Mange driftsafdelinger prioriterer efter CISA’s KEV-katalog: står en sårbarhed dér, rettes den først. Cyber Resilience Act bruger et næsten enslydende begreb, en aktivt udnyttet sårbarhed, men det udløser en indberetning hos fabrikanten og ikke en offentlig liste. De to signaler kommer fra hver sin kilde, på hvert sit tidspunkt, og driften har brug for begge.
Artiklen forklarer forskellen og viser, hvordan fabrikantens meldinger kan skrives ind i den prioriteringsregel, driften allerede bruger.
KEV: en offentlig liste på tværs af produkter
CISA beskriver KEV som den autoritative oversigt over sårbarheder, angribere har brugt. Tre betingelser skal være opfyldt for optagelse: et CVE-id, troværdigt bevis for udnyttelse og en tydelig afhjælpning. Et proof-of-concept, forskning eller scanning er ikke nok. CISA råder alle til at behandle katalogets sårbarheder med det samme.
KEV er altså offentlig, gælder alle produkter og bygger på CVE-numre. Den har én begrænsning, driften skal kende: en sårbarhed optages først, når der findes en afhjælpning. Hvordan KEV bruges sammen med CVSS og EPSS, står i prioritering af sårbarheder.
CRA: en pligt for fabrikanten af det enkelte produkt
I forordning 2024/2847 er en sårbarhed aktivt udnyttet, når det er pålideligt dokumenteret, at en angriber har brugt den i et system, uden ejerens tilladelse, jf. definitionen i artikel 3, nr. 42. Siden 11. september 2026 skal fabrikanten indberette enhver aktivt udnyttet sårbarhed i sit produkt, som den får kendskab til (artikel 14, stk. 1). Ifølge artikel 69, stk. 3, gælder det også versioner, som var udsendt, før de øvrige krav begynder at gælde i december 2027.
Meldingen sendes på én gang til ENISA og den CSIRT, der er koordinator, gennem den fælles platform. Den tidlige varsling skal ind senest 24 timer efter kendskab, meddelelsen senest 72 timer efter, og slutrapporten 14 dage efter, at brugerne har en rettelse eller anden afhjælpning (artikel 14, stk. 2). Den danske koordinator er CSIRT’en hos Forsvarets Efterretningstjeneste.
Kommissionen forklarer i sin vejledning, at kendskabet indtræder, når fabrikanten efter sin første vurdering med rimelig sikkerhed kan sige, at sårbarheden bruges af angribere. Hvordan det tidspunkt fastlægges hos fabrikanten, er gennemgået i artiklen om, hvornår en sårbarhed er aktivt udnyttet.
Fem forskelle, der betyder noget for driften
Sammenstillingen er vores egen og en forenkling.
- Hvem står bag · KEV-kataloget: CISA · CRA, artikel 14: Fabrikanten af produktet
- Hvem får oplysningen · KEV-kataloget: Alle, kataloget er offentligt · CRA, artikel 14: CSIRT og ENISA; brugerne efter stk. 8
- Hvad gælder det · KEV-kataloget: Sårbarheden med et CVE-id · CRA, artikel 14: Sårbarheden i netop dette produkt
- Hvornår · KEV-kataloget: Når en afhjælpning findes · CRA, artikel 14: Senest 24 timer efter kendskab, også før en rettelse findes
- Hvad driften får · KEV-kataloget: En post i et katalog · CRA, artikel 14: En underretning fra fabrikanten, hvis I er registreret som bruger
Den vigtigste forskel er tidspunktet. Fabrikantens indberetning kan ligge, før der findes en rettelse, mens KEV kræver en afhjælpning. En melding fra fabrikanten kan derfor være det første signal, driften får.
Den anden forskel er produktet. Kommissionen skriver, at en sårbarhed i en tredjepartskomponent ikke tæller som aktivt udnyttet i produktet, når den hverken kan bruges eller er brugt dér, fx fordi den sårbare kode ikke kan nås. Et CVE i KEV kan derfor sagtens findes i et produkt, uden at fabrikanten har pligt til at indberette det. Den gennemspillede sag om et udbredt bibliotek med en udnyttet fejl viser, hvordan pligten fordeles.
Det, driften hører fra fabrikanten
Artikel 14, stk. 8, pålægger fabrikanten at give de berørte brugere besked, og alle brugere, når det er relevant. Beskeden siger, hvad sårbarheden er, og hvad brugerne selv kan gøre for at mindske risikoen, om muligt i et struktureret format, maskiner kan læse. Et bestemt format er ikke nævnt. Ifølge Kommissionen må fabrikanten nøjes med at give de tekniske detaljer til de kunder, der er ramt.
Når rettelsen er ude, tilføjer ENISA efter aftale med fabrikanten den offentligt kendte sårbarhed til den europæiske sårbarhedsdatabase (artikel 17, stk. 5). Den offentlige spor kommer altså efter rettelsen, ligesom i KEV.
Brugere har ingen selvstændig pligt efter artikel 14 ifølge den danske CSIRT. Driftens opgave er at modtage meldingen og handle på den.
Sådan skrives meldingerne ind i prioriteringen
Følgende er praksis.
Udvid prioriteringsreglen, så den forreste gruppe omfatter to kilder: sårbarheder i KEV og sårbarheder, som fabrikanten har meldt aktivt udnyttet i et produkt, I bruger. Begge betyder, at nogen har udnyttet sårbarheden, og ingen af dem bør vente på en høj score.
Registrér kilden ved hver sag. En melding fra fabrikanten uden CVE-nummer kan ikke matches automatisk og skal lægges ind med hånden. Er der endnu ingen rettelse, skal sagen have en midlertidig foranstaltning efter fabrikantens anvisning, fx at en funktion lukkes, og en ny dato for vurdering.
Meldingen skal også nå frem. Den lander hos den adresse, fabrikanten har registreret, og det er ofte en indbakke uden ejer. Hvordan modtagelsen af varsler kontrolleres, står i varsler om sårbarheder.
Det, gennemgangen prøver
Gennemgangen læser prioriteringsreglen og ser, om fabrikantens meldinger om udnyttede sårbarheder står i samme gruppe som KEV. Dernæst vælges en melding fra en fabrikant og en KEV-post fra den seneste periode, og sporet følges fra modtagelse til rettelse eller midlertidig foranstaltning på de berørte systemer.
Hvad det kræver, og hvad det koster at lade være
Det kræver en tilføjelse i prioriteringsreglen, en registreret modtager hos hver vigtig fabrikant og en fast plads i køen til sager uden CVE-nummer.
Uden tilføjelsen venter driften på KEV, og KEV venter på en afhjælpning. I mellemtiden kan fabrikanten have meldt sårbarheden udnyttet til myndighederne og givet brugerne anvisninger, som ingen hos jer har læst.
Det skal I lade være med
- At læse KEV som den eneste kilde til udnyttede sårbarheder · fabrikantens melding kan komme før.
- At regne med, at et CVE i KEV altid er indberettet af fabrikanten · pligten gælder kun udnyttelse i fabrikantens eget produkt.
- At lade sager uden CVE-nummer falde ud af køen · de skal lægges ind med hånden.
Det skal gennemgangen kunne vise
- ☐ En prioriteringsregel, der sidestiller fabrikantens meldinger med KEV.
- ☐ En registreret modtager for meldinger fra de vigtigste fabrikanter.
- ☐ Spor fra en melding til rettelse eller midlertidig foranstaltning, med datoer.
- ☐ Kilden registreret ved hver sag i den forreste gruppe.
Kilder
- CISA, Known Exploited Vulnerabilities Catalog, læst 13. november 2026.
- Forordning (EU) 2024/2847 (Cyber Resilience Act), artikel 3, nr. 42, artikel 14, stk. 1, 2 og 8, artikel 17, stk. 5, artikel 69, stk. 3, og artikel 71, læst 13. november 2026.
- Europa-Kommissionen, Commission guidance on the application of Regulation (EU) 2024/2847, C(2026) 5252, 27. juli 2026, punkt 211 til 221, læst 13. november 2026.
- Forsvarets Efterretningstjeneste, Cyber Resilience Act (CRA), sidst opdateret 2. oktober 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Åbn jeres prioriteringsregel, og skriv fabrikanternes meldinger om aktivt udnyttede sårbarheder ind i samme gruppe som KEV.
Læs også: Kantudstyr først · Varsler om sårbarheder
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
