Compeas GRC stöder nu cyberresiliensförordningen (CRA). Tillverkare av hård- och mjukvaruprodukter med digitala element kan hålla sina produkter, sårbarheter, rapporter och bevis i samma plattform som sitt ledningssystem för informationssäkerhet. Förordningens rapporteringsskyldighet har gällt sedan 11 september 2026, även för produkter som redan finns på marknaden, och resten av förordningen gäller från 11 december 2027.
En skyldighet som följer varje produkt
NIS2 och ISO 27001 frågar hur en organisation skyddar sig själv. CRA frågar något annat: om varje produkt som ett företag släpper ut på EU-marknaden är säker, får support och är dokumenterad. Produkten blir den enhet som ska uppfylla kraven, och arbetet börjar med att veta vad som har släppts ut på marknaden.
Det nya produktregistret beskriver varje produkt med digitala element: om CRA omfattar den och, om inte, varför; dess klass och de förfaranden för bedömning av överensstämmelse som klassen tillåter; de medlemsstater där den tillhandahålls; och dess supportperiod. Versioner och varianter registreras på produkten, liksom om en ny version utgör en väsentlig ändring. Brister, till exempel en klass som inte är beslutad eller ett saknat slutdatum för support, syns på produkten tills de är åtgärdade.
Tjugofyra timmar från kännedom
Sedan 11 september 2026 måste en tillverkare rapportera varje aktivt utnyttjad sårbarhet och varje allvarlig incident som påverkar säkerheten i dess produkter: en tidig varning inom 24 timmar, en anmälan inom 72 timmar och därefter en slutrapport. Rapporterna lämnas via ENISA:s gemensamma rapporteringsplattform till den CSIRT som utsetts till samordnare.
Det nya sårbarhetsregistret följer varje sårbarhet från mottagande till säkerhetsmeddelande. Allvarlighetsgraden beräknas med en CVSS-kalkylator som ställer frågor i klarspråk, eller utifrån en vektor som klistras in från ett säkerhetsmeddelande. Varje företag sätter sina egna tidsmål för åtgärd. När en sårbarhet bedöms vara aktivt utnyttjad börjar CRA:s rapporteringsfrister att löpa, och de ansvariga påminns innan varje rapport ska lämnas in.
Allvarliga incidenter hanteras i det befintliga incidentregistret. En incident som påverkar en omfattad produkt bedöms enligt CRA, och dess CRA-rapporter visas bredvid NIS2- och GDPR-rapporterna för samma incident.
Med 24 timmar på sig ska ingen behöva skriva från början. Varje rapport har ett utkast som följer fälten i ENISA:s gemensamma rapporteringsplattform, ifyllt från registret och dess produkter och klart att kopiera in i plattformen.
Bevis för varje produkt, inför december 2027
Från 11 december 2027 måste varje enhet som släpps ut på marknaden uppfylla de väsentliga kraven i bilaga I och ha sin EU-försäkran om överensstämmelse och CE-märkning. Compeas GRC innehåller nu förordningens krav, skrivna utifrån förordningen och kommissionens vägledning, och anger vad som bevisar vart och ett. Sjutton av dem bevisas produkt för produkt, bland annat riskbedömningen, den tekniska dokumentationen och en mjukvaruförteckning (SBOM) för varje version.
Uppgifterna om överensstämmelse samlar tillämpade standarder, det anmälda organet, EU-försäkran om överensstämmelse och CE-märkningen för varje produkt. Tre policymallar täcker sårbarhetshantering och samordnat offentliggörande, rapportering och supportperioder.
Där arbetet enligt ISO 27001 är samma process, som sårbarhetshantering eller säkerhetstester under utvecklingen, räknas det mot CRA. Där det inte är det kräver förordningen egna bevis, och framstegssiffran visar bara det som är bevisat.
För koncerner och revisorer
I Auditor Tool ser koncerner och deras revisorer varje bolags produktregister, med klass, supportperiod och bevis för varje produkt. Sårbarheter delas bara när bolaget väljer det.
”CRA hamnar ofta under 2027. Det är ett misstag: varje tillverkare har redan en rapporteringsfrist på 24 timmar för varje produkt den har sålt. Med Compeas finns produkterna, sårbarheterna och rapporterna bredvid det ledningssystem företaget redan driver, så att ett och samma team kan hantera båda.”
Martin Karlsson, grundare och VD, Compeas
Tillgänglighet
Cyberresiliensförordningen är tillgänglig nu för alla Compeas-kunder, som ett av de ramverk de väljer tillsammans med ISO 27001, SOC 2 eller NIST CSF 2.0. Börja med att aktivera CRA under Frameworks. Avsnittet Products visas då i menyn, och CRA-sidan listar de första stegen: lägg till produkterna, besluta varje produkts klass, ange vart rapporterna ska skickas, anta policyn för samordnat offentliggörande av sårbarheter och spara det första rapporteringsunderlaget.
Lanseringen är byggd för tillverkare. Importörers och distributörers skyldigheter ingår inte ännu. Förordningens krav och policymallarna finns på engelska.
Versionsinformation
Alla ändringar i den här releasen, i Compeas GRC och Auditor Tool.
Cyberresiliensförordningen
| Typ | Ändring |
|---|---|
| Nytt | Cyberresiliensförordningen som ramverk. 34 krav inom sex områden, skrivna utifrån förordningen, kommissionens vägledning och dess FAQ, vart och ett med vad som bevisar det och när det gäller. |
| Nytt | Kom igång med CRA. CRA-sidan listar de första stegen och bockar av vart och ett när det är gjort. |
| Nytt | Policymallar för tillverkare. Sårbarhetshantering och samordnat offentliggörande, rapportering av incidenter och sårbarheter samt supportperioder för produkter. Finns på engelska. |
Produkter
| Typ | Ändring |
|---|---|
| Nytt | Produktregister. Omfattning, klass, förfaranden för bedömning av överensstämmelse, medlemsstater och supportperiod för varje produkt, med dess brister och en lista över vad som ska vara klart före lansering. |
| Nytt | Versioner och varianter. Varje version med sitt lanseringsdatum och om den är en väsentlig ändring; varje variant med sina säkerhetsrelevanta skillnader. |
| Nytt | Uppgifter om överensstämmelse. Tillämpade standarder, anmält organ, certifikat, EU-försäkran om överensstämmelse och CE-märkning. |
| Nytt | Bevis för varje produkt. De krav som CRA ställer per produkt bevisas produkt för produkt, och mjukvaruförteckningen version för version. |
Sårbarheter och rapportering
| Typ | Ändring |
|---|---|
| Nytt | Sårbarhetsregister. Varje sårbarhet från mottagande till säkerhetsmeddelande, med de produkter och versioner den påverkar, CVE- och EUVD-identifierare och en handläggare. |
| Nytt | Kalkylator för allvarlighetsgrad. En CVSS 4.0-poäng utifrån frågor i klarspråk, eller utifrån en inklistrad CVSS 4.0- eller 3.x-vektor, med motiveringen i text. |
| Nytt | Tidsmål för åtgärd. Varje företag sätter sitt eget tidsmål för varje allvarlighetsgrad. Försenade åtgärder räknas, och handläggaren får en påminnelse. |
| Nytt | Rapporteringsfrister enligt CRA. Tidig varning, anmälan och slutrapport för aktivt utnyttjade sårbarheter och allvarliga incidenter, med påminnelser innan varje rapport ska lämnas in. |
| Nytt | Rapportutkast. Varje CRA-rapport, meddelande till användare och säkerhetsmeddelande förbereds som utkast enligt fälten i ENISA:s gemensamma rapporteringsplattform, klart att kopiera. |
| Nytt | Rapporteringsinställningar. Huvudsakligt verksamhetsställe, samordnande CSIRT, de personer som är registrerade på plattformen och de publicerade kontaktuppgifterna, på ett ställe. |
| Nytt | Rapporteringsunderlag för CRA. En daterad sammanställning av alla fall och rapporter under en period, sparad som bevis. |
| Förbättrat | Allvarliga incidenter i incidentregistret. Incidenter registrerar de produkter de påverkar och bedöms enligt CRA, bredvid sina NIS2- och GDPR-rapporter. |
Auditor Tool
| Typ | Ändring |
|---|---|
| Nytt | Produkter i alla bolag. En sida med produkterna i alla bolag, och varje bolags produktregister med klass, supportperiod och bevis. |
| Nytt | Frivillig delning av sårbarheter. Ett bolag kan dela sitt sårbarhetsregister med sin revisor. Registret delas bara om bolaget väljer det. |
Vardagen i plattformen
| Typ | Ändring |
|---|---|
| Nytt | Kom igång med varje ramverk. Varje ramverkssida börjar med de första stegen, och kraven kan filtreras på status och tidpunkt. |
| Förbättrat | Bevis där arbetet görs. Ladda upp bevis direkt på ett krav, koppla en fil till flera krav och se på bevissidan vad den räknas för. Förnyade bevis behåller sina kopplingar. |
| Förbättrat | Policymallar ifyllda när de antas. Företagsnamn, ägare, klassificering och revisionsraden fylls i från organisationens uppgifter. |
| Nytt | Säkerhetsläget på översikten. Resultaten av de automatiska testerna per område, i stället för fliken IT-tillgångar. |
| Förbättrat | Tydligare formuleringar överallt. Alla sidor, meddelanden och mejl är omskrivna för att vara korta och enhetliga. |
Ny hos Compeas? Boka en demo och se produkt- och sårbarhetsregistret med era egna produkter.