant og en til den sekundære på ecas.ec.europa.eu, med arbejdsmailadresser, der stadig findes om et år. Multifaktorautentifikation er obligatorisk: ENISA kræver MFA på EU Login-kontoen inden første adgang til platformen, så hvis dine folk allerede har almindelige EU Login-konti, så få dem til at slå MFA til nu frem for under en hændelse. EU Login-konti er personlige, og ENISA driver ingen særskilt virksomhedsautentifikation oven på dem. Kommissionen forklarer, hvad EU Login er, og hvordan det passer ind i dens bredere identitetsramme, på sine sider om pålidelig digital identitet .

Registreringsforløbet

Ved første adgang til platformen vælger du din rolle, vælger din udpegede CSIRT i en rullemenu, autentificerer dig gennem EU Login, læser og accepterer den juridiske aftale, bekræfter dine forududfyldte personoplysninger (fornavn, efternavn, e-mail, juridisk navn) og indtaster derefter fabrikantens navn, adresse og supplerende oplysninger. Udelader du et obligatorisk fabrikantfelt, blokeres forløbet. Når det er gennemført, er din kontostatus "Active", og du har "AR Primary User" -rollen, du modtager en bekræftelsesmail, og fabrikantenheden oprettes på platformen.

Den sekundære repræsentant tilslutter sig via e-mailinvitation fra den primære, bekræfter de forududfyldte person- og fabrikantoplysninger og registreres i "AR Backup User" -rollen hos samme fabrikant. Invitationen udløber efter 7 dage, hvorefter posten markeres "Invitation Expired", og der skal sendes en ny. Opsæt backup'en i samme omgang som den primære; en udløbet invitation, der opdages midt i en hændelse, er et problem, du kan undgå.

CSIRT'en kontrollerer din repræsentant manuelt, men det forhindrer dig ikke i at indsende

Nogen skal bekræfte, at en given person rent faktisk må indberette på vegne af en given fabrikant, og den kontrol påhviler den CSIRT, der er udpeget som koordinator, og som ENISA nu forkorter CDaC. Det er et manuelt trin, proceduren varierer mellem CSIRTs, og hver CSIRT står selv for sin fremgangsmåde. Afgørende er, at den sker efter din første adgang til platformen og forløber parallelt med din indberetning. I sin opdatering af 3. august 2026 gjorde ENISA dette hævet over enhver tvivl: validering ved CDaC er ikke en forudsætning for at opfylde CRA-indberetningsforpligtelsen, og den påvirker ikke din mulighed for at indsende underretninger. En ikke-valideret konto kan stadig indsende inden for 24-timers vinduet.

Det er også derfor, at ENISA anbefaler først at registrere sig og igangsætte validering, når du rent faktisk har brug for at indsende, frem for at hele markedet registrerer sig på forhånd og begraver CSIRTs i spekulative kontroller. Forberedelsen, du gør på forhånd, er EU Login-kontiene og beslutningen om, hvem der besætter de to pladser, ikke selve registreringen på platformen.

Én konto kan rumme flere fabrikanter

Den samme vejledning fastlægger det praktiske omkring de to pladser. En primær repræsentant inviterer en backup via e-mailadresse, hvilket opretter en post markeret "Pending Invitation" uden rolle, indtil den accepteres. En sekundær repræsentant kan anmode om forfremmelse til primær, hvilket sendes til CDaC til gennemgang. ENISA formaliserede dette den 17. september 2026 ved at markere FAQ-spørgsmål 9 som „[OPDATERET]” for at fastslå, at en sekundær AR „ikke har samme administrative rettigheder som den primære AR, men kan gøre krav på den primære AR-rolle, med forbehold for gennemgang og godkendelse fra det udpegede CSIRT“. Begge kan fjerne en tilknytning, som derefter markeres "Deleted". Og én enkelt konto kan bære tilknytninger til flere fabrikanter, hver tilføjet via Association Management og hver verificeret separat.

Det sidste punkt betyder noget for koncerner med flere producerende enheder og for virksomheder, der handler efter artikel 18 for fabrikanter etableret uden for EU. Det er også der, navnefælden nedenfor bider hårdest.

06Indsendelse af en indberetning

Indberetning foregår fra et dashboard. Du opretter en underretning og føjer derefter til samme post i hver fase frem for at indsende tre særskilte ting. Hver fase har sin egen fane, og hver kan først gemmes som kladde. Dashboardet kan søges på underretnings-ID, fabrikant eller titel, sorteres på titel eller seneste opdatering og filtreres på medlemsstat, indsendelsestype eller et Action Required -flag.

• Tidlig varslingStart en ny underretning fra dashboardet, udfyld de obligatoriske felter, og vælg en eksisterende fabrikant eller tilføj en. Ved indsendelse er den tilgængelig for din udpegede CSIRT og automatisk for ENISA. Bekræftelser pr. e-mail og som advarsel går til CSIRT'en, til ENISA og til hver repræsentant, der er registreret for den pågældende fabrikant, ikke kun den person, der indsendte.
• 72 timerKun tilgængelig, når der findes en tidlig varsling. Åbn den samme underretning, og udfyld fanen for 72 timer. ENISA modtager den automatisk, medmindre du påberåber dig betingelserne i artikel 16, stk. 2; i så fald markeres posten "72h Submitted under PEC", og ENISA's indsigt er begrænset, indtil CSIRT'en frigiver den.
• Endelig rapportKun tilgængelig, når begge tidligere faser findes. ENISA modtager den automatisk, medmindre betingelserne i artikel 16, stk. 2, er påberåbt.

Hvad er obligatorisk, og hvornår

ENISA har offentliggjort, hvilke felter der er obligatoriske i hver fase. Tabellen er en nyttig korrektion af en udbredt antagelse: den tidlige varsling inden for 24 timer er en advarsel, ikke en undersøgelse.

• Efter 24 timer; underretningens type og niveau, fabrikantens eller forvalterens navn, produktet og en titel. For hændelser, om der er mistanke om ulovlige eller ondsindede handlinger. De medlemsstater, hvor produktet er tilgængeligt, kræves kun, hvis du allerede har oplysningen.
• Efter 72 timer; sårbarhedens og udnyttelsens generelle karakter, afhjælpende eller begrænsende foranstaltninger, der er truffet, og foranstaltninger, brugerne kan træffe. For hændelser, hvornår den blev opdaget, og hvornår den indtraf, samt en indledende vurdering. Følsomhed markeres her.
• Ved den endelige rapport; den fulde beskrivelse, alvorlighed og virkning, datoen hvor en afhjælpende foranstaltning blev tilgængelig, og detaljer om sikkerhedsopdateringen. For hændelser, den sandsynlige grundlæggende årsag og igangværende begrænsende foranstaltninger.

Valgfrie felter, der alligevel er værd at registrere, omfatter CVE ID og den EUVD ID, som begge er tilgængelige fra første fase.

Hvert felt har en tegngrænse, og et af dem er meget kort

ENISA's SRP-ordliste, første gang med feltstørrelser i version 1.1 af 5. september 2026 og nu i version 1.3 af 10. september 2026, er det ENISA-dokument, der offentliggør størrelsen på hvert felt. Skriv dine interne skabeloner til disse grænser i stedet for at opdage dem klokken to om natten:

• 4000 tegn til de beskrivende felter: resuméet, generelle oplysninger om sårbarheden eller hændelsen, de afhjælpende foranstaltninger, brugerne kan træffe, de fulde beskrivelser af alvorlighed og virkning, den indledende vurdering og, for hændelser, de anvendte og igangværende begrænsende foranstaltninger.
• 2000 tegn til de afhjælpende eller begrænsende foranstaltninger, du allerede har truffet, og til detaljerne om sikkerhedsopdateringen eller den afhjælpende foranstaltning i den endelige rapport.
• 800 tegn til den fritekstbegrundelse, der ledsager en PEC-anmodning ved 72-timers sårbarhedsunderretningen.
• 255 tegn til titlen, produktnavnet, produktets versionsinterval, komponentnavnet, angrebsvektoren, følsomhedsbegrundelsen og den sandsynlige grundlæggende årsag.
• 100 tegn til den ondsindede aktør, der udnyttede sårbarheden. Det er cirka én linje, så planlæg at navngive aktøren eller henvise til en indikatorreference i stedet for at beskrive kampagnen.

Ordlisten bekræfter også en lille bekvemmelighed: feltet Medlemsstater, hvor produktet er tilgængeligt kommer forudfyldt med dit eget koordinerende CSIRT, og de øvrige markeder tilføjer du selv.

Redigering og punktet uden tilbagevenden

En indsendt underretning kan opdateres, og platformen sender automatisk en advarsel og en e-mail til din CSIRT samt ENISA og alle CSIRTs, der allerede har modtaget den gennem videreformidling. Der gælder to begrænsninger: en lukket underretning kan ikke opdateres, og posten bliver ikke-redigerbar, når den endelige rapport er indsendt.

Hold øje med advarselsfanen, også i weekenden

Hver konto har en Advarsler -fane, farvekodet: ulæste advarsler er lyseblå og bliver grå, når de åbnes, og røde advarsler vises kun, hvor noget usædvanligt er sket. Det eksempel, ENISA giver, er en udpeget CSIRT, der har ugyldiggjort en indsendelse. Indsendelsen er derfor ikke enden på udvekslingen, og ingen frist efter artikel 14 flytter sig, fordi en underretning kom retur til dig. Den, der holder øje med den fane, skal holde øje uden for normal arbejdstid, hvilket er endnu et argument for en overvåget fælles postkasse bag begge pladser frem for to personlige adresser.

Platformens 72-timers tæller tæller ikke fra det tidspunkt, hvor du blev opmærksom

FAQ'en afslører, hvordan nedtællingerne på skærmen faktisk opfører sig, og de følger ikke den juridiske frist. ENISA opdaterede FAQ'en den 10. september 2026, dagen før åbningen, og lod dette svar stå, så den adfærd, der beskrives her, er den adfærd, der gik i drift. I den nuværende udgave er det 72-timers tælleren der viser en forfaldsdato 48 timer efter at 24-timers rapporten er indsendt, ikke 72 timer efter at du blev opmærksom. ENISA anfører klart, at en underretning derfor kan fremstå som forsinket før der er gået 72 timer fra det tidspunkt, hvor man blev opmærksom, og at logikken vil blive ændret i en senere udgave, så den tæller fra feltet "date and time when you became aware", både for sårbarheder og for hændelser.

Tællerne for den endelige rapport adskiller sig igen. For en alvorlig hændelse viser tælleren en måned efter underretningen efter 72 timer. For en aktivt udnyttet sårbarhed er der slet ingen tæller, fordi fristen afhænger af, hvornår en korrigerende foranstaltning bliver tilgængelig, hvilket platformen ikke kan vide.

Ved lanceringen registrerer platformen ikke, hvornår du blev opmærksom

Den 5. september 2026 erstattede ENISA sin felt-for-felt SRP-ordliste med version 1.1, og to fodnoter i den betyder mere end noget andet på siden. For en aktivt udnyttet sårbarhed bærer feltet Date/time when you become aware noten om, at det vil være tilgængeligt i platformens næste udgave. For en alvorlig hændelse siger noten, at det tilsvarende felt i den nuværende udgave hedder Date/time the incident was detected.

Sat sammen med tællerlogikken ovenfor lukker det en cirkel. FAQ'en sagde, at 72-timers tælleren ville blive rettet, når feltet om opmærksomhed kom; ordlisten sagde, at feltet kommer i en senere udgave. Ingen af delene flyttede sig inden åbningen: ENISA reviderede ordlisten igen til version 1.3 den 10. september 2026 og lod begge fodnoter stå urørt. Fra dag ét registrerer platformen derfor slet intet tidsstempel for opmærksomhed for sårbarheder, og for hændelser registrerer den opdagelsestidspunktet, som ikke er tidspunktet for opmærksomhed.

07Hvad du kan gøre i dag

At overholde et 24-timers vindue er et driftsmæssigt problem, ikke et papirarbejde. Nu hvor platformen er åben, er listen nedenfor ikke længere forberedelse til en fremtidig begivenhed; pligten løber, og alt her, du ikke har gjort, er en eksponering frem for en plan.

• Opret dine EU Login-konti med MFA slået til. Til den primære indberetter og mindst én backup. Det tager få minutter på ecas.ec.europa.eu, og platformen lukker ingen ind uden multifaktorautentifikation, så det at slå den til er en del af opgaven frem for en forfinelse af den.
• Find frem til din udpegede CSIRT. ENISA offentliggjorde listen over koordinatorer for alle 27 medlemsstater den 4. september 2026, så dette er nu en opgave, du kan færdiggøre. Anvend testen om hovedforretningssted i artikel 14, stk. 7, vælg din række, og skriv begrundelsen ned.
• Byg 24-timers formularen internt. En kort skabelon, der matcher ENISA's obligatoriske felter til tidlig varsling, så din første rigtige indsendelse bliver afskrift frem for formulering. Opbevar den et sted, begge repræsentanter kan åbne, fordi kladder på platformen kun er synlige for den, der har oprettet dem.
• Udpeg personerne, også uden for arbejdstid. Beslut, hvem der vurderer, at en indberetning skal ske, hvem der skriver den, og hvem der indsender den. Da der ikke er noget API, er sidste trin et navngivet menneske ved et tastatur.
• Hold en præcis SBOM. Du kan ikke indberette om en komponent, du ikke vidste, du havde leveret. Vedligehold en softwarestykliste, og hold den opdateret, efterhånden som udgivelserne ændrer sig.
• Overvåg den løbende. Sammenhold dine komponenter med kilder over kendte sårbarheder, så en aktivt udnyttet fejl dukker op på timer og ikke uger. Vores SBOM og sårbarhedsanalysator sporer din stykliste op mod NVD og EU's sårbarhedsdatabase (EUVD).
• Få styr på, hvad der reelt er omfattet. Fasen efter 72 timer spørger til produkttype og kategorien i bilag III eller IV, så afklar klassificeringen, inden du får brug for den. Vores klassificeringsværktøj besvarer det, og vores overensstemmelsesmatrix knytter indberetning til de bredere sårbarhedshåndteringsforpligtelser i Bilag I, som den er en del af.
• Beslut, hvem der læser advarselsfanen uden for normal arbejdstid. En udpeget CSIRT kan ugyldiggøre en indsendelse, og den advarsel, der siger det, lander på platformen frem for kun i din indbakke. Sæt en overvåget postkasse bag begge repræsentantpladser.
• Stol ikke på platformens nedtælling. Registrér selv dit tidsstempel for, hvornår du blev opmærksom. 72-timers tælleren på skærmen løber fra indsendelsen af 24-timers rapporten, ikke fra det tidspunkt, hvor du blev opmærksom, så den kan markere en indsendelse som forsinket, før den juridiske frist er udløbet.
• Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
• Kontrollér, at du har valgt den rigtige koordinator, inden du indsender. ENISA advarer nu om, at valg af den forkerte CSIRT udpeget som koordinator kan få underretningen ugyldiggjort, så du selv må indsende igen til den rigtige, mens uret stadig løber.

08Følg det ved kilden

Denne side afspejler stillingen den 11. september 2026, den dag platformen åbnede. Den vil fortsat flytte sig, og ENISA redigerer sine sider stilfærdigt frem for at annoncere hver ændring. I ugen før lanceringen blev FAQ'en omskrevet den 4. september 2026 og opdateret igen den 10. september 2026, listen over koordinatorer kom den 4. september 2026 og blev ombestemplet den 10. september 2026, ordlisten nåede version 1.1 den 5. september 2026 og version 1.3 den 10. september 2026, vejledningen om særligt ekstraordinære omstændigheder kom den 9. september 2026, og AR User Manual og platformens vilkår og betingelser blev offentliggjort den 10. september 2026. Siden lanceringen er FAQ'en blevet opdateret igen den 12. september 2026 (AR-brugerens vejledningsvideo gik i luften, og SRP-faktaarket udkom på yderligere ni sprog) og den 17. september 2026, hvor spørgsmål 9 blev markeret „[OPDATERET]” for at dokumentere, at en sekundær AR kan gøre krav på den primære AR-rolle, med forbehold for CDaC's gennemgang. For supportspørgsmål offentliggør ENISA en helpdesk-adresse på hub-siden, cra-srp-helpdesk [at] enisa.europa.eu. Dette er de primære kilder; alt ovenstående er vores læsning af dem.

• ENISA · Selve den fælles indberetningsplatform (i drift fra 11. september 2026); vælg rollen Assigned Representative og log ind via EU Login med multifaktorautentifikation. Det er her, underretninger indsendes.portal.cra-srp.enisa.europa.eu
• ENISA · Fælles indberetningsplatform; hub-siden, med faktaarket, brugermanualen, helpdesk-adressen og links til hver eneste vejledningsside.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
• ENISA · Ofte stillede spørgsmål om SRP (opdateret 10. september 2026); retsgrundlag, frister, routing, felttabellen, tællerlogikken, hvad man skal gøre under en driftsafbrydelse, og platformens adresse. Omskrevet den 4. september og udvidet dagen før lanceringen. Den nyeste af ENISA's SRP-sider og den, man bør foretrække, hvor de er i modstrid.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
• ENISA · CRA SRP AR User Manual (10. september 2026); manualen fra lanceringsdagen for Assigned Representatives og den fyldigste enkeltstående beskrivelse af platformen, som den faktisk åbnede.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
• ENISA · Liste over CSIRTs udpeget som koordinatorer (offentliggjort den 4. september 2026, opdateret den 10. september 2026); kontaktpunkter for alle 27 medlemsstater. Find din række ved hjælp af testen i artikel 14, stk. 7, i afsnit 04.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
• ENISA · CRA SRP-ordliste (version 1.3, 10. september 2026); felt-for-felt vejledning om, hvad hvert indberetningsfelt betyder, hvordan det udfyldes, dets forventede format, dets tegngrænse og det stadie, hvor det gælder. Bemærk adressen: ENISA har flyttet ordlisten til en glossary2 URL, og den ældre er stadig linket fra nogle af dens egne sider, så tjek versionslinjen øverst, før du stoler på en kopi.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
• ENISA · Vejledning om brugerregistrering på SRP; det trinvise registreringsforløb for primære brugere og backupbrugere, med skærmbilleder af grænsefladen.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
• ENISA · Vejledning om indsendelse af underretninger på SRP; hvordan den tidlige varsling, underretningen efter 72 timer og den endelige rapport indsendes og opdateres, og hvad hver status udløser.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
• ENISA · Vejledning om SRP's grænsefladefunktioner (9. september 2026); indstillinger, tilknytninger til fabrikanter, betjeningspanelet og fanen med varsler. Ombestemplet på selve lanceringsdagen og er nu enig med FAQ'en i, at en uverificeret tilknytning må indsende op til 20 underretninger.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
• ENISA · CRA SRP-vilkår og -betingelser (version 1.0, 10. september 2026); de vilkår, du accepterer, når du registrerer dig på platformen, offentliggjort dagen før den åbnede.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
• ENISA · SRP-vejledning om særligt ekstraordinære omstændigheder (9. september 2026); hvornår PEC gælder, kontakten og udsættelsesgrundene i 72-timers-formularen, og hvad det koordinerende CSIRT gør med begrundelsen. Den femte vejledningsside og den eneste, der behandler PEC direkte.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
• Europa-Kommissionen · Indberetningsforpligtelser efter CRA; politiksiden, herunder de ofte stillede spørgsmål om gennemførelsen af CRA, hvis afsnit 5 handler om indberetning. Kommissionen opdaterede denne side den 11. september 2026 for at bekræfte, at platformen nu er i drift, og det separate FAQ-dokument fra Kommissionen blev senest opdateret den 4. september 2026.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Europa-Kommissionen · Vejledning om anvendelsen af CRA (27. juli 2026); punkt 9.1 fastlægger indberetningsforpligtelserne for fabrikanter og open source-softwareforvaltere. Vores resumé af vejledningen dækker resten.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login; opret den konto, platformen bruger, og slå multifaktorautentifikation til på den. Gør det nu.ecas.ec.europa.eu/cas/login

Den bindende tekst finder du i artikel 14 til 17, som fastlægger indberetningsøkosystemet, og artikel 16, som opretter platformen; læs dem i vores forordningslæser. Milepælsdatoer følges på siden status .

09Hyppige spørgsmål