Den 11 september 2026 börjar rapporteringsskyldigheten i cyberresiliensförordningen gälla — CRA, förordning (EU) 2024/2847. Förordningens tyngre produktkrav träder inte i kraft förrän i december 2027, och det har fått många att skjuta hela frågan på framtiden.
Det är ett misstag av en enkel anledning: rapporteringsskyldigheten gäller produkter som redan är ute på marknaden. Det här är inte en fråga om vad ni bygger härnäst. Det är en fråga om vad ni redan har sålt.
Vad cyberresiliensförordningen kräver från den 11 september
Från och med den 11 september ska en tillverkare av produkter med digitala element rapportera två saker:
Aktivt utnyttjade sårbarheter i produkten — alltså sårbarheter där tillverkaren har underlag för att någon faktiskt utnyttjar dem, inte bara att de finns. Och allvarliga incidenter som påverkar produktens säkerhet.
Rapporten går till ENISA och den CSIRT som utsetts till samordnare i den medlemsstat där tillverkaren har sitt huvudsakliga verksamhetsställe. Anmälan görs en gång, via CRA:s gemensamma rapporteringsplattform, och görs därifrån tillgänglig för båda mottagarna.
Klockorna är korta:
- 24 timmar — tidig varning, från det att tillverkaren fick kännedom.
- 72 timmar — fullständig anmälan.
- 14 dagar — slutrapport för aktivt utnyttjade sårbarheter, räknat från att en korrigerande åtgärd finns tillgänglig.
- En månad — slutrapport för allvarliga incidenter, räknat från 72-timmarsanmälan.
Omfattas ni? CRA träffar produkter med digitala element som släpps ut på marknaden: programvara som distribueras, hårdvara med programvara i och fjärrdatabehandlingslösningar som är nödvändiga för produktens funktion. Renodlad molntjänst som levereras som tjänst faller i huvudsak utanför — men gränsdragningen är inte alltid självklar, särskilt för den som levererar både en installerad klient och en tjänst bakom.
Samma mottagare, men två helt olika vägar dit
Här ligger den del som ställer till det i praktiken. Sedan den 1 juli 2026 gäller föreskrifterna om incidentrapportering enligt cybersäkerhetslagen, och många svenska bolag har byggt en incidentprocess mot dem. Den processen räcker inte för CRA.
Det förvirrande är att breven i slutänden hamnar hos samma myndighet. Sveriges nationella CSIRT är CERT-SE, som den 1 juli 2026 flyttade från Myndigheten för civilt försvar till Nationellt cybersäkerhetscenter vid FRA — samma datum som incidentrapporteringen enligt cybersäkerhetslagen började gälla. Både en CSL-anmälan och en CRA-rapport landar alltså i samma hus.
Men vägen dit är en annan. Cybersäkerhetslagens anmälan görs direkt till NCSC. CRA-rapporten lämnas i ENISA:s gemensamma rapporteringsplattform, där ni väljer den CSIRT som utsetts till samordnare — för ett bolag med huvudsakligt verksamhetsställe i Sverige är det CERT-SE. Plattformen vidarebefordrar sedan till både CSIRT:en och ENISA. Två separata inlämningar, med olika underlag och olika klockor.
| Cybersäkerhetslagen | Cyberresiliensförordningen | |
|---|---|---|
| Er roll | Verksamhetsutövare | Tillverkare |
| Utlöses av | Incident som påverkar den tjänst ni levererar | Aktivt utnyttjad sårbarhet eller allvarlig incident i produkten ni släppt ut |
| Rapporteras via | Direkt till NCSC vid FRA | ENISA:s gemensamma rapporteringsplattform, som vidarebefordrar till CERT-SE och ENISA |
| Gäller sedan | 1 juli 2026 | 11 september 2026 |
Ett svenskt mjukvarubolag i en omfattad sektor kan alltså ha båda skyldigheterna samtidigt, och de ersätter inte varandra. Den viktigaste skillnaden är inte tidsfristen utan triggern: CRA kan tvinga fram en rapport om er produkt, hos era kunder, medan er egen drift är helt opåverkad. Ingen larmklocka i er egen miljö ringer. Signalen kommer utifrån — från en säkerhetsforskare, en kund eller ett CVE-flöde.
Uppdatering 1 oktober 2026: ENISA:s gemensamma rapporteringsplattform öppnade den 11 september 2026, samma dag som skyldigheten började gälla. När artikeln publicerades den 3 september var den ännu inte i drift, och rådet gäller fortfarande: det som tar tid är inte verktyget utan att veta vad ni släppt ut, upptäcka att något utnyttjas och kunna fatta beslutet inom ett dygn. Bekräfta vilken CSIRT som är er samordnare och registrera er på plattformen innan ni behöver den.
Vad som behöver vara på plats
Fyra saker, och ingen av dem tar veckor.
1. Bestäm vilken eller vilka roller ni har. Verksamhetsutövare, tillverkare, eller båda. Skriv ner slutsatsen och skälet till den. Det är den anteckningen en tillsynsmyndighet kommer att fråga efter, inte er magkänsla i efterhand.
2. Inventera vad ni faktiskt släppt ut på marknaden. Inklusive äldre versioner som fortfarande används hos kunder. Går den listan inte att ta fram i dag går den inte att ta fram inom 24 timmar heller.
3. Utse den som får fatta beslutet. Tjugofyra timmar är kort, och en del av det faller ofta på en helg. Bestäm i förväg vem som avgör om något är rapporteringspliktigt och vem som är ersättare. Ett beslut som kräver att tre personer nås innan det kan tas är inte ett beslut som håller tidsfristen.
4. Se till att er incidentprocess har två utgångar. En ingång, samma första triage, men två separata rapporteringsvägar med olika mottagare. Att bygga två parallella processer blir dubbelarbete som tystnar av sig självt inom ett år.
Det CRA och cybersäkerhetslagen har gemensamt
Underlaget bakom båda rapporteringsvägarna är detsamma: veta vad ni har, upptäcka när något händer och kunna visa i efterhand vad ni visste och när. Det är samma tre förmågor som ISO 27001 och cybersäkerhetslagen bygger på, och det är därför den som redan har ett fungerande ledningssystem har kortare väg hit än den som börjar från noll.
CRA är inte ett ramverk i Compeas, och det ska ni inte förvänta er att det blir. Men tidsstämplat underlag som håller när någon frågar i efterhand — det är samma arbete oavsett vilken förordning som ställer frågan.
Vill ni börja med det som faktiskt gäller er verksamhet i höst: checklistan för cybersäkerhetslagen går igenom kraven i tur och ordning med datumen de började gälla. Anmälan av verksamheten görs så snart det kan ske till NCSC vid FRA — så här går det till.
Källor
- Förordning (EU) 2024/2847 om övergripande cybersäkerhetskrav för produkter med digitala element, artikel 14
- Europeiska kommissionen, Cyber Resilience Act — Reporting obligations, digital-strategy.ec.europa.eu
- Cybersäkerhetslagen (2025:1506); CERT-SE som Sveriges nationella CSIRT, sedan 1 juli 2026 vid Nationellt cybersäkerhetscenter, FRA
- ENISA, Single Reporting Platform — status per juni 2026