CRA, NIS2 og DORA handler alle om cybersikkerhed, men de har forskellige anvendelsesområder. At en virksomhed har en ISO-certificering eller en sikkerhedspolitik afgør ikke alene, hvilke forpligtelser den har.
Tre forskellige indgange
- CRA: krav til produkter med digitale elementer på EU-markedet og ansvarlige aktører.
- NIS2: krav til omfattede enheder, vurderet efter blandt andet aktiviteter, sektor og relevante undtagelser i implementeringen.
- DORA: digital operationel modstandsdygtighed i den finansielle sektor med sit eget anvendelsesområde.
Datoerne er ikke ens
Kontrolleret 15. september 2026: EU-Kommissionen angiver, at CRA’s rapporteringsforpligtelser efter artikel 14 gælder fra 11. september 2026, mens hovedreglerne finder anvendelse fra 11. december 2027. Finanstilsynet angiver 17. januar 2025 som DORA’s anvendelsesdato. At nogle CRA-krav ligger senere betyder derfor ikke, at alt kan vente.
Lav en afgrænsningsopgave
Beskriv juridisk enhed, aktiviteter, produkter, kunder og leverandørroller. Få derefter en relevant rådgiver eller myndighed til at afklare anvendelsesområde og særregler. En ekstern guide til CRA, NIS2 og DORA kan være et udgangspunkt for spørgsmål, men erstatter ikke den konkrete vurdering.
Gem konklusionen med kilde, dato og ansvarlig. Omsæt den til specifikke opgaver og frister. En fælles oversigt over risici og leverandører kan være nyttig, men er ikke et bevis på, at alle tre regelsæt er opfyldt.
Kilder og afgrænsning
Kilder læst 15. september 2026. Redaktionel gennemgang; ikke en individuel faglig vurdering.