- EU har vedtaget delegeret forordning (EU) 2026/881 om udskydelse af cybersikkerhedsnotifikationer under Cyber Resilience Act.
- Forordningen fastsætter tre grunde til udskydelse: informationens følsomhed, modtagende CSIRTs tilstand eller platformens sikkerhed.
- CSIRT'er kan udskyde videreformidling i maks. 72 timer, hvis en sikkerhedsopdatering forventes, eller indtil afbødning foreligger.
- ENISA får begrænset adgang under særlige undtagelser og modtager kun generelle oplysninger og angivelse af sikkerhedsmæssige grunde.
Ny delegeret forordning supplerer Cyber Resilience Act
Europa-Kommissionen har vedtaget Kommissionens delegerede forordning (EU) 2026/881 af 11. december 2025, der supplerer Cyber Resilience Act med detaljerede betingelser for, hvornår den koordinerende CSIRT (Computer Security Incident Response Team), som modtager en notifikation, kan udskyde videreformidlingen af oplysninger om aktivt udnyttede sårbarheder eller alvorlige hændelser.
Forordningen er udstedt med hjemmel i artikel 14, stk. 9, i forordning (EU) 2024/2847 og blev offentliggjort i Den Europæiske Unions Tidende den 20. april 2026. Den træder i kraft tyve dage efter offentliggørelsen og er direkte gældende i alle medlemsstater.
Formålet med udskydelsesmekanismen
Når en producent indberetter en aktivt udnyttet sårbarhed eller en alvorlig hændelse, der påvirker sikkerheden af et produkt med digitale elementer, skal notifikationen som udgangspunkt videreformidles via den fælles indberetningsplatform til de CSIRT'er, der er koordinatorer i de medlemsstater, hvor produktet er gjort tilgængeligt.
I særlige tilfælde kan den først modtagende CSIRT dog vælge at udskyde videreformidlingen i den periode, der er strengt nødvendig, på berettigede cybersikkerhedsmæssige grunde. Beslutningen kan blandt andet træffes på producentens anmodning og i lyset af følsomheden af de indberettede oplysninger.
Under artikel 16, stk. 2, i forordning (EU) 2024/2847 skal CSIRT'en i så fald øjeblikkeligt informere EU-Agenturet for Cybersikkerhed (ENISA) om beslutningen, begrundelsen og det forventede tidspunkt for videre spredning.
Tre hovedkategorier af udskydelsesgrunde
Forordningen fastlægger tre selvstændige grundlag for at forsinke videreformidling:
- Informationens karakter — når risikoen ved spredning overstiger sikkerhedsfordelene
- En specifik CSIRT's tilstand — når en modtagende CSIRT ikke kan sikre fortroligheden
- Platformens tilstand — når den fælles indberetningsplatform selv er kompromitteret
Artikel 3: Udskydelse baseret på informationens følsomhed
En CSIRT kan udskyde videreformidling helt eller delvist, når cybersikkerhedsrisikoen ved spredning ikke kan afbødes gennem protokoller som Traffic Light Protocol (TLP) eller Permissible Actions Protocol (PAP), og mindst én af følgende betingelser er opfyldt:
| Betingelse | Indhold | Tidsfrist |
|---|---|---|
| (a) | Producenten oplyser, at en effektiv afbødningsforanstaltning (fx sikkerhedsopdatering eller brugervejledning) forventes tilgængelig | Inden 72 timer |
| (b) | Oplysningerne er tilstrækkelige til at skabe en udnyttelsesteknik, særligt hvis sårbarheden let kan identificeres og udnyttes af aktører med begrænsede ressourcer | Indtil afbødning foreligger |
| (c) | CSIRT'en kan dele tilstrækkelig delinformation til, at andre CSIRT'er kan iværksætte tilstrækkelige risikoreduktioner | Indtil afbødning foreligger (herefter fuld notifikation) |
| (d) | CSIRT'en fungerer som betroet mellemmand i en koordineret sårbarhedsoffentliggørelse (CVD) efter artikel 12, stk. 1, i direktiv (EU) 2022/2555 | Indtil samtykke fra parterne foreligger |
Hvis den effektive afbødningsforanstaltning ikke stilles til rådighed inden for 72 timer i situationer efter litra a, skal notifikationen videreformidles til de relevante CSIRT'er.
Artikel 4: Udskydelse over for en specifik CSIRT
Den først modtagende CSIRT kan udskyde videreformidling til en bestemt relevant CSIRT, hvis:
- Den pågældende CSIRT er ramt af en cybersikkerhedshændelse, der sætter spørgsmålstegn ved dens evne til at sikre fortroligheden
- Der er tilstrækkelig grund til at antage, at dens kapacitet er utilstrækkelig til at sikre fortroligheden — eksempelvis ved alvorlige ressourcebegrænsninger eller afhængighed af forældet eller sårbar software
I førstnævnte tilfælde kan udskydelsen opretholdes, indtil CSIRT'en har informeret CSIRT-netværket om, at dens evne til at sikre fortrolighed er genoprettet. I andet tilfælde indtil den har dokumenteret, at de identificerede mangler er afhjulpet.
Artikel 5: Udskydelse ved kompromittering af platformen
Når ENISA har meddelt CSIRT-netværket, at den fælles indberetningsplatform er ramt af en cybersikkerhedshændelse, der rejser tvivl om fortroligheden, kan den først modtagende CSIRT udskyde videreformidlingen via platformen. Udskydelsen kan opretholdes, indtil ENISA bekræfter, at platformens evne til at sikre fortrolighed er genoprettet.
ENISA's særlige adgang
Forordningens betingelser for udskydelse gælder ikke for ENISA's adgang til de indberettede oplysninger. ENISA's adgang kan kun begrænses under særligt exceptionelle omstændigheder — når producenten angiver, at en af de tre betingelser i artikel 16, stk. 2, tredje afsnit, litra a, b eller c, i forordning (EU) 2024/2847 er opfyldt, og kun i forbindelse med 72-timers sårbarhedsnotifikationen efter artikel 14, stk. 2, litra b.
I sådanne tilfælde modtager ENISA samtidig alene oplysninger om:
- At en producent har foretaget en notifikation
- Generelle oplysninger om produktet med digitale elementer
- Oplysninger om udnyttelsens generelle karakter
- At sikkerhedsmæssige grunde er påberåbt
Definitioner
Forordningen fastlægger to centrale definitioner:
»CSIRT, der først modtager notifikationen« betyder den CSIRT, som er udpeget som koordinator, og som først modtager notifikationen i henhold til artikel 14, stk. 1 og 3, og artikel 15, stk. 1 og 2, i forordning (EU) 2024/2847.
»Relevant CSIRT« betyder den CSIRT, der er udpeget som koordinator på det område, hvor producenten har angivet, at produktet med digitale elementer er gjort tilgængeligt.
Baggrund og forberedelse
Kommissionen har i udarbejdelsen af den delegerede retsakt konsulteret relevante interessenter samt Ekspertgruppen for Cybersikkerhed for Produkter med Digitale Elementer. Endvidere har Kommissionen i overensstemmelse med artikel 14, stk. 9, i forordning (EU) 2024/2847 samarbejdet tæt med CSIRT-netværket oprettet ved artikel 15 i NIS 2-direktivet og med ENISA.
Forordningen er undertegnet i Bruxelles den 11. december 2025 af Kommissionens formand Ursula von der Leyen og har ELI-reference reg_del/2026/881.
