Cyberresiliensförordningen
EU:s cybersäkerhetsregler för hård- och mjukvaruprodukter med digitala element, förordning (EU) 2024/2847. Vad tillverkare måste göra, när varje skyldighet börjar gälla och vad programvara för CRA bör täcka.
Rapporteringen gäller redan
CRA trädde i kraft 10 december 2024. Rapporteringen har gällt sedan 11 september 2026, även för produkter som redan finns på marknaden. Alla andra skyldigheter gäller för enheter som släpps ut på marknaden från 11 december 2027.
En tillverkare måste rapportera varje aktivt utnyttjad sårbarhet och varje allvarlig incident som påverkar säkerheten i dess produkter: en tidig varning inom 24 timmar från kännedom, en anmälan inom 72 timmar och därefter en slutrapport. Rapporterna lämnas via ENISA:s gemensamma rapporteringsplattform till den CSIRT som utsetts till samordnare i den medlemsstat där tillverkaren har sitt huvudsakliga etableringsställe.
Gratis checklista: CRA på tre sidor att skriva utSå fasas CRA in
Datum från förordningen och Europeiska kommissionens sidor om genomförandet.
Förordningen träder i kraft
Förordning (EU) 2024/2847 trädde i kraft, med skyldigheter som fasas in under tre år.
Anmälda organ
Reglerna om organ för bedömning av överensstämmelse började gälla, så att anmälda organ kan utses för de produkter som behöver dem.
Rapporteringen börjar gälla
Tillverkare rapporterar aktivt utnyttjade sårbarheter och allvarliga incidenter för varje produkt på marknaden, även produkter som släpptes ut före CRA.
Alla andra skyldigheter gäller
De väsentliga kraven, bedömningen av överensstämmelse, EU-försäkran om överensstämmelse och CE-märkningen gäller för varje enhet som släpps ut på marknaden från detta datum, även nya enheter av modeller som redan säljs.
Omfattas produkten?
CRA gäller produkt för produkt, inte organisation för organisation.
- Produkter med digitala element
- Hårdvara och programvara som tillhandahålls på EU-marknaden, mot betalning eller kostnadsfritt, även komponenter som släpps ut separat och modeller som inte längre säljs men fortfarande används.
- Tillverkare
- Skyldigheterna ligger på den som släpper ut en produkt på marknaden under eget namn eller varumärke. Importörer och distributörer har egna skyldigheter, och blir tillverkare när de saluför en produkt under eget namn eller ändrar den väsentligt.
- Moln och SaaS
- Programvara som tjänst är ingen produkt enligt CRA; molntjänster omfattas av NIS2. Databehandling på distans omfattas bara när tillverkaren ansvarar för den och produkten inte kan utföra någon av sina funktioner utan den.
- Undantagna produkter
- Produkter som omfattas av egna EU-regler för produkter, bland annat medicintekniska produkter, fordon, civil luftfart och marin utrustning, samt produkter som tagits fram enbart för nationell säkerhet eller försvar (artikel 2).
- Produktklasser
- Standard, viktig klass I, viktig klass II eller kritisk, utifrån produktens kärnfunktion (artikel 7, bilagorna III och IV). Klassen avgör hur överensstämmelsen bedöms.
- Produkter som redan finns på marknaden
- Rapporteringen omfattar dem redan nu. De övriga skyldigheterna gäller enheter som släpps ut på marknaden från 11 december 2027, och tidigare produkter som ändras väsentligt från det datumet.
Vad tillverkare måste göra
Sex arbetsområden, vart och ett med något att visa upp.
Känna till varje produkt
Ett register över varje produkt på marknaden: om CRA omfattar den, dess klass, var den säljs och hur länge den får support.
Rapportera inom 24 timmar
En tidig varning, en anmälan och en slutrapport för varje aktivt utnyttjad sårbarhet och allvarlig incident, och information till de användare som berörs.
Inbyggd säkerhet
En dokumenterad riskbedömning per produkt och de väsentliga kraven i bilaga I del I: inga kända utnyttjbara sårbarheter, säkra standardinställningar, åtkomstkontroll, dataskydd och en begränsad attackyta.
Hantera sårbarheter
En mjukvaruförteckning (SBOM) för varje version, åtgärder och kostnadsfria säkerhetsuppdateringar utan dröjsmål, säkerhetsmeddelanden och en policy för samordnat offentliggörande av sårbarheter.
Supportperioder
En supportperiod på minst fem år, om produkten inte förväntas användas kortare tid, och varje säkerhetsuppdatering tillgänglig i minst tio år.
Överensstämmelse och CE-märkning
Teknisk dokumentation, en bedömning av överensstämmelse enligt ett förfarande som klassen tillåter, EU-försäkran om överensstämmelse och CE-märkningen, sparade i minst tio år.
Vad programvara för CRA bör täcka
De flesta compliance-verktyg är byggda kring organisationen. CRA är byggd kring produkten. Det här är frågorna att ställa.
- Ett register per produkt
- Varje produkt med beslutet om omfattning och skälet, dess klass, marknader, supportperiod, versioner och varianter, och om en ny version utgör en väsentlig ändring.
- Frister som börjar löpa vid kännedom
- 24 timmar, 72 timmar, 14 dagar och en månad, räknat från när företaget fick kännedom, med påminnelser innan varje rapport ska lämnas in.
- Rapportutkast för ENISA:s plattform
- Utkast som följer fälten i den gemensamma rapporteringsplattformen, ifyllda från registret, så att ingen behöver skriva från början med 24 timmar på sig.
- Ett sårbarhetsregister
- Varje sårbarhet från mottagande till säkerhetsmeddelande, med allvarlighetsgrad, tidsmål för åtgärd och den tidpunkt då den bedöms vara aktivt utnyttjad.
- Bevis för varje produkt
- Riskbedömning, teknisk dokumentation, en SBOM för varje version, förfarandet för bedömning av överensstämmelse, det anmälda organet, EU-försäkran om överensstämmelse och CE-märkningen.
- Gemensamt med ISO 27001 och NIS2
- Där arbetet är samma process, som sårbarhetshantering eller säkerhetstester, bör det räknas en gång för varje ramverk.
- Framsteg som visar bevis
- En siffra som bara räknar det som är bevisat, och som skiljer det som gäller i dag från det som gäller från december 2027.
CRA bredvid ledningssystemet
Compeas GRC innehåller CRA för tillverkare, bredvid ISO 27001, NIS2, SOC 2, NIST CSF 2.0 och GDPR, med drift inom EU.
Frågor om CRA
När börjar cyberresiliensförordningen gälla?
CRA trädde i kraft 10 december 2024. Rapporteringen av aktivt utnyttjade sårbarheter och allvarliga incidenter har gällt sedan 11 september 2026. Alla andra skyldigheter, bland annat de väsentliga kraven, bedömningen av överensstämmelse och CE-märkningen, gäller från 11 december 2027.
Gäller CRA produkter som redan finns på marknaden?
Rapporteringen gör det redan, för varje produkt på marknaden. De övriga skyldigheterna gäller för varje enhet som släpps ut på marknaden från 11 december 2027, även nya enheter av modeller som redan säljs, och för tidigare produkter som ändras väsentligt från det datumet.
Gäller CRA för SaaS?
Inte som sådan. Programvara som tjänst är ingen produkt med digitala element; molntjänster omfattas av NIS2. Databehandling på distans omfattas bara när tillverkaren ansvarar för den och produkten inte kan utföra någon av sina funktioner utan den.
Vad ska rapporteras, och till vem?
Varje aktivt utnyttjad sårbarhet och varje allvarlig incident som påverkar produktens säkerhet. En tidig varning inom 24 timmar, en anmälan inom 72 timmar och en slutrapport: 14 dagar efter att en åtgärd finns för en sårbarhet, en månad efter anmälan för en incident. Rapporterna lämnas via ENISA:s gemensamma rapporteringsplattform till den CSIRT som utsetts till samordnare.
Hur länge ska säkerhetsuppdateringar tillhandahållas?
Under supportperioden, som är minst fem år om produkten inte förväntas användas kortare tid. Varje säkerhetsuppdatering ska sedan vara tillgänglig i minst tio år, eller under resten av supportperioden om den är längre.
Hur hänger CRA ihop med NIS2?
NIS2 ställer cybersäkerhetskrav på organisationer i samhällsviktiga sektorer. CRA ställer krav på produkter. En tillverkare kan omfattas av båda, och samma processer, som sårbarhetshantering och incidenthantering, kan tjäna båda.
Läs vidare i källorna
Sidan är en sammanfattning och ersätter inte förordningen eller myndigheternas egen vägledning. Kontrollera alltid mot källan.
- EUR-Lex — Förordning (EU) 2024/2847 (cyberresiliensförordningen)
- Europeiska kommissionen — Cyber Resilience Act
- Europeiska kommissionen — CRA för tillverkare
- Europeiska kommissionen — Rapportering enligt CRA
- Europeiska kommissionen — Vägledning om CRA, C(2026) 5252
- ENISA — Gemensam rapporteringsplattform
Rapporteringen gäller redan. Är produktregistret klart?
Boka en genomgång, eller börja med den kostnadsfria checklistan: 34 krav i sex steg på tre sidor att skriva ut.