Den 11. september 2026 trådte nye rapporteringskrav i EU’s Cyber Resilience Act (CRA) i kraft.
Reglerne gælder for virksomheder, der producerer produkter med digitale elementer – og det kan både være hardware og software. Det betyder blandt andet, at visse sikkerhedshændelser og sårbarheder skal meldes ind, når virksomheden bliver opmærksom på dem.
Men det er ikke kun den tekniske håndtering, virksomheden skal have styr på. Der skal også være klare roller og procedurer, så alle ved, hvad der skal ske, hvis en sikkerhedshændelse opstår.
For hvem opdager hændelsen? Hvem vurderer den? Hvem skal informeres – og hvem har ansvaret for, at der bliver reageret og rapporteret i tide?
Det er netop her, ISO 27001 kommer ind i billedet. Med et ledelsessystem efter ISO 27001 arbejder virksomheden allerede struktureret med blandt andet risici, hændelser, roller og ansvar, leverandører og dokumentation.
En ISO 27001-certificering betyder ikke, at man automatisk lever op til kravene i Cyber Resilience Act. Men har virksomheden allerede godt styr på informationssikkerheden gennem ISO 27001, er meget af det grundlæggende arbejde med ansvar, processer og dokumentation allerede på plads.
De nye rapporteringskrav gælder fra den 11. september 2026, mens hovedparten af de øvrige krav i Cyber Resilience Act først gælder fra december 2027.