Tre månader kvar till den första CRA-tidsfristen som får verkliga följder
Det mesta av cyberresiliensförordningen (CRA) känns fortfarande avlägset. Förordningen, förordning (EU) 2024/2847, gäller i sin helhet från 11 december 2027, och det är det datum som de flesta produktteam har i sina planer för krav på säkerhet från grunden, bedömning av överensstämmelse och CE-märkning.
Men en skyldighet kommer mycket tidigare. Från 11 september 2026 ska tillverkare av produkter med digitala element rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter till myndigheterna. Skyldigheten gäller inte bara nya produkter: den omfattar även uppkopplade produkter som redan finns på marknaden. För ett företag som säljer smarta hemprodukter, uppkopplade leksaker, bärbar teknik eller andra produkter med programvara eller nätverksanslutning är det nu tre månader kvar till att ha en process som fungerar inom 24 timmar.
De tre CRA-datumen
Artikel 71.2 i CRA anger tre tillämpningsdatum:
- 11 juni 2026 – kapitel IV (artiklarna 35–51), om anmälan av organ för bedömning av överensstämmelse, börjar gälla. Det är grunden för de organ som senare ska bedöma de mer kritiska produktklasserna.
- 11 september 2026 – artikel 14, tillverkarnas rapporteringsskyldigheter, börjar gälla.
- 11 december 2027 – resten av förordningen börjar gälla, inklusive de väsentliga cybersäkerhetskraven i bilaga I.
CRA definierar en produkt med digitala element som ”en programvaru- eller maskinvaruprodukt och dess lösningar för databehandling på distans”, inklusive komponenter som släpps ut på marknaden separat. I praktiken omfattar det de flesta konsumentprodukter som ansluter till en telefon, ett nätverk eller molnet.
Vad som ska rapporteras
Artikel 14 skapar två rapporteringsskyldigheter.
Aktivt utnyttjade sårbarheter (artikel 14.1). En tillverkare ska anmäla varje aktivt utnyttjad sårbarhet i sin produkt som den får kännedom om. CRA definierar en aktivt utnyttjad sårbarhet som en sårbarhet ”för vilken det finns tillförlitliga bevis för att en illasinnad aktör har utnyttjat den i ett system utan systemägarens tillstånd”. En sårbarhet som hittats i den egna provningen och som ingen har utnyttjat omfattas inte av denna obligatoriska skyldighet, även om artikel 15 tillåter frivillig rapportering.
Allvarliga incidenter (artikel 14.3). En tillverkare ska också anmäla varje allvarlig incident som påverkar produktens säkerhet. Enligt artikel 14.5 är en incident allvarlig när den påverkar, eller kan påverka, produktens förmåga att skydda tillgängligheten, autenticiteten, integriteten eller konfidentialiteten hos känsliga eller viktiga uppgifter eller funktioner, eller när den har lett till, eller kan leda till, att skadlig kod förs in eller körs i produkten eller i en användares nät- och informationssystem.
24 timmar, 72 timmar, 14 dagar och en månad
Båda skyldigheterna följer en stegvis tidslinje, som anges i artikel 14.2 och 14.4:
| Steg | Aktivt utnyttjad sårbarhet | Allvarlig incident |
|---|---|---|
| Tidig varning | Inom 24 timmar efter att tillverkaren fått kännedom | Inom 24 timmar efter att tillverkaren fått kännedom |
| Anmälan | Inom 72 timmar, med allmän information om produkten, utnyttjandet och eventuella korrigerande eller begränsande åtgärder | Inom 72 timmar, med en första bedömning och vidtagna åtgärder |
| Slutrapport | Senast 14 dagar efter att en korrigerande eller begränsande åtgärd finns tillgänglig | Inom en månad efter incidentanmälan |
Den tidiga varningen ska i tillämpliga fall ange i vilka medlemsstater tillverkaren känner till att produkten har tillhandahållits. För incidenter ska den dessutom ange om det misstänks att incidenten har orsakats av olagliga eller skadliga handlingar. Det CSIRT som tar emot rapporten kan begära en preliminär lägesrapport (artikel 14.6).
Rapporteringen till myndigheterna är bara halva uppgiften. Enligt artikel 14.8 ska tillverkaren också informera de berörda användarna, och i förekommande fall alla användare, om sårbarheten eller incidenten och om de åtgärder de kan vidta för att minska effekterna.
Vart rapporterna går
Anmälningar lämnas via den gemensamma rapporteringsplattform som ENISA, EU:s cybersäkerhetsbyrå, enligt artikel 16 ska inrätta och driva. Tillverkaren använder den elektroniska anmälningsslutpunkten hos det CSIRT som utsetts till samordnare i den medlemsstat där tillverkaren har sin huvudsakliga etablering i unionen, och anmälan är samtidigt tillgänglig för ENISA (artikel 14.7).
En tillverkares huvudsakliga etablering är den plats där besluten om säkerheten hos dess produkter huvudsakligen fattas. En tillverkare utan huvudsaklig etablering i EU följer en ordning som anges i artikel 14.7: den medlemsstat där tillverkarens representant för flest av dess produkter är etablerad, därefter den där importören som släpper ut flest av dess produkter på marknaden är etablerad, därefter den där distributören som tillhandahåller flest produkter är etablerad och slutligen den medlemsstat som har flest användare. För ett varumärke utanför EU som säljer via en importör i EU innebär det att importörens land kan avgöra vilket CSIRT som tar emot rapporten.
Produkter som redan finns på marknaden
Detaljen som överraskar många företag finns i övergångsbestämmelserna. Som huvudregel omfattas produkter som släppts ut på marknaden före 11 december 2027 av CRA endast om de ändras väsentligt efter det datumet (artikel 69.2). Artikel 69.3 gör ett undantag: rapporteringsskyldigheterna i artikel 14 gäller för alla produkter inom tillämpningsområdet som släppts ut på marknaden före 11 december 2027.
En uppkopplad produkt som du lanserade 2024 och fortfarande stöder omfattas alltså av rapporteringsskyldigheten från 11 september 2026, även om den inte behöver någon bedömning av överensstämmelse enligt CRA om den inte ändras väsentligt från 11 december 2027.
CRA kopplar också verkliga sanktioner till skyldigheten. Enligt artikel 64.2 kan underlåtenhet att uppfylla skyldigheterna i artikel 14 leda till administrativa sanktionsavgifter på upp till 15 miljoner euro eller, för ett företag, upp till 2,5 % av dess totala globala årsomsättning under det föregående räkenskapsåret, beroende på vilket belopp som är högst.
En förberedelseplan inför sommaren
Med tre månader kvar handlar arbetet mest om organisation:
- Förteckna alla uppkopplade produkter du har släppt ut på marknaden, även utgångna modeller som fortfarande används, och de programvaruversioner som finns ute hos kunderna.
- Utse vem som ansvarar för att inom några timmar avgöra om en rapport gäller en ”aktivt utnyttjad” sårbarhet eller en ”allvarlig incident”, och vem som skickar den tidiga varningen.
- Inrätta ett intag för information om sårbarheter från leverantörer, forskare, kunder och din egen övervakning, så att du vet när 24-timmarsklockan börjar ticka.
- Kartlägg var din huvudsakliga etablering finns, eller vilken medlemsstat som gäller enligt ordningen i artikel 14.7 om du står utanför EU.
- Förbered mallar för användarkommunikation enligt artikel 14.8, på språken i de marknader där produkten säljs.
- Kom överens om roller med din importör eller tillverkarens representant, så att information snabbt når tillverkaren.
Om din produkt också är radioutrustning, läs vår guide till radioutrustningsdirektivet och problemsidorna om nya cybersäkerhetsregler för uppkopplade enheter och att lägga till Bluetooth eller Wi-Fi i en befintlig produkt.
Så hjälper Conphora
Rapporteringsskyldigheten i CRA är ett tidsfristproblem: den information du behöver under de första 24 timmarna måste vara redo innan något händer. Med Conphora kan du:
- Föra ett register över dina uppkopplade produkter, med modeller, programvaruversioner, marknader och de ekonomiska aktörer som är inblandade.
- Koppla varje produkt till ansvariga personer och dokument, så att den som ska avgöra om en rapport behövs hittar allt på ett ställe.
- Följa CRA-datumen per produkt, från rapporteringsskyldigheten i september 2026 till full tillämpning i december 2027.
- Spara rapporter och användarmeddelanden intill den produkt de gäller, redo för en begäran från marknadskontrollmyndigheten.
Se hur Conphora fungerar och hur det håller produktuppgifterna redo för myndigheterna.
Vill du ha dina uppkopplade produkter redo till 11 september? Se planer och priser →