Hvad der reelt ændrer sig den 11. september 2026
EU's Cyber Resilience Act fastsætter en fast rapporteringspligt, der begynder den 11. september 2026. Så snart en producent har en rimelig grad af sikkerhed for, at en sårbarhed i et af dens produkter aktivt bliver udnyttet, eller at en alvorlig hændelse har ramt sikkerheden i det pågældende produkt, begynder uret at tikke. En tidlig varsling skal nå frem til EU's agentur for cybersikkerhed ENISA og det relevante nationale CSIRT inden for 24 timer, sendt gennem en enkelt rapporteringsplatform, der underretter dem begge på én gang.
Med 24-timers varslingen er sagen ikke afsluttet. En mere fyldig underretning skal indgives inden for 72 timer, og en endelig rapport inden for 14 dage, når en korrigerende eller afhjælpende foranstaltning er tilgængelig. Udløseren er ikke fuld retsteknisk bevisførelse. En igangværende undersøgelse standser ikke uret, så det praktiske spørgsmål for en ejer er enkelt: kunne dit team opfange signalet, afgøre at det er omfattet, og indgive rapporten inden for en arbejdsdag?
Hvorfor dette rammer produkter, du allerede har solgt
Det punkt, der overrumpler mange virksomheder, er anvendelsesområdet. Forpligtelsen er ikke begrænset til produkter, der lanceres efter fristen. Så længe et produkt med digitale elementer forbliver på EU-markedet den 11. september 2026 eller derefter, er dets sårbarheder og alvorlige hændelser omfattet af rapporteringspligten, herunder ældre enheder og ældre serier, der stadig sælges. En tilsluttet sensor, en maskinstyring eller en softwarekomponent, der blev leveret for årevis siden, kan trække dig ind i en 24-timers indgivelse.
Det er her, risikoen ligger for en typisk Mittelstand-producent. Konstruktionen blev godkendt for længe siden, produktet er modent, og ingen har ansvaret for en 24-timers rapporteringsdrejebog for det. Kommissionens nuværende vejledning fra marts 2026 er den mest autoritative fortolkning, der findes, men den er stadig et udkast og ikke formelt vedtaget, så nogle detaljer kan flytte sig. De centrale tidslinjer og rækkevidden ind i eksisterende produkter er allerede tilstrækkeligt klare til at planlægge efter.
Hvad en ejer med fornuft kan tjekke nu
Start med et ærligt overblik over, hvad du faktisk sælger, der har digitale elementer, herunder indlejret software og tilsluttede funktioner i ældre serier. Spørg derefter, hvem inde i virksomheden der først ville få nys om, at et af de produkter bliver udnyttet, og hvordan det når frem til en beslutningstager, der kan godkende en indgivelse. Hvis det ærlige svar er, at beskeden ville ligge i en indbakke hen over en weekend, har du fundet hullet. En navngiven ansvarlig, en fastlagt vej og en indøvet 24-timers øvelse betyder mere her end et tykt politikdokument.
Intet af dette er juridisk rådgivning, og vejledningens endelige udformning er endnu ikke fastlagt. Men retningen er sat, og fristen er nær. At behandle rapporteringspligten som et spørgsmål om operationel parathed nu, frem for et compliance-notat senere, er det, der adskiller de virksomheder, der indgiver roligt, fra dem, der farer rundt. Arbejdet handler for det meste om proces og ejerskab, ikke om ny teknologi.
Læs videre: Styringskløften for AI-agenter: Hvorfor hurtig udrulning bygger morgendagens ansvar | En AI kørte selv et helt ransomware-angreb
