Nye EU-krav presser danske virksomheder på cybersikkerhed

Denne artikel er sponsoreret af nesp.ONE

Fra december 2027 kan manglende cybersikkerhed koste danske virksomheder dyrt. EU's nye Cyber Resilience Act (CRA) gør sikkerhed til et lovkrav, og uden dokumentation kan både producenter og leverandører blive udelukket fra det europæiske marked.

For mange virksomheder kommer det som en overraskelse, hvor vidtrækkende konsekvenser CRA faktisk har. Allerede nu ser man rådgivere som nesp.ONE arbejde med virksomheder, der forsøger at forstå og implementere kravene i praksis.

CRA er en EU-forordning, der stiller krav til alle produkter med digitale elementer, fra software til hardware. I praksis betyder det, at virksomheder skal kunne dokumentere, at deres produkter er sikre, ikke kun ved lancering, men gennem hele produktets levetid.

Cybersikkerhed bliver dermed ikke længere et teknisk anliggende, men et ledelsesansvar på linje med økonomi og compliance.

CRA ændrer fundamentalt måden, virksomheder skal arbejde med software og digitale produkter på. Det handler ikke kun om at undgå hackerangreb, men om at kunne dokumentere risikovurderinger, håndtere sårbarheder systematisk og reagere hurtigt, når noget går galt. Blandt andet stilles der krav om, at aktivt udnyttede sårbarheder skal rapporteres inden for 24 timer.

Samtidig bliver leverandørkæden et centralt fokuspunkt. Moderne software består sjældent kun af egen kode, men af en kompleks blanding af open source-komponenter og tredjepartsløsninger. Alligevel har mange virksomheder i dag ikke et reelt overblik over, hvad deres egne produkter indeholder, hvilket er en væsentlig udfordring.

Uden det overblik bliver det svært, hvis ikke umuligt, at leve op til kravene i CRA. Derfor vil værktøjer som en Software Bill of Materials (SBOM), der giver indsigt i softwarekomponenter og afhængigheder, i praksis blive nødvendige for mange virksomheder.

Vil man dykke mere konkret ned i kravene, kan man læse om Cyber Resilience Act og hvordan det påvirker virksomheder i praksis.

Virksomheder der begynder arbejdet mod CRA-compliance nu, kan til gengæld ikke kun styrke deres sikkerhed, men også deres konkurrenceevne. Dokumenteret cybersikkerhed og transparens bliver i stigende grad et parameter, kunder og samarbejdspartnere vælger ud fra.

Derudover er der allerede kommet yderligere perspektiver på implementeringen i EU, som gennemgås i analysen af nye EU-krav til Cyber Resilience Act, hvor eksperter i cybersikkerhed hos Nesp.ONE udfolder konsekvenserne.

CRA er derfor ikke bare endnu et compliance-krav fra EU. Det er et skifte i, hvordan vi tænker digitale produkter og ansvar.

Spørgsmålet er ikke, om det får betydning, men om danske virksomheder er klar, når kravene for alvor begynder at blive håndhævet.

Denne artikel er sponsoreret af nesp.ONE