Därför är cyberresiliensakten viktig nu
EU:s cyberresiliensakt (förordning (EU) 2024/2847), på engelska Cyber Resilience Act eller CRA, är den första EU-gemensamma lagen som ställer bindande cybersäkerhetskrav på produkter med digitala delar – allt från uppkopplade konsumentprodukter till affärsprogramvara. Den trädde i kraft den 10 december 2024, och kraven fasas nu in stegvis. Den första stora tidsgränsen är nära: från och med den 11 september 2026 måste tillverkare rapportera aktivt utnyttjade sårbarheter och allvarliga säkerhetsincidenter. Huvudkraven följer den 11 december 2027.
Om ditt företag utvecklar, importerar eller säljer hårdvara eller mjukvara med någon form av digital komponent kommer cyberresiliensakten att beröra er. Den här artikeln förklarar vad förordningen kräver, vilka som omfattas, vilken tidsplan ni behöver planera efter och vilka praktiska steg ni bör ta redan nu.
Vad är cyberresiliensakten?
Cyberresiliensakten ställer grundläggande cybersäkerhetskrav på “produkter med digitala delar” som släpps ut på EU-marknaden. I praktiken omfattar det nästan alla produkter som kan anslutas till en enhet eller ett nätverk – program och appar, operativsystem, uppkopplade apparater, industriella styrsystem och mycket mer. Målet är att göra säkerhet till en inbyggd egenskap under hela produktens livscykel, i stället för en eftertanke, och att ge köpare tydligare information om de produkter de använder.
Till skillnad från NIS2, som reglerar hur väsentliga och viktiga verksamheter hanterar sin egen nätverks- och informationssäkerhet, reglerar cyberresiliensakten själva produkterna. De två regelverken kompletterar varandra: NIS2 tar sikte på organisatorisk säkerhet, medan cyberresiliensakten tar sikte på produktsäkerhet.
Vilka omfattas?
Skyldigheterna fördelas längs leveranskedjan, men tillverkare bär huvudansvaret. En tillverkare är den som utvecklar eller tillverkar en produkt med digitala delar, eller låter utveckla en, och släpper ut den på marknaden under eget namn eller varumärke. Importörer måste kontrollera att de produkter de för in i EU uppfyller kraven och bär CE-märkning, och distributörer måste iaktta vederbörlig omsorg och kontrollera att märkning och dokumentation finns. Även öppen källkod kan omfattas när den tillhandahålls kommersiellt.
De viktigaste kraven
Säkerhet i design och som standard
Produkter ska utformas, utvecklas och tillverkas så att de ger en lämplig nivå av cybersäkerhet utifrån riskerna. Det innebär att de levereras utan kända utnyttjbara sårbarheter, med säkra standardinställningar, skydd för uppgifters konfidentialitet och integritet samt en minimerad attackyta. Säkerhet kan inte läggas till i efterhand – den måste byggas in från början.
Hantering av sårbarheter under hela livscykeln
Tillverkare måste identifiera och åtgärda sårbarheter under produktens förväntade livslängd, eller minst fem år, beroende på vilket som är kortast. Det inkluderar att tillhandahålla säkerhetsuppdateringar – kostnadsfritt och där det är möjligt automatiskt – och att upprätthålla en policy för samordnat röjande av sårbarheter. Tillverkare måste också ta fram en programvaruförteckning (SBOM) som dokumenterar komponenterna i sina produkter.
Rapportering av sårbarheter och incidenter
Från och med den 11 september 2026 måste tillverkare rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter via en gemensam rapporteringsplattform till berörd nationell CSIRT och till ENISA. Rapporteringen sker i tre steg: en tidig varning inom 24 timmar från kännedom, en fylligare anmälan inom 72 timmar och en slutrapport när problemet är åtgärdat. Snabb och strukturerad rapportering ska hjälpa myndigheter att bevaka framväxande hot och samordna åtgärder.
Bedömning av överensstämmelse och CE-märkning
Produkter delas efter risk in i standardprodukter, viktiga produkter (klass I och klass II) och kritiska produkter. De flesta standardprodukter kan bedömas av tillverkaren själv, medan viktiga och kritiska produkter i regel kräver en bedömning som involverar ett oberoende anmält organ. Överensstämmelse visas genom en bedömning av överensstämmelse, en EU-försäkran om överensstämmelse och CE-märkning, med stöd av teknisk dokumentation.
Tidsplanen ni behöver planera efter
Cyberresiliensakten trädde i kraft den 10 december 2024. Rapporteringsskyldigheterna för aktivt utnyttjade sårbarheter och allvarliga incidenter gäller från och med den 11 september 2026. Övriga huvudkrav – inklusive de grundläggande cybersäkerhetskraven, bedömning av överensstämmelse och CE-märkning – gäller från och med den 11 december 2027. I praktiken är 2026 och 2027 åren att bli redo, eftersom det tar tid att bygga upp processer för inbyggd säkerhet, sårbarhetshantering och dokumentation.
Praktiskt exempel
Tänk dig ett svenskt företag som tillverkar smarta hemsensorer med en tillhörande mobilapp. Enligt cyberresiliensakten är det tillverkare av en produkt med digitala delar. Företaget måste leverera sensorerna utan kända utnyttjbara sårbarheter, tillhandahålla säkerhetsuppdateringar under den förväntade livslängden, publicera en policy för röjande av sårbarheter och ta fram en programvaruförteckning. Från september 2026 måste företaget, om en sårbarhet i appen aktivt utnyttjas, skicka en tidig varning inom 24 timmar. För att få säljas inom EU från december 2027 måste produkten bära CE-märkning med stöd av en bedömning av överensstämmelse och teknisk dokumentation. Det företag som börjar bygga dessa processer redan 2026 kommer att uppleva tidsgränsen 2027 som hanterbar snarare än störande.
Vanliga misstag företag gör
Det första misstaget är att anta att cyberresiliensakten bara handlar om hårdvara; mjukvaruprodukter och till och med viss kommersiell öppen källkod omfattas i högsta grad. Det andra är att behandla den som ett engångsprojekt i stället för en löpande skyldighet – sårbarhetshantering och uppdateringar pågår under hela livscykeln. Det tredje är att underskatta dokumentationsbördan: utan en programvaruförteckning, tydlig teknisk dokumentation och en policy för röjande blir det mycket svårt att visa överensstämmelse. Det fjärde är att vänta för länge med klassificeringen, eftersom viktiga och kritiska produkter kan kräva ett oberoende anmält organ med begränsad kapacitet.
Rekommenderade åtgärder
Börja med att kartlägga vilka av era produkter som omfattas och hur var och en bör klassificeras. Se över era utvecklingsprocesser mot kraven på inbyggd säkerhet och täpp till uppenbara luckor. Inför en process för sårbarhetshantering, en policy för samordnat röjande och en rutin för att ta fram en programvaruförteckning. Sätt upp en intern rutin så att ni klarar tidsgränserna på 24 timmar, 72 timmar och slutrapport innan september 2026. Planera slutligen er väg för bedömning av överensstämmelse och er tekniska dokumentation i god tid före tidsgränsen i december 2027, och räkna in ledtider om ett anmält organ krävs.
Vanliga frågor
När börjar cyberresiliensakten gälla?
Förordningen trädde i kraft den 10 december 2024. Rapporteringsskyldigheterna för aktivt utnyttjade sårbarheter och allvarliga incidenter gäller från och med den 11 september 2026, och huvudkraven gäller från och med den 11 december 2027.
Gäller cyberresiliensakten även mjukvara, inte bara hårdvara?
Ja. Cyberresiliensakten omfattar produkter med digitala delar, vilket inkluderar fristående mjukvara som appar och operativsystem, inte bara fysiska enheter. Även viss kommersiell öppen källkod kan omfattas.
Vilka sanktioner finns vid bristande efterlevnad?
Överträdelser av de grundläggande cybersäkerhetskraven eller de centrala tillverkarskyldigheterna kan leda till böter på upp till 15 miljoner euro eller 2,5 procent av den totala globala årsomsättningen, beroende på vilket som är högst. Lägre tak gäller för andra överträdelser.
Slutsats
Cyberresiliensakten gör cybersäkerhet till ett grundkrav för produkter som säljs i EU, och tidsgränserna närmar sig snabbt. Med rapporteringsskyldigheter från september 2026 och huvudkraven från december 2027 står de företag väl rustade som redan nu kartlägger sina produkter, bygger processer för inbyggd säkerhet och ordnar sin dokumentation – medan de som väntar riskerar en stressig och kostsam kapplöpning.
Lawgent hjälper företag att navigera cybersäkerhetsreglering och regelefterlevnad med hjälp av juridik och AI. Vill du förstå hur cyberresiliensakten påverkar just era produkter och hur ni förbereder er i praktiken? Kontakta Lawgent så hjälper vi er att komma igång.
