Ordet producent betyder nu dig
EU's Cyber Resilience Act trådte i kraft i december 2024, og dens definition af en producent er bredere, end de fleste bestyrelser antager. Den omfatter ethvert produkt med digitale elementer, der bringes i omsætning på det europæiske marked: en forbundet maskine, en industriel styreenhed, en medicinsk enhed, en forbrugerdims eller et stykke selvstændig software. Hvis dit produkt taler med et netværk, er det omfattet, og det samme gælder de importører og distributører, der bringer det i omsætning.
For et family office eller en Mittelstand-ejer er den ubehagelige del omklassificeringen. En virksomhed, der har bygget præcisionsmaskiner gennem tre generationer og aldrig har kaldt sig en softwarevirksomhed, er nu en reguleret softwareleverandør i EU-rettens øjne. Reglen rækker også ud over unionen. En producent med base hvor som helst i verden, der sælger ind på det europæiske marked, bærer de samme pligter som en med base i Frankfurt.
Et 24-timers ur, du ikke styrer
Den første hårde frist er tæt på. Fra den 11. september 2026 udløser en aktivt udnyttet sårbarhed eller en alvorlig sikkerhedshændelse en fast rapporteringskaskade gennem en enkelt europæisk platform. En tidlig advarsel skal ske inden for 24 timer, en mere fuldstændig underretning inden for 72 timer og en endelig rapport inden for 14 dage efter, at en rettelse eller en løsning er udsendt. Uret venter ikke på din juridiske gennemgang eller din kommunikationsplan.
Den timing er det operationelle chok. De 24 timers vindue åbner i det værste øjeblik af en hændelse, når oplysningerne er ufuldstændige, og instinktet er at sige intet, indtil fakta er klare. Forordningen fjerner den mulighed. En organisation, der ikke kan opdage, triagere og rapportere en fejl inden for en dag, vil overskride fristen, ikke fordi den mangler velvilje, men fordi den aldrig byggede maskineriet til at bevæge sig så hurtigt.
CE-mærkning og en bøde målt efter din omsætning
De bredere forpligtelser følger den 11. december 2027. Fra den dato skal et produkt med digitale elementer have en CE-mærkning, der bekræfter, at det er bygget med sikkerhed gennem design, leveres uden kendte udnyttelige defekter og vil modtage sikkerhedsopdateringer gennem en defineret supportperiode. Overholdelse er ikke en engangstest før lanceringen, det er en pligt, der løber gennem hele den understøttede levetid for hver enkelt enhed, du har solgt.
Håndhævelsen bærer vægt. Nationale markedsovervågningsmyndigheder håndhæver reglerne, og Tyskland har allerede udstedt et første udkast til loven for at udpege sin kompetente myndighed. Bøder for at svigte kernekravene når 15 millioner euro eller 2,5 procent af den globale årlige omsætning, alt efter hvad der er højest. For en rentabel mellemstor producent er omsætningstallet det, der bør samle rummet.
Læs videre: Er dit cyberforsvar klar til angreb i maskinhastighed? · Din kryptering har en udløbsdato