Cyberresiliensförordningen (Cyber Resilience Act, CRA)
EU:s cyberresiliensförordning (Cyber Resilience Act, CRA) inför cybersäkerhetskrav för digitala produkter samt skyldigheter för aktörer som släpper ut dem på EU‑marknaden, såsom tillverkare, importörer, distributörer och ansvariga för programvara med fri och öppen källkod. Målet är att förbättra produkternas cybersäkerhet under hela deras livscykel. På denna sida berättar vi vad skyldigheterna i praktiken betyder.
På denna sida
- Vilka produkter omfattas av CRA?
- När tillämpas bestämmelserna i CRA?
- Anmälan om informationssäkerhetsincidenter och sårbarheter i produkten
- Tillverkare – så här anmäler du en informationssäkerhetsincident eller sårbarhet som upptäckts i din produkt
- Vilka krav ställer CRA på produkter?
- CRA:s produktkategorier
- Så här släpper du ut en produkt på EU-marknaden
- Se även
- Lagstiftning, anvisningar och övriga länkar
Cyberresiliensförordningen (EU) 2024/2847 är Europeiska unionens förordning vars syfte är att förbättra cybersäkerheten i digitala produkter som släpps ut på EU-marknaden.
Uppfyllandet av CRA-kraven är i framtiden en förutsättning för att produkten kan släppas ut på EU-marknaden.
Vilka produkter omfattas av CRA?
Aktörer som omfattas av CRA
Cyberresiliensförordningen gäller ekonomiska aktörer som släpper ut sådana produkter på EU-marknaden som omfattar digitala element. Sådana aktörer är till exempel:
- tillverkare
- importörer
- distributörer
- förvaltare av programvara med fri och öppen källkod
Om ditt företag utvecklar, tillverkar, importerar eller säljer digitala produkter på EU-marknaden, omfattas verksamheten sannolikt av cyberresiliensförordningen.
Produkter som CRA gäller
Cyberresiliensförordningen tillämpas på produkter med digitala element (products with digital elements). Detta betyder i praktiken enheter och programvara som fungerar i en digital miljö och som direkt eller indirekt kan anslutas till nätet.
Förordningen gäller bland annat följande produkter:
- smarta enheter avsedda för konsumenter, t.ex. säkerhetskameror, tv-apparater, leksaker och hushållsroutrar
- program och applikationer, t.ex. spel, text- och bildbehandlingsprogram, operativsystem, webbläsare och lösenordshanterare
- industriella och tekniska digitala system, t.ex. industriella styrsystem, uppkopplade IoT-enheter samt vissa mikroprocessorer och mikrokontroller
Fjärrbehandling av data som tillverkaren tillhandahåller i samband med IoT-enheter, t.ex. en tjänst för hantering av enheten på distans, anses som en del av produkten. En sådan lösning kan vara till exempel en molnbaserad komponent som gör det möjligt att hantera enheten eller behandla uppgifter på distans.
Akten kan också gälla molntjänster när de utgör en del av produkten eller fjärrbehandlingen.
Produkter som inte omfattas av CRA
Förordningen tillämpas inte till exempel på:
- medicintekniska produkter
- medicintekniska produkter avsedda för in vitro-diagnostik
- vissa fordon
- marin utrustning
- certifierad utrustning inom luftfart, t.ex. luftfartyg
På dessa tillämpas redan sedan tidigare produktspecifika cybersäkerhetskrav.
Förordningen tillämpas inte heller på produkter som uteslutande är avsedda för att användas av nationell säkerhet eller försvar.
Vilka skyldigheter inför CRA för aktörer?
Cyberresiliensförordningen inför skyldigheter för aktörer som släpper ut produkter med digitala element på EU-marknaden. Skyldigheterna varierar beroende på aktörens roll och gäller bland annat att säkerställa att produkterna uppfyller cybersäkerhetskraven samt att rapportera information om sårbarheter hos produkter.
När tillämpas bestämmelserna i CRA?
Centrala datum för cyberresiliensförordningen
10.12.2024 – Förordningen träder i kraft
Cyberresiliensförordningen trädde i kraft i EU. Från detta datum börjar övergångsperioden innan skyldigheterna ska tillämpas.
11.6.2026 – Tillämpningen av bestämmelser för anmälda organ börjar
11.9.2026 – Skyldigheten att anmäla sårbarheter börjar
Tillverkarna ska aktivt anmäla utnyttjade sårbarheter och allvarliga informationssäkerhetsincidenter till myndigheter. Skyldigheten gäller både nya produkter och produkter som redan finns på EU-marknaden.
11.12.2027 – Tillämpningen av bestämmelserna om cybersäkerhetskrav och bedömning av överensstämmelse börjar
De väsentliga cybersäkerhetskraven tillämpas på produkter som släpps ut på EU-marknaden från och med den 11 december 2027.
Anmälan om informationssäkerhetsincidenter och sårbarheter i produkten
Cyberresiliensförordningen uppställer tillverkare skyldigheter att aktivt rapportera utnyttjade sårbarheter och anmäla alla allvarliga incidenter som påverkar säkerheten för produkten. Skyldigheten gäller både nya produkter och produkter som redan finns på EU-marknaden.
Tillverkaren ska lämna in en tidig varning om incidenterna, en kompletterande anmälan samt en slutrapport. Alla anmälningar ska från och med den 11 september 2026 lämnas via portalen för den centraliserade rapporteringsplattform som förvaltas av ENISA (Single Reporting Platform), vilket innebär att Cybersäkerhetscentret tills vidare inte har någon separat blankett för att göra anmälningar.
Vad är en aktivt utnyttjad sårbarhet?
Aktivt utnyttjade sårbarheter är sådana där en illvillig aktör har utnyttjat en svaghet i en produkt med digitala element som tillverkaren har gjort tillgänglig på marknaden.
Den obligatoriska anmälningsskyldigheten gäller inte fall där en sårbarhet upptäcks utan skadligt uppsåt. Som exempel kan nämnas testning eller undersökning som utförs i god tro (bl.a. Bug Bounty).
Vad är en allvarlig incident som påverkar produktens informationssäkerhet?
Med en allvarlig incident som påverkar produktens informationssäkerhet avses situationer där en händelse påverkar produktens tillgänglighet, autenticitet, integritet eller konfidentialitet. Incidenten kan till exempel förekomma i tillverkarens utvecklings-, produktions- eller underhållsprocesser. Ett exempel på detta är en situation där en angripare har lyckats infiltrera tillverkarens publikationskanal för uppdateringar med skadlig kod.
Tillverkare – så här anmäler du en informationssäkerhetsincident eller sårbarhet som upptäckts i din produkt
- Steg 1
Lämna in en tidig varning inom 24 timmar efter att du har fått kännedom om händelsen
Lämna in anmälningen på ENISAs Single Reporting Platform.
Obligatoriska uppgifter i tidig varning
- Medlemsstater på vars territorium tillverkaren känner till att produkten med digitala element har tillhandahållits
- Om tillverkaren misstänker att incidenten orsakats av olagliga eller fientliga handlingar
- Steg 2
Lämna in en kompletterande anmälan inom 72 timmar efter att du fått kännedom om händelsen.
Lämna in anmälningen på ENISAs Single Reporting Platform.
Obligatoriska uppgifter i kompletterande anmälan
Sårbarheter:
- Generell information om den berörda produkten, sårbarheten och utnyttjandet
- Vidtagna korrigerande eller riskreducerande åtgärder
- Korrigerande eller riskreducerande åtgärder som användaren kan vidta
- Känslighetsnivån hos den anmälda information som tillverkaren angett
Incidenter:
- Allmän information om arten av incident och en första bedömning av incidenten
- Vidtagna korrigerande eller riskreducerande åtgärder
- Korrigerande eller riskreducerande åtgärder som användarna kan vidta
- Känslighetsnivån hos den anmälda information som tillverkaren angett
- Steg 3
Lämna in slutrapporten för sårbarheter senast 14 dagar efter det att en korrigerande eller riskreducerande åtgärd blivit tillgänglig och, för incidenter, inom en månad från inlämningen av den kompletterande anmälan.
Lämna in anmälningen på ENISAs Single Reporting Platform.
Obligatoriska uppgifter i slutrapporten
Sårbarheter:
- En beskrivning av sårbarheten och dess allvarlighetsgrad och konsekvenser
- I förekommande fall information om en fientlig aktör som har utnyttjat eller som utnyttjar sårbarheten
- Detaljer om säkerhetsuppdateringen eller andra korrigerande åtgärder som har gjorts tillgängliga för att avhjälpa sårbarheten
Incidenter:
- En detaljerad beskrivning av incidenten, inbegripet dess allvarlighetsgrad och konsekvenser
- Den typ av hot eller grundorsak som sannolikt har utlöst incidenten
- Tillämpade och pågående riskreducerande åtgärder
Anmälningar som lämnas in via Single Reporting Platform vidarebefordras till den ansvariga CSIRT-enheten, som i regel är CSIRT-enheten i det land där anmälan görs. Informationen vidarebefordras även för kännedom till CSIRT-enheterna i de länder där produkten har gjorts tillgänglig.
Tillverkaren kan i samband med att en anmälan lämnas be att den ansvariga CSIRT-enheten om att fördröja anmälan, om något av följande villkor uppfylls:
- En fientlig aktör har aktivt utnyttjat den anmälda sårbarheten och enligt tillgänglig information har den utnyttjats endast i den medlemsstat där den CSIRT-enhet som utsetts till samordnare finns och till vilken tillverkaren har anmält sårbarheten.
- Ett omedelbart vidarebefordrande av informationen om den anmälda sårbarheten skulle sannolikt leda till tillhandahållande av information vars utlämnande skulle strida mot den berörda medlemsstatens väsentliga intressen
- Den anmälda sårbarheten utgör en överhängande hög cybersäkerhetsrisk till följd av att informationen vidarebefordras.
I dessa fall bedömer CSIRT-enheten situationen och fattar sitt beslut på basis av uppgifterna. CSIRT-enheten kan också på eget initiativ besluta att försena förmedlingen av anmälan utan en separat begäran, om de ovan nämnda villkoren uppfylls.
Vilka krav ställer CRA på produkter?
Tillverkare ska säkerställa att produkten planeras, utvecklas och produceras i enlighet med de väsentliga cybersäkerhetskraven som uppställs i cyberresiliensförordningen (CRA). Kraven gäller både produktens tekniska egenskaper och tillverkarens skyldigheter att kontrollera sårbarheter och tillhandahålla säkerhetsuppdateringar under produktens livscykel.
Det närmare innehållet i kraven finns i artikel 13 i cyberresiliensförordningen och i bilaga I. Överensstämmelse med kraven påvisas med CE-märkningen.
De väsentliga cybersäkerhetskraven tillämpas på produkter som släpps ut på EU-marknaden från och med den 11 december 2027. Utsläppande på marknaden betyder att en produkt kommer ut på EU-marknaden för första gången.
De väsentliga cybersäkerhetskraven genomförs baserat på riskerna. Dessa är till exempel:
- säker standardkonfiguration och automatiska säkerhetsuppdateringar
- skydd mot obehörig åtkomst
- konfidentiell behandling av uppgifter och dataminimering
- skydd av centrala funktioner
Närmare innehållet för kraven preciseras i harmoniserade standarder och tekniska specifikationer. De harmoniserade standarderna publiceras när de färdigställs i EU:s officiella tidning.
Hur bedöms kraven på överensstämmelse?
Innan en produkt kan släppas ut på EU-marknaden ska tillverkaren visa att produkten uppfyller de väsentliga cybersäkerhetskraven i cyberresiliensförordningen. Detta kallas för bedömning av överensstämmelse.
Bedömningsförfarandet beror på produktens kategori. I de flesta fall kan tillverkaren själv bedöma överensstämmelsen, men i vissa fall medverkar ett anmält organ (notified body) i bedömningen.
Hitta den produktkategori som motsvarar din egen produkt i listan nedan för att se vilket bedömningsförfarande som ska tillämpas.