Access to European Union law
<a href="https://eur-lex.europa.eu/content/help/eurlex-content/experimental-features.html" target="_blank">More about the experimental features corner</a>
Choose the experimental features you want to try
EUR-Lex
Access to European Union law

This document is an excerpt from the EUR-Lex website

You are here
Use quotation marks to search for an "exact phrase". Append an asterisk (*) to a search term to find variations of it (transp*, 32019R*). Use a question mark (?) instead of a single character in your search term to find variations of it (ca?e finds case, cane, care).
Search tips
Need more search options? Use the Advanced search

Document 32024R2847

Horisontale cybersikkerhedskrav til produkter med digitale elementer

Dato for seneste gennemgang:
22/05/2026
Oprindelig oprettelsesdato:
24/03/2025
Resumékode:
  • 23.08.06.00 Internetkriminalitet
  • 31.08.00.00 Regler om beskyttelse af personlige data og privatlivets fred
  • 31.10.00.00 EU’s dataøkonomi og databeskyttelse
EUROVOC-deskriptor:
Emnekode i registret:
Sammenfattede dokumenter:
Udsteder:
Den Europæiske Unions Publikationskontor
Ansvarlig(e) enhed(er):
Generaldirektoratet for Kommunikationsnet, Indhold og Teknologi

Horisontale cybersikkerhedskrav til produkter med digitale elementer (forordningen om cyberrobusthed)

RESUMÉ AF:

Forordning (EU) 2024/2847 om horisontale cybersikkerhedskrav til produkter med digitale elementer

HVAD ER FORMÅLET MED FORORDNINGEN?

Forordning (EU) 2024/2847, forordningen om cyberrobusthed (CRA), har til formål at styrke cybersikkerheden i hele Den Europæiske Union (EU). Den fastlægger en omfattende ramme for at sikre, at digitale produkter og tjenesteydelser:

  • er sikre som følge af indbygget sikkerhed
  • er modstandsdygtige over for cybertrusler
  • kan levere beskyttelse i hele deres livscyklus.

Den omhandler de voksende udfordringer med cybersikkerhed, der er opstået som følge af enheders øgede konnektivitet og stigningen i cyberangreb, som har betydelige økonomiske og samfundsmæssige virkninger.

HOVEDPUNKTER

CRA har flere centrale mål.

  • Styrke cybersikkerheden i hele EU ved at fastsætte obligatoriske cybersikkerhedskrav til produkter med digitale elementer.
  • Fremme af sikker praksis ved at opfordre fabrikanterne til at integrere cybersikkerhed i produktudformningen og udviklingsfaserne.
  • Sikre gennemsigtighed og ansvarlighed ved at kræve, at fabrikanterne angiver klare oplysninger om deres produkters cybersikkerhedsfunktioner og tager ansvar for at afhjælpe sårbarheder.
  • Fremme et indre marked for cybersikkerhed ved at harmonisere reglerne på tværs af EU’s medlemsstater for at mindske fragmentering og sikre lige konkurrencevilkår.

Anvendelsesområde

Forordningen finder anvendelse på en lang række produkter med digitale elementer, der bringes i omsætning i EU, uanset hvor fabrikanten er etableret, og som kan kobles direkte eller indirekte til andre anordninger eller netværk, herunder:

  • hardwareprodukter (f.eks. IoT-enheder (Internet of Things), intelligente husholdningsapparater, industrielle styresystemer, mikrochips)
  • softwareprodukter (f.eks. videospil, apps og computerprogrammer).

Visse produkter er undtaget, såsom:

  • medicinsk udstyr, der allerede er omfattet af specifikke EU-forordninger
  • fly- og bilprodukter, der er reguleret i henhold til sektorspecifik lovgivning
  • skibsudstyr.

De vigtigste krav til fabrikanterne

Sikre produkter som følge af indbygget sikkerhed

Fabrikanterne skal integrere cybersikkerhed i produktdesign og -udvikling. Dette omfatter blandt andet standardkonfigurationer, passende niveauer af kryptering og adgangskontrol.

Risikovurdering og afbødning

  • Fabrikanterne skal foretage en risikovurdering og holde den ajourført samt gennemføre foranstaltninger for at afhjælpe identificerede sårbarheder i løbet af produktets livscyklus.
  • Hvis fabrikanterne er afhængige af tredjepartskomponenter eller -tjenesteydelser, skal de udvise rettidig omhu, når de integrerer dem i deres produkter.

Gennemsigtighed og dokumentation

Fabrikanterne skal levere tydelig og omfattende dokumentation, herunder:

  • en beskrivelse af produktets cybersikkerhedsfunktioner
  • anvisninger om sikker installation, konfiguration og brug
  • oplysninger om, hvordan man indberetter sårbarheder
  • en overensstemmelseserklæring for at bekræfte overholdelse af forordningen.

Indberetning af hændelser

Fabrikanter skal:

  • indberette alvorlige cybersikkerhedshændelser og aktivt udnyttede sårbarheder til relevante nationale myndigheder og Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) uden unødig forsinkelse
  • informere brugerne om potentielle risici og vejlede om afbødning af dem.

Softwareopdateringer og support

  • Fabrikanterne skal levere sikkerhedsopdateringer i løbet af produktets supportperiode, som skal afspejle den periode, produktet forventes at være i brug.
  • Opdateringerne skal imødekomme sårbarheder og sikre produktets fortsatte sikkerhed.

Importørers og distributørers forpligtelser

Forordningen pålægger også importører og distributører ansvaret for at sikre, at produkterne overholder cybersikkerhedskravene.

  • Importørerne skal kontrollere, at fabrikanterne har overholdt forordningen og sikre, at produkterne er mærket og dokumenteret korrekt.
  • Distributørerne skal sikre, at produkterne bærer CE-mærkningen, og at oplysninger og anvisninger til brugeren er leveret, før de gøres tilgængelige på markedet.
  • Produkterne skal være CE-mærket for at angive, at de overholder CRA-kravene.
  • Ikke-EU-fabrikanter skal overholde forordningen for at få adgang til EU’s marked og potentielt påvirke globale cybersikkerhedsstandarder.

Håndhævelse

For at sikre overensstemmelse fastlægger forordningen en robust ramme for håndhævelse.

  • De nationale markedsovervågningsmyndigheder overvåger overholdelsen og udfører inspektioner.
  • Manglende overholdelse kan resultere i væsentlige sanktioner, der kan omfatte:
    • bøder på op til 2,5 % af fabrikantens samlede globale årsomsætning
    • forbud eller begrænsning af et produkts tilgængelighed
    • krav om at et produkt tilbagekaldes eller trækkes tilbage
  • myndighederne i medlemsstaterne udveksler oplysninger og koordinerer håndhævelsesforanstaltningerne.

HVORNÅR GÆLDER FORORDNINGEN FRA?

Forordningen træder i kraft den med visse undtagelser:

  • indberetningsforpligtelser vedrørende aktivt udnyttede sårbarheder og alvorlige hændelser træder i kraft den
  • underretning om overensstemmelsesvurderingsorganer træder i kraft den .

BAGGRUND

For yderligere oplysninger henvises til:

HOVEDDOKUMENT

Europa-Parlamentets og Rådets forordning (EU) 2024/2847 af om horisontale cybersikkerhedskrav til produkter med digitale elementer og om ændring af forordning (EU) nr. 168/2013 og (EU) 2019/1020 og direktiv (EU) 2020/1828 (forordningen om cyberrobusthed) (EUT L, 2024/2847 af ).

Efterfølgende ændringer til direktiv (EU) 2024/2847 er blevet indarbejdet i grundteksten. Denne konsoliderede udgave har ingen retsvirkning.

seneste ajourføring

Op