Cyber Resilience Act (CRA)
EU's krav til cybersikkerhed i produkter med digitale elementer – og hvad de betyder for producenter, distributører og installatører/systemintegratorer.
Hvad er Cyber Resilience Act?
Cyber Resilience Act (CRA) er en EU-forordning, der stiller fælles krav til cybersikkerheden i produkter med digitale elementer, herunder både hardware og software.
Formålet er at sikre, at cybersikkerhed tænkes ind allerede i produktudviklingen, og at producenter håndterer sårbarheder og sikkerhedsopdateringer gennem produktets relevante supportperiode.
Forordningen har betydning for hele leverandørkæden. Producenter, importører og distributører har forskellige forpligtelser, mens installatører/systemintegratorer og anlægsejere skal være opmærksomme på, hvordan produkterne anvendes, konfigureres og vedligeholdes.
Hvem er omfattet af CRA?
Cyber Resilience Act omfatter som udgangspunkt produkter med digitale elementer, der bringes i omsætning på EU-markedet. Det kan eksempelvis være netværksbaseret dørtelefoni, adgangskontrol og tilhørende software. Der gælder dog undtagelser for visse produktgrupper.
Producenter
Har hovedansvaret for, at produkterne opfylder cybersikkerhedskravene. Det omfatter blandt andet sikker udvikling, risikovurdering, dokumentation og håndtering af sårbarheder.
Importører
Skal sikre, at produkter fra lande uden for EU opfylder de relevante krav, inden de bringes i omsætning på EU-markedet.
Distributører
Skal blandt andet kontrollere relevant CE-mærkning og dokumentation samt reagere, hvis de får grund til at tro, at et produkt ikke opfylder kravene.
Installatører/systemintegratorer
Er ikke automatisk omfattet af de samme forpligtelser. Men hvis de eksempelvis foretager væsentlige ændringer af et produkt og gør det tilgængeligt på markedet, kan de efter omstændighederne få producentansvar.
Hvilke krav gælder?
CRA stiller krav til cybersikkerheden i produkter med digitale elementer – både når de udvikles, bringes på markedet og efterfølgende vedligeholdes. Kravene skal sikre, at produkterne er beskyttet mod kendte sikkerhedsrisici, og at sårbarheder håndteres gennem den relevante supportperiode.
Sikkerhed fra starten
Producenter skal indarbejde cybersikkerhed i produktets design og udvikling. Det omfatter blandt andet risikovurdering, sikre standardindstillinger og beskyttelse mod uautoriseret adgang.
Sikkerhedsopdateringer og håndtering af sårbarheder
Producenter skal have procedurer til at identificere og afhjælpe sårbarheder samt stille relevante sikkerhedsopdateringer til rådighed. Produktets supportperiode skal være tydeligt oplyst.
Dokumentation og CE-mærkning
Producenter skal dokumentere, at produkterne opfylder de gældende krav, gennemføre den relevante overensstemmelsesvurdering og udarbejde en EU-overensstemmelseserklæring. CE-mærkningen skal også afspejle overholdelsen af CRA, når kravene finder anvendelse.
Indberetning af sikkerhedshændelser
Producenter skal indberette aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser, der påvirker produkternes sikkerhed, til de relevante myndigheder gennem EU's fælles indberetningsplatform. Disse indberetningskrav trådte allerede i kraft den 11. september 2026.
Kontrol i leverandørkæden
Importører og distributører skal foretage de kontroller, der følger af deres respektive roller. Det indebærer blandt andet at kontrollere relevant mærkning og dokumentation og at reagere ved mistanke om manglende overholdelse af kravene.
Tidslinje og vigtige datoer
Cyber Resilience Act trådte i kraft i december 2024, men kravene indføres gradvist. Det giver virksomheder tid til at forberede sig, mens visse forpligtelser allerede gælder.
-
CRA træder i kraft
EU-forordningen træder officielt i kraft, og overgangsperioden begynder.
-
Regler om overensstemmelsesvurdering
Bestemmelserne om udpegning og notifikation af organer, der kan udføre overensstemmelsesvurderinger, begynder at finde anvendelse.
-
Indberetningspligt træder i kraft
Producenter skal indberette aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser, der påvirker sikkerheden i deres produkter.
-
De generelle CRA-krav finder anvendelse
De centrale krav til blandt andet produktsikkerhed, dokumentation, håndtering af sårbarheder og overensstemmelsesvurdering begynder at gælde.
Konsekvenser og ansvar
Cyber Resilience Act stiller bindende krav til de virksomheder, der udvikler, importerer og distribuerer produkter med digitale elementer. Manglende overholdelse kan få både økonomiske og praktiske konsekvenser.
Kontrol og markedsovervågning
De nationale markedsovervågningsmyndigheder kan kontrollere, om produkter lever op til CRA. Hvis et produkt ikke opfylder kravene, kan myndighederne kræve korrigerende handlinger og i sidste ende begrænse eller forbyde salget eller kræve produktet trukket tilbage fra markedet.
Bøder ved overtrædelser
CRA giver mulighed for betydelige administrative bøder. De alvorligste overtrædelser af de centrale cybersikkerhedskrav kan medføre bøder på op til 15 mio. euro eller 2,5 % af virksomhedens samlede globale årsomsætning, afhængigt af hvilket beløb der er højest. Bødernes størrelse afhænger blandt andet af overtrædelsens karakter og de konkrete omstændigheder.
Ansvar i leverandørkæden
Producenten har hovedansvaret for produktets overensstemmelse med CRA, mens importører og distributører har selvstændige kontrol- og handlepligter. En virksomhed, der markedsfører et produkt under eget navn eller varemærke eller foretager visse væsentlige ændringer, kan desuden blive betragtet som producent og dermed overtage producentens forpligtelser.
Hvad betyder det for installatører/systemintegratorer?
En almindelig installation medfører ikke i sig selv producentansvar efter CRA. Installatører/systemintegratorer bør dog sikre korrekt konfiguration, følge producentens sikkerhedsanvisninger og tydeligt aftale, hvem der har ansvaret for efterfølgende opdateringer og vedligeholdelse. Det er vigtigt for installationens samlede cybersikkerhed, selv hvor disse opgaver ikke er direkte CRA-forpligtelser.
Hvad bør du gøre nu?
Selvom de generelle CRA-krav først finder anvendelse fra den 11. december 2027, er det en god idé allerede nu at forberede sig. Det gælder både virksomheder, der udvikler og distribuerer digitale produkter, og installatører/systemintegratorer, der anvender dem i konkrete løsninger.
-
Skab overblik over dine produkter og løsninger
Undersøg, hvilke produkter der indeholder software, firmware eller netværksfunktioner, og hvilke sikkerhedskrav der kan være relevante.
-
Stil spørgsmål til dine leverandører
Efterspørg information om produkternes sikkerhed, supportperioder, tilgængelige opdateringer og relevant dokumentation.
-
Tænk cybersikkerhed ind fra begyndelsen
Inddrag sikkerhed i projektering og produktvalg. Vær blandt andet opmærksom på netværksadgang, brugerrettigheder og sikre standardindstillinger.
-
Afklar ansvar for drift og opdateringer
Aftal, hvem der skal vedligeholde installationen, installere sikkerhedsopdateringer og reagere på eventuelle sårbarheder efter aflevering.
-
Følg udviklingen frem mod 2027
Hold dig orienteret om CRA, producenternes dokumentation og eventuelle ændringer i de produkter, du arbejder med.
For producenter, importører og distributører kommer der desuden specifikke lovbestemte forpligtelser, som skal håndteres i forhold til den enkelte virksomheds rolle.
Betydning for Freund og vores kunder
Cyber Resilience Act får betydning for hele leverandørkæden – også for Freund som distributør af tekniske sikkerheds- og kommunikationsløsninger.
Freunds ansvar som distributør
Vi har ansvar for at kontrollere, at de produkter, vi distribuerer, opfylder de relevante krav til blandt andet CE-mærkning og dokumentation. Vi skal også reagere, hvis vi får grund til at tro, at et produkt ikke lever op til gældende regler.
Det kræver tæt dialog med vores producenter og leverandører om produktsikkerhed, softwareopdateringer og håndtering af sårbarheder. Det er også noget, vi tager alvorligt i vores egen virksomhed.
Hvad betyder det for vores kunder?
For installatører/systemintegratorer bliver det stadig vigtigere at vælge produkter med tydelig sikkerhedsdokumentation og klare rammer for opdateringer og vedligeholdelse.
Ved projektering og installation anbefaler vi særligt at være opmærksom på sikker netværkskonfiguration, adgangsrettigheder og aftaler om den efterfølgende drift.
Vi hjælper med at skabe overblik
Hos Freund arbejder vi på at gøre relevant produktdokumentation og information om cybersikkerhed lettere tilgængelig. Vi hjælper gerne med at afklare spørgsmål om vores produkter og deres anvendelse i konkrete projekter.
CRA er først og fremmest et fælles skridt mod mere sikre digitale produkter – og dermed mere robuste installationer hos slutbrugerne.
Læs også om de øvrige standarder og cybersikkerhedsregler
CRA er én af flere rammer for cybersikkerhed. NIS2, RED og IEC 62443 har forskellige formål, men er alle relevante at kende, når man arbejder med digitale sikkerheds- og kommunikationsløsninger.
Har du spørgsmål om CRA og vores produkter?
Er du i tvivl om, hvad Cyber Resilience Act betyder for de produkter og løsninger, du arbejder med? Hos Freund hjælper vi gerne med spørgsmål om vores produkters dokumentation, cybersikkerhed og anvendelse i konkrete projekter.
Kontakt os, hvis du har brug for yderligere information eller ønsker at drøfte en konkret løsning.