--- title: "Cyberresiliensförordningen: rapporteringsskyldigheter från 11 september 2026" description: "Från 11 september 2026 ska tillverkare rapportera utnyttjade sårbarheter och allvarliga incidenter inom 24 timmar, även för produkter som redan sålts." type: "article" url: "https://www.conphora.com/sv/kunskap/cyberresiliensforordning-rapportering-2026/" markdown: "https://www.conphora.com/sv/kunskap/cyberresiliensforordning-rapportering-2026.md" locale: "sv" language: "sv" published: "2026-06-15" updated: "2026-06-15" author: "Conphora Editorial" publisher: "Conphora" tags: ["cyberresiliensförordningen", "cybersäkerhet", "uppkopplade produkter", "rapportering av sårbarheter", "tillverkare", "rapporteringsskyldigheter cyberresiliensförordningen"] license: "Free to quote with attribution and a link to the page" --- # Cyberresiliensförordningen: rapporteringsskyldigheter från 11 september 2026 > Från 11 september 2026 ska tillverkare rapportera utnyttjade sårbarheter och allvarliga incidenter inom 24 timmar, även för produkter som redan sålts. ## I korthet Från 11 september 2026 ska tillverkare av produkter med digitala element enligt artikel 14 i cyberresiliensförordningen skicka en tidig varning inom 24 timmar om aktivt utnyttjade sårbarheter och allvarliga incidenter. - Cyberresiliensförordningen, förordning (EU) 2024/2847, gäller från 11 december 2027, men rapporteringsskyldigheterna i artikel 14 gäller från 11 september 2026 (artikel 71.2). - Tillverkare ska skicka en tidig varning inom 24 timmar, en anmälan inom 72 timmar och en slutrapport inom 14 dagar efter att en åtgärd för en sårbarhet finns tillgänglig, eller inom en månad vid en allvarlig incident (artikel 14.2 och 14.4). - Rapporteringsskyldigheterna omfattar även produkter inom tillämpningsområdet som släppts ut på marknaden före 11 december 2027 (artikel 69.3). - Anmälningarna ska lämnas via den gemensamma rapporteringsplattform som ENISA inrättar enligt artikel 16, till det CSIRT som utsetts till samordnare, och är samtidigt tillgängliga för ENISA (artiklarna 14.7 och 16). - Överträdelser av artikel 14 kan leda till sanktionsavgifter på upp till 15 miljoner euro eller 2,5 % av den globala årsomsättningen, beroende på vilket som är högst (artikel 64.2). ## Tre månader kvar till den första CRA-tidsfristen som får verkliga följder Det mesta av cyberresiliensförordningen (CRA) känns fortfarande avlägset. Förordningen, förordning (EU) 2024/2847, gäller i sin helhet från 11 december 2027, och det är det datum som de flesta produktteam har i sina planer för krav på säkerhet från grunden, bedömning av överensstämmelse och CE-märkning. Men en skyldighet kommer mycket tidigare. Från **11 september 2026** ska tillverkare av produkter med digitala element rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter till myndigheterna. Skyldigheten gäller inte bara nya produkter: den omfattar även uppkopplade produkter som redan finns på marknaden. För ett företag som säljer smarta hemprodukter, uppkopplade leksaker, bärbar teknik eller andra produkter med programvara eller nätverksanslutning är det nu tre månader kvar till att ha en process som fungerar inom 24 timmar. ## De tre CRA-datumen Artikel 71.2 i CRA anger tre tillämpningsdatum: - **11 juni 2026** – kapitel IV (artiklarna 35–51), om anmälan av organ för bedömning av överensstämmelse, börjar gälla. Det är grunden för de organ som senare ska bedöma de mer kritiska produktklasserna. - **11 september 2026** – artikel 14, tillverkarnas rapporteringsskyldigheter, börjar gälla. - **11 december 2027** – resten av förordningen börjar gälla, inklusive de väsentliga cybersäkerhetskraven i bilaga I. CRA definierar en produkt med digitala element som ”en programvaru- eller maskinvaruprodukt och dess lösningar för databehandling på distans”, inklusive komponenter som släpps ut på marknaden separat. I praktiken omfattar det de flesta konsumentprodukter som ansluter till en telefon, ett nätverk eller molnet. ## Vad som ska rapporteras Artikel 14 skapar två rapporteringsskyldigheter. **Aktivt utnyttjade sårbarheter (artikel 14.1).** En tillverkare ska anmäla varje aktivt utnyttjad sårbarhet i sin produkt som den får kännedom om. CRA definierar en aktivt utnyttjad sårbarhet som en sårbarhet ”för vilken det finns tillförlitliga bevis för att en illasinnad aktör har utnyttjat den i ett system utan systemägarens tillstånd”. En sårbarhet som hittats i den egna provningen och som ingen har utnyttjat omfattas inte av denna obligatoriska skyldighet, även om artikel 15 tillåter frivillig rapportering. **Allvarliga incidenter (artikel 14.3).** En tillverkare ska också anmäla varje allvarlig incident som påverkar produktens säkerhet. Enligt artikel 14.5 är en incident allvarlig när den påverkar, eller kan påverka, produktens förmåga att skydda tillgängligheten, autenticiteten, integriteten eller konfidentialiteten hos känsliga eller viktiga uppgifter eller funktioner, eller när den har lett till, eller kan leda till, att skadlig kod förs in eller körs i produkten eller i en användares nät- och informationssystem. ## 24 timmar, 72 timmar, 14 dagar och en månad Båda skyldigheterna följer en stegvis tidslinje, som anges i artikel 14.2 och 14.4: | Steg | Aktivt utnyttjad sårbarhet | Allvarlig incident | |---|---|---| | Tidig varning | Inom 24 timmar efter att tillverkaren fått kännedom | Inom 24 timmar efter att tillverkaren fått kännedom | | Anmälan | Inom 72 timmar, med allmän information om produkten, utnyttjandet och eventuella korrigerande eller begränsande åtgärder | Inom 72 timmar, med en första bedömning och vidtagna åtgärder | | Slutrapport | Senast 14 dagar efter att en korrigerande eller begränsande åtgärd finns tillgänglig | Inom en månad efter incidentanmälan | Den tidiga varningen ska i tillämpliga fall ange i vilka medlemsstater tillverkaren känner till att produkten har tillhandahållits. För incidenter ska den dessutom ange om det misstänks att incidenten har orsakats av olagliga eller skadliga handlingar. Det CSIRT som tar emot rapporten kan begära en preliminär lägesrapport (artikel 14.6). Rapporteringen till myndigheterna är bara halva uppgiften. Enligt artikel 14.8 ska tillverkaren också informera de berörda användarna, och i förekommande fall alla användare, om sårbarheten eller incidenten och om de åtgärder de kan vidta för att minska effekterna. ## Vart rapporterna går Anmälningar lämnas via den **gemensamma rapporteringsplattform** som ENISA, EU:s cybersäkerhetsbyrå, enligt artikel 16 ska inrätta och driva. Tillverkaren använder den elektroniska anmälningsslutpunkten hos det CSIRT som utsetts till samordnare i den medlemsstat där tillverkaren har sin huvudsakliga etablering i unionen, och anmälan är samtidigt tillgänglig för ENISA (artikel 14.7). En tillverkares huvudsakliga etablering är den plats där besluten om säkerheten hos dess produkter huvudsakligen fattas. En tillverkare utan huvudsaklig etablering i EU följer en ordning som anges i artikel 14.7: den medlemsstat där tillverkarens representant för flest av dess produkter är etablerad, därefter den där importören som släpper ut flest av dess produkter på marknaden är etablerad, därefter den där distributören som tillhandahåller flest produkter är etablerad och slutligen den medlemsstat som har flest användare. För ett varumärke utanför EU som säljer via en importör i EU innebär det att importörens land kan avgöra vilket CSIRT som tar emot rapporten. ## Produkter som redan finns på marknaden Detaljen som överraskar många företag finns i övergångsbestämmelserna. Som huvudregel omfattas produkter som släppts ut på marknaden före 11 december 2027 av CRA endast om de ändras väsentligt efter det datumet (artikel 69.2). Artikel 69.3 gör ett undantag: rapporteringsskyldigheterna i artikel 14 gäller för **alla** produkter inom tillämpningsområdet som släppts ut på marknaden före 11 december 2027. En uppkopplad produkt som du lanserade 2024 och fortfarande stöder omfattas alltså av rapporteringsskyldigheten från 11 september 2026, även om den inte behöver någon bedömning av överensstämmelse enligt CRA om den inte ändras väsentligt från 11 december 2027. CRA kopplar också verkliga sanktioner till skyldigheten. Enligt artikel 64.2 kan underlåtenhet att uppfylla skyldigheterna i artikel 14 leda till administrativa sanktionsavgifter på upp till 15 miljoner euro eller, för ett företag, upp till 2,5 % av dess totala globala årsomsättning under det föregående räkenskapsåret, beroende på vilket belopp som är högst. ## En förberedelseplan inför sommaren Med tre månader kvar handlar arbetet mest om organisation: 1. **Förteckna alla uppkopplade produkter du har släppt ut på marknaden**, även utgångna modeller som fortfarande används, och de programvaruversioner som finns ute hos kunderna. 2. **Utse vem som ansvarar** för att inom några timmar avgöra om en rapport gäller en ”aktivt utnyttjad” sårbarhet eller en ”allvarlig incident”, och vem som skickar den tidiga varningen. 3. **Inrätta ett intag för information om sårbarheter** från leverantörer, forskare, kunder och din egen övervakning, så att du vet när 24-timmarsklockan börjar ticka. 4. **Kartlägg var din huvudsakliga etablering finns**, eller vilken medlemsstat som gäller enligt ordningen i artikel 14.7 om du står utanför EU. 5. **Förbered mallar för användarkommunikation** enligt artikel 14.8, på språken i de marknader där produkten säljs. 6. **Kom överens om roller med din importör eller tillverkarens representant**, så att information snabbt når tillverkaren. Om din produkt också är radioutrustning, läs vår [guide till radioutrustningsdirektivet](/sv/regelverk/red) och problemsidorna om [nya cybersäkerhetsregler för uppkopplade enheter](/sv/losningar/problem/radio-cybersecurity) och [att lägga till Bluetooth eller Wi-Fi i en befintlig produkt](/sv/losningar/problem/connected-product-radio). ## Så hjälper Conphora Rapporteringsskyldigheten i CRA är ett tidsfristproblem: den information du behöver under de första 24 timmarna måste vara redo innan något händer. Med Conphora kan du: - **Föra ett register över dina uppkopplade produkter**, med modeller, programvaruversioner, marknader och de ekonomiska aktörer som är inblandade. - **Koppla varje produkt till ansvariga personer och dokument**, så att den som ska avgöra om en rapport behövs hittar allt på ett ställe. - **Följa CRA-datumen per produkt**, från rapporteringsskyldigheten i september 2026 till full tillämpning i december 2027. - **Spara rapporter och användarmeddelanden** intill den produkt de gäller, redo för en begäran från marknadskontrollmyndigheten. [Se hur Conphora fungerar](/sv/how-it-works) och hur det håller produktuppgifterna redo för myndigheterna. --- **Vill du ha dina uppkopplade produkter redo till 11 september?** [Se planer och priser →](/sv/pricing) ## Källor - [Förordning (EU) 2024/2847 (cyberresiliensförordningen), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)