Analyse: Når en dansker køber en iPhone, en Mac eller et intelligent kamera, er sikkerheden i praksis et løbende abonnement – også selv om der ikke står en månedlig pris på kvitteringen. Produktets sikkerhed afhænger af, at producenten finder fejl, udsender opdateringer, følger op på angreb og fortæller, hvor længe hjælpen varer. EU's Cyber Resilience Act (CRA) vil gøre denne del af forbrugeraftalen mere gennemskuelig. Men reguleringen har flere datoer, og det er allerede nu vigtigt at skelne mellem rapportering om angreb og kravene til fremtidige produkter.
Fra 11. september 2026 gælder en central del af CRA: visse alvorlige sikkerhedshændelser og aktivt udnyttede sårbarheder skal indberettes. De fleste øvrige krav til digitale produkter finder først anvendelse fra 11. december 2027. Derfor er det forkert at skrive, at alle ældre Apple-enheder allerede i november 2026 har fået en ny lovbestemt garanti for et bestemt antal års softwareopdateringer.
Det, der faktisk er trådt i kraft
Europa-Kommissionen beskriver CRA's rapporteringsforpligtelser som gældende fra 11. september 2026. Producenter skal rapportere aktivt udnyttede sårbarheder og alvorlige hændelser, som påvirker sikkerheden i produkter med digitale elementer. Kommissionen angiver forskellige trin i indberetningen, herunder en tidlig varsling og en senere mere omfattende anmeldelse. De konkrete frister og efterfølgende krav afhænger af hændelsens karakter og skal kontrolleres i lovteksten og de officielle vejledninger.
Det handler om myndigheders mulighed for at reagere, ikke om at alle detaljer om en udnyttet sårbarhed nødvendigvis offentliggøres straks. Offentliggørelse kan i nogle tilfælde gøre det lettere for flere angribere at udnytte fejlen, før en rettelse er klar. Der er en reel balance mellem gennemsigtighed og forsvarlig koordinering.
EU's cybersikkerhedsagentur ENISA lancerede Single Reporting Platform den 11. september 2026. Formålet er at gøre det muligt for producenter at indberette ét sted, hvor relevante nationale myndigheder kan modtage oplysningerne. Det er et konkret system, ikke blot en politisk ambition. Men en fungerende indberetningsportal er ikke bevis for, at alle omfattede producenter har perfekte rutiner fra dag ét.
Fra sikkerhedsopdatering til forventet levetid
Den brede forandring kommer med reglerne for udvikling og vedligeholdelse af digitale produkter. Kommissionens lovoversigt fremhæver, at sikkerhed skal tænkes ind i produkters livscyklus, og at forbrugerne skal have bedre information, når de køber og bruger produkter. For Apple betyder problemstillingen ikke alene det nyeste iOS, men også hvordan ældre iPhones, Macs og tilbehør vedligeholdes, og hvordan man kommunikerer om deres forventede supportperiode.
Supportperiode og funktionel levetid er imidlertid ikke det samme. En ældre iPhone kan modtage vigtige sikkerhedsrettelser uden at få alle de seneste funktioner. Det kan være fornuftigt: Ny software kan kræve kraftigere hardware, og nogle funktioner kan være umulige på ældre chips. Omvendt bør en bruger kunne gennemskue forskellen mellem sikkerhedsvedligeholdelse, større versionsopdateringer og adgang til nye tjenester.
Apples offentlige liste over sikkerhedsopdateringer viser, at producenten udsender rettelser til forskellige generationer og operativsystemspor. Apples liste omfatter flere parallelle spor til nyere og ældre operativsystemer, men artiklen udleder ikke en bestemt fremtidig supportfrist af denne historik. Det er dokumentation for faktiske rettelser, ikke et løfte om, at samtlige modeller vil blive vedligeholdt i præcis samme tidsrum fremover.
Hvorfor bør danske købere interessere sig?
Danske forbrugere er vant til at sammenligne skærm, kamera, batteri og pris, men sikkerhedsperioden er ofte mindre synlig. Det er særligt problematisk på brugtmarkedet. En billig iPhone kan være et bedre køb end en ny mellemklassetelefon, hvis batteri og sikkerhedsopdateringer holder. Men den kan også være en dårlig investering, hvis den snart falder ud af relevant support. Prisskiltet fortæller ikke hele historien.
De nye EU-rammer kan presse producenterne til at gøre supportinformation mere konkret. Det vil også kunne hjælpe forældre, skoler og små virksomheder, som gerne vil genbruge enheder frem for at købe nyt. En virksomhed, der håndterer kundedata på gamle telefoner, bør ikke være nødt til at gætte, om enheden stadig er forsvarligt understøttet.
Der er dog et vigtigt juridisk forbehold: CRA er ikke en universel tilbagevirkende opdateringsgaranti for alle produkter solgt før 11. december 2027. Kommissionen beskriver overgangsregler og forskellige startdatoer for lovens bestemmelser. Rapporteringspligten for relevante hændelser kan blandt andet omfatte produkter, der allerede er bragt på markedet. Artiklen fastlægger ikke den juridiske status for en konkret ældre model uden at kende markedsføringstidspunkt og øvrige omstændigheder. Derfor skal man læse hver forpligtelse og dens startdato, før man lover forbrugerne noget bestemt.
En Apple-styrke – og en Apple-udfordring
Apple har en særlig fordel i dette landskab: virksomheden kontrollerer meget af kæden fra chip og operativsystem til distribution af opdateringer. Det kan gøre det lettere at sende rettelser hurtigt til en stor gruppe af brugere uden at vente på, at hver mobiloperatør eller hardwarepartner gør det samme. Denne integration er et reelt teknisk argument for Apples model.
Men integration er ingen garanti mod fejl. Historien om iOS-sikkerhedsrettelser viser netop, at der opstår sårbarheder også i stærkt kontrollerede systemer. Et godt sikkerhedsprodukt er derfor ikke et produkt uden fejl; det er et produkt, hvor producenten kan opdage, prioritere, udbedre og forklare dem. Den skelnen gør EU's fokus på både design og hændelseshåndtering relevant.
Fra Apples synspunkt kan flere EU-krav betyde administration, rapporteringspligt og kompleksitet. Det kan være kostbart, især når produktfamilier, leverandører og softwarekomponenter krydser landegrænser. Men netop derfor bør kravene bedømmes på resultaterne: Får brugerne mere sikkerhed og klarere information? Eller skaber reglerne primært papirarbejde? Det spørgsmål kan først besvares ordentligt med erfaringer fra den faktiske håndhævelse.
Små producenter rammes på en anden måde
Det ville være for snævert kun at tale om Apple. En iPhone er ofte centrum for et netværk af HomeKit-enheder, apps, højttalere, kameraer og routere fra mindre producenter. En usikker komponent i hjemmet kan skade brugeren, selv om selve iPhonen er korrekt opdateret. Kommissionens vejledning fra juli 2026 søger blandt andet at tydeliggøre reglernes rækkevidde og støtte små og mellemstore virksomheder.
Her ligger en mulig utilsigtet virkning. En stor producent kan have egne sikkerhedsfolk og compliance-afdelinger, mens en mindre europæisk producent må afsætte en betydelig del af sit budget til dokumentation og procedurer. Kravene kan løfte kvaliteten, men de kan også reducere konkurrencen, hvis de bliver unødigt svære at efterleve. Løsningen er ikke at fravælge sikkerhed – det er at gøre regler og værktøjer proportionale.
Hvad bør du gøre før 2027?
Det mest nyttige råd er mindre dramatisk end lovens navn. Kontrollér, at dine enheder modtager de seneste relevante sikkerhedsopdateringer. Undersøg supportstatus, før du køber brugt. Sørg for at hjemmets routere og kameraer også bliver vedligeholdt. Og se kritisk på markedsføring, der lover mange års »opdateringer« uden at forklare, om det gælder sikkerhed, nye funktioner eller begge dele.
For virksomheder bør indkøbsprocessen stille et enkelt spørgsmål: Hvor længe og på hvilke vilkår vil leverandøren understøtte den konkrete model? Svaret bør gemmes sammen med beslutningen om enhedens forventede levetid. Det gør både økonomi og sikkerhed mere forudsigelig.
Vores vurdering: EU skal måle sikkerhed, ikke bare overholdelse
CRA kan blive en af de vigtigste ændringer i markedet for digitale produkter, fordi den flytter opmærksomheden fra, hvordan et produkt ser ud på købsdagen, til hvordan det behandles, når en sårbarhed opdages. Det er positivt for danske forbrugere, hvis det også fører til klarere supportløfter og bedre hændelseshåndtering.
Men vi bør være præcise: Rapporteringssystemet er aktivt i 2026; hovedparten af produktkravene følger senere. Et troværdigt journalistisk mål for reglernes succes vil være færre langvarigt ubeskyttede enheder, hurtigere rettelser og bedre forståelig information – ikke antallet af nye EU-formularer. Apple skal kunne dokumentere sin sikkerhed. EU skal dokumentere, at loven virker.
Læs i forlængelse heraf vores analyse af reparation og iPhones levetid i Danmark. Retten til reparation og retten til sikker vedligeholdelse er beslægtede, men juridisk og teknisk forskellige spørgsmål.
Kilder og kildekritik
Faktadelen bygger på Kommissionens rapporteringsoversigt, ENISA's lancering af indberetningsplatformen, Kommissionens gennemgang af lovteksten og overgangsreglerne, den nye vejledning fra juli 2026 og Apples liste over faktiske sikkerhedsopdateringer. Myndighederne beskriver egne regler og mål; Apple beskriver egne rettelser. Ingen af kilderne alene beviser forbrugereffekten. Den del er vurderet særskilt i analysen.
