Cyber Resilience Act: säkerhet inbyggd från start

CRA påverkar långt fler än IT-bolag: allt från smarta lampor till industristyrsystem och fristående mjukvara. Rapporteringskravet gäller sedan 11 september 2026 och kräver fungerande processer redan nu.

Huvudkraven gäller från 11 december 2027. För produkter som släppts ut på marknaden tidigare finns övergångsregler; rapporteringsskyldigheten gäller också sådana produkter inom förordningens tillämpningsområde.

• Tillverkare, importörer och distributörer av hårdvara och mjukvara med digitala delar som kan anslutas till ett nät eller en enhet.
• Undantag finns för bland annat medicinteknik, fordon och flyg som har egna regler, samt icke-kommersiell öppen källkod.

1. 1. Säker design. Säkra standardinställningar, skydd mot obehörig åtkomst, kryptering och minimal attackyta.
2. 2. Sårbarhetshantering. Maskinläsbar programvaruförteckning (SBOM) och säkerhetsuppdateringar under supportperioden. Perioden ska avspegla förväntad användning och normalt vara minst fem år; om användningstiden är kortare kan perioden motsvara den.
3. 3. Rapportering. Aktivt utnyttjade sårbarheter och allvarliga säkerhetsincidenter rapporteras via den gemensamma plattformen till samordnande CSIRT och Enisa: tidig varning inom 24 timmar och anmälan inom 72 timmar från kännedom. Slutrapport lämnas inom 14 dagar efter att en korrigerande eller riskreducerande åtgärd finns för en sårbarhet, eller inom en månad efter incidentanmälan.
4. 4. Bedömning och CE-märkning. Intern kontroll är möjlig för många produkter. För viktiga produkter i klass I krävs tillämpliga harmoniserade standarder, gemensamma specifikationer eller relevanta certifieringssystem för intern kontroll; annars krävs tredjepartsbedömning. Klass II kräver tredjepart och kritiska produkter särskilda förfaranden.
5. 5. Dokumentation. Teknisk dokumentation och användarinformation om supportperiod och säker användning.

• 11 september 2026: Rapporteringsskyldigheten börjar gälla.
• 11 december 2027: Huvudkraven, inklusive överensstämmelsebedömning och CE-märkning, börjar tillämpas med övergångsregler för äldre produkter.

Se alla viktiga datum

För brott mot väsentliga krav och tillverkarens skyldigheter är högsta administrativa sanktionsnivån 15 miljoner euro eller 2,5 % av global årsomsättning, det högre beloppet. Andra överträdelser har lägre tak; särskilda regler gäller mikro- och småföretag. Marknadskontrollmyndigheter kan återkalla produkter från marknaden.

1. Inventera produkter med digitala delar.
2. Klassa produkterna: standard, viktig eller kritisk.
3. Inför SBOM och sårbarhetsprocess.
4. Bestäm supportperiod och uppdateringsrutiner.
5. Öva rapportering inom 24 timmar, 72 timmar och tillämplig slutrapportsfrist.
6. Planera för överensstämmelsebedömning och CE-märkning.

Gäller CRA ren mjukvara?

Ja, kommersiellt tillhandahållen fristående mjukvara kan omfattas. Ren SaaS faller normalt utanför, men fjärrdatabehandling som är nödvändig för en produkts funktion kan ingå. NIS2 måste bedömas separat och gäller inte automatiskt all SaaS.

Gäller det produkter som redan säljs?

Produkter som släppts ut på marknaden före 11 december 2027 omfattas normalt av huvudkraven bara om de därefter ändras väsentligt. Rapporteringsskyldigheten gäller från 11 september 2026 även äldre produkter inom CRA:s tillämpningsområde.

Detta är en förenklad översikt, inte juridisk rådgivning. Kontrollera alltid den slutliga lagtexten.

CRA på EUR-LexEU-kommissionen: CRA-rapporteringGör EU-kravkollen