Fra den 11. september 2026 er en ny og ofte overset forpligtelse trådt i kraft for producenter af udstyr med digitale elementer – herunder mange typer maskiner: indberetningspligten i EU’s Cyber Resilience Act (CRA). Bliver jeres maskine ramt af et cyberangreb, eller opdager I en sårbarhed, der aktivt bliver udnyttet, har I nu kun 24 timer til at reagere over for myndighederne.
Denne artikel giver jer det fulde overblik: hvad CRA er, hvad og hvornår der skal indberettes, hvem forpligtelsen rammer – og hvordan den spiller sammen med reglerne om maskinsikkerhed, I allerede kender fra Maskindirektivet og den kommende Maskinforordning.
Hvad er Cyber Resilience Act (CRA)?
Cyber Resilience Act – forordning (EU) 2024/2847 – er EU’s første samlede regelsæt om cybersikkerhed for “produkter med digitale elementer” (PDE). Det dækker bredt: software, IoT-enheder og forbrugerelektronik, men også industrielt udstyr som PLC’er, HMI-paneler, sensorer og netværksudstyr, der kan tilsluttes eller kommunikere digitalt.
Forordningen trådte i kraft den 10. december 2024 og bliver fuldt gældende fra 11. december 2027. Men én del af reglerne rykker markant hurtigere frem: indberetningspligten for aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser, som gælder allerede fra 11. september 2026, jf. CRA artikel 71, stk. 2.
Det betyder, at forpligtelsen gælder for produkter, der allerede er på markedet – ikke kun nye produkter, der lanceres efter 2027.
Hvad skal indberettes – og hvor hurtigt?
Fra 11. september 2026 skal fabrikanter af omfattede produkter indberette til ENISA (EU’s Agentur for Cybersikkerhed), hvis de bliver opmærksomme på:
- en aktivt udnyttet sårbarhed i produktet, eller
- en alvorlig sikkerhedshændelse, der påvirker produktets sikkerhed
Indberetningen sker i tre trin med stramme frister:
- Tidlig advarsel inden for 24 timer – en kort første melding om, at noget er sket
- Formel indberetning inden for 72 timer – med mere detaljerede oplysninger om produktet, karakteren af sårbarheden eller hændelsen og eventuelle afhjælpende tiltag
- Slutrapport inden for 14 dage – en fyldestgørende beskrivelse, inklusive hvad der er gjort for at løse problemet
Indberetningen sker via ENISA’s fælles indberetningsplatform (“Single Reporting Platform”), som automatisk videresender oplysningerne til den relevante nationale myndighed. I Danmark er det Center for Cybersikkerhed (CFCS), der modtager indberetningerne.
Hvem er omfattet? Ja, sandsynligvis også jeres maskiner
Mange maskinbyggere tænker, at CRA kun handler om forbrugerelektronik og software – men sådan er det ikke. CRA gælder for alle produkter, der på nogen måde kan tilsluttes eller kommunikere digitalt: en netværksport, en USB-indgang, en debug-port eller blot muligheden for at tilslutte en ekstern enhed er nok til, at produktet betragtes som et “produkt med digitale elementer”.
Det betyder, at en almindelig produktionsmaskine med PLC-styring og touchscreen-betjening i praksis kan være omfattet – også selvom maskinen som udgangspunkt kører “stand-alone” uden internetforbindelse. Har maskinen mulighed for opdatering, ekstern tilslutning eller dataudveksling, skal I forholde jer til CRA.
Det er fabrikanten af maskinen (eller den, der bringer den i omsætning under eget navn), der har indberetningspligten – ikke kunden eller slutbrugeren.
CRA og Maskinforordningen: To regelsæt, der overlapper
For maskinbyggere er det vigtigt at forstå, at CRA ikke erstatter kravene til cybersikkerhed i den kommende Maskinforordning (EU) 2023/1230 – de to regelsæt gælder side om side.
Maskinforordningens bilag III, punkt 1.2.1, stiller allerede krav om, at maskinens styresystem skal kunne modstå ydre påvirkninger, og at sikkerhedskritisk software og data skal kunne identificeres, beskyttes og dokumenteres. Det er et sikkerhedskrav (safety), rettet mod at forhindre farlige situationer for personer.
CRA stiller derimod et generelt sikringskrav (security) til selve produktet gennem hele dets livscyklus – herunder pligten til at opdage, håndtere og indberette sårbarheder og hændelser.
Overholder I det ene regelsæt, er I altså ikke automatisk i mål med det andet. Mange maskiner vil skulle dokumentere overholdelse af begge dele.
Hvad sker der, hvis I ikke indberetter?
CRA artikel 64 fastsætter rammerne for sanktioner. De groveste overtrædelser – manglende overholdelse af de væsentlige cybersikkerhedskrav – kan udløse bøder på op til 15 millioner euro eller 2,5 % af virksomhedens globale årsomsætning, alt efter hvad der er højest. Andre overtrædelser af forordningen kan give bøder på op til 10 millioner euro eller 2 % af omsætningen.
Der er dog en vigtig læmpelse for mindre virksomheder: mikrovirksomheder og små virksomheder forventes ikke at blive mødt med bøder i denne størrelsesorden alene for at overskride 24-timersfristen for indberetning af sårbarheder. Det ændrer dog ikke ved, at forpligtelsen til at indberette stadig gælder – det er kun sanktioneringen for netop denne frist, der er læmpet.
Ud over bøder kan manglende overholdelse føre til krav om tilbagetrækning af produktet fra markedet og tab af tillid hos kunder og samarbejdspartnere.
Hvad skal I gøre nu?
Uanset størrelsen på jeres virksomhed anbefaler vi, at I allerede nu:
- Kortlægger, hvilke af jeres maskiner og produkter der har digitale elementer (netværksforbindelse, USB, debug-porte, opdateringsmuligheder mv.)
- Etablerer en intern proces for, hvordan I opdager, vurderer og eskalerer sårbarheder og sikkerhedshændelser
- Udpeger, hvem i organisationen der har ansvaret for at foretage en indberetning inden for 24-timersfristen
- Sikrer, at kravene til cybersikkerhed i den kommende Maskinforordning tænkes ind i jeres CE-mærkningsarbejde, så I ikke skal løse de to regelsæt hver for sig
Har I spørgsmål til, hvordan cybersikkerhedskravene i Maskinforordningen spiller sammen med jeres CE-mærkning og risikovurdering, er I velkomne til at kontakte os.
