Artikel 14-indberetning efter Cyber Resilience Act gælder fra 11. september 2026. Producenter skal skelne mellem de to indberetningspligtige hændelsestyper og deres forskellige frister for endelige rapporter.
To indberetningsforløb og en fælles start
Cyber Resilience Act, forordning (EU) 2024/2847, kræver, at producenter indberetter visse hændelser, der påvirker produkter med digitale elementer. Dens krav til indberetning i artikel 14 gælder fra 11. september 2026. Forordningen finder generelt anvendelse fra 11. december 2027 med forbehold af dens overgangsbestemmelser.
Artikel 14 har to indberetningsforløb:
- en sårbarhed, der aktivt udnyttes, og som findes i en producents produkt med digitale elementer
- en alvorlig hændelse, der påvirker produktets sikkerhed
En sårbarhed, CVE eller mistanke om udnyttelse er ikke i sig selv nødvendigvis en indberetningspligtig aktivt udnyttet sårbarhed. Tilsvarende opfylder ikke enhver sikkerhedshændelse tærsklen for en alvorlig hændelse. Hver hændelse skal vurderes i forhold til de lovbestemte tærskler og de foreliggende faktiske omstændigheder.
Begge forløb begynder med de samme to faser. Fristerne for deres endelige rapporter er forskellige, både i længde og med hensyn til den hændelse, der starter fristen.
Tidlig advarsel inden for 24 timer
For begge indberetningspligtige hændelser skal producenten give en tidlig advarsel uden unødig forsinkelse og under alle omstændigheder senest 24 timer efter at være blevet bekendt med den indberetningspligtige hændelse.
Den ydre frist på 24 timer er ikke en tilladelse til at vente. Formålet med den tidlige advarsel er at påbegynde indberetningsprocessen straks, når producenten bliver bekendt med en indberetningspligtig hændelse.
Underretning inden for 72 timer
Den næste underretning skal også ske uden unødig forsinkelse og under alle omstændigheder senest 72 timer efter, at producenten er blevet bekendt med den indberetningspligtige hændelse.
Denne anden fase følger den tidlige advarsel. De lovbestemte frister gælder både aktivt udnyttede sårbarheder og alvorlige hændelser, men kravene til den endelige rapport efter artikel 14 afviger herefter.
Endelige rapporter har forskellige frister
For en aktivt udnyttet sårbarhed skal den endelige rapport indsendes senest 14 dage efter, at en korrigerende eller afbødende foranstaltning er tilgængelig. Dette er ikke en frist, der måles fra kendskab til sårbarheden.
For en alvorlig hændelse skal den endelige rapport indsendes inden for en måned efter 72-timersunderretningen. Dette er en særskilt frist, der er knyttet til den tidligere underretning og ikke til tilgængeligheden af en korrigerende eller afbødende foranstaltning.
| Indberetningspligtig hændelse | Tidlig advarsel | Næste underretning | Endelig rapport |
|---|---|---|---|
| Aktivt udnyttet sårbarhed | Uden unødig forsinkelse og under alle omstændigheder senest 24 timer efter kendskab | Uden unødig forsinkelse og under alle omstændigheder senest 72 timer efter kendskab | Senest 14 dage efter, at en korrigerende eller afbødende foranstaltning er tilgængelig |
| Alvorlig hændelse | Uden unødig forsinkelse og under alle omstændigheder senest 24 timer efter kendskab | Uden unødig forsinkelse og under alle omstændigheder senest 72 timer efter kendskab | Inden for en måned efter 72-timersunderretningen |
For de første to faser er de ydre frister ikke en tilladelse til at vente: Begge skal ske uden unødig forsinkelse og under alle omstændigheder inden for den angivne frist.
Indberetning gennem Single Reporting Platform
Producenter indsender underretninger efter artikel 14 gennem ENISA's operationelle Single Reporting Platform og vælger det relevante CSIRT, der er udpeget som koordinator. Dette er den lovbestemte indberetningsvej og ikke en direkte indberetning til ENISA alene.
Platformens nuværende vilkår beskriver adgangen som rolle- og tilladelsesbaseret ved brug af personlige legitimationsoplysninger. De kræver, at brugerne erklærer, at de er bemyndiget til at handle på deres organisations vegne. Disse adgangsordninger fastslår ikke i sig selv retlig kompetence, indberetningspligt eller gyldigheden af en underretning.
Et koordinerende CSIRT må kun udsætte den videre formidling under de afgrænsede betingelser i forordningen og den gældende delegerede forordning. En sådan udsat formidling forlænger ikke eller tillader ikke udsættelse af producentens frist for indsendelse efter artikel 14.
Hvad forberedelsen bør omfatte
Forberedelse er et operationelt anliggende og ikke en erstatning for vurdering af de lovbestemte tærskler. En forholdsmæssig proces bør omfatte:
- hvordan potentielle hændelser vurderes, og hvornår kendskab til en indberetningspligtig hændelse fastslås
- navngivne ansvarsområder for beslutninger og indsendelse
- de oplysninger og den dokumentation, der er nødvendig i hver indberetningsfase
- sikker adgang til indberetningsplatformen og bevaring af relevant dokumentation
Disse ordninger kan hjælpe teams med at handle hurtigt under pres. De beviser ikke, at en hændelse er indberetningspligtig, eller at en underretning opfylder de gældende retlige krav.
Konklusion
Artikel 14 anvender en fælles start på 24 og 72 timer for to særskilte indberetningsforløb. Den væsentligste forskel er fristen for den endelige rapport: 14 dage efter, at en korrigerende eller afbødende foranstaltning bliver tilgængelig for en aktivt udnyttet sårbarhed, og en måned efter 72-timersunderretningen for en alvorlig hændelse.
Kontrollér den aktuelle vejledning om ENISA-platformen og Europa-Kommissionens indberetningsvejledning, da den operationelle vejledning kan ændre sig. Vurder hver hændelse i forhold til de lovbestemte tærskler og dens egne faktiske omstændigheder.