CRA:s rapporteringskrav gäller nu: det här behöver produktföretag veta

Sedan den 11 september 2026 måste tillverkare av produkter som omfattas av EU:s Cyber Resilience Act (CRA) rapportera vissa sårbarheter och allvarliga cybersäkerhetsincidenter. För produktföretag innebär det att både människor och rutiner behöver vara redo när ett säkerhetsproblem upptäcks.

Ett ansvar som gäller redan nu

Mycket av diskussionen om CRA har handlat om december 2027, då huvuddelen av kraven börjar gälla. Men rapporteringskraven gäller redan nu. Företag behöver kunna avgöra om ett problem ska rapporteras, bedöma konsekvenserna och lämna rätt information till myndigheterna inom korta tidsfrister. Här förklarar EU-kommissionen rapporteringskraven.

Reglerna gäller tillverkare av hårdvara och mjukvara som omfattas av CRA, däribland många uppkopplade enheter och industriprodukter. Även produkter som redan finns på marknaden omfattas. Om du säljer en produkt under eget varumärke kan du räknas som tillverkare enligt CRA, även om en partner har utvecklat den. Läs EU-kommissionens översikt över vilka som omfattas.

Vad behöver rapporteras?

Rapporteringskraven gäller två situationer: en säkerhetsbrist i en produkt som utnyttjas aktivt, eller en allvarlig incident som påverkar produktens säkerhet. Ett vanligt programfel eller en brist som upptäcks vid tester behöver inte automatiskt rapporteras. Företaget behöver bedöma vad som har hänt och om händelsen uppfyller kriterierna för rapportering.

När rapportering krävs måste tillverkaren agera utan onödigt dröjsmål. En tidig varning ska lämnas inom 24 timmar från att tillverkaren fått kännedom om problemet, följd av en mer detaljerad anmälan inom 72 timmar från samma tidpunkt. Båda tidsfristerna räknas alltså från när problemet blev känt. Den första varningen kan lämnas medan utredningen fortfarande pågår.

Rapporter lämnas via ENISA:s gemensamma rapporteringsplattform till den berörda nationella incidenthanteringsgruppen och ENISA. Även uppföljande rapporter krävs: för en utnyttjad sårbarhet inom 14 dagar efter att en korrigerande eller riskbegränsande åtgärd finns tillgänglig, och för en allvarlig incident inom en månad efter den detaljerade anmälan. Berörda användare ska också informeras om problemet och om vilka skyddsåtgärder de bör vidta. Skyldigheterna beskrivs i artikel 14 i CRA.

Se till att rutinerna fungerar i praktiken

Tänk dig att ni får ett säkerhetslarm om en av era produkter en fredag eftermiddag. Då behöver teamet veta vem som ska bedöma larmet, vem som får fatta beslut och vem som sköter rapportering och kundkommunikation. Tydliga ansvarsområden gör det lättare att agera, även innan hela bilden är klar.

En bra början är att:

Ha koll på era produkter. Håll en aktuell översikt över de produkter och mjukvarukomponenter som kan beröras.

Fördela ansvaret. Bestäm vem som tar emot larm, bedömer hur brådskande de är och samordnar arbetet, även utanför ordinarie kontorstid.

Förbered rutinerna. Beskriv hur ni ska rapportera, dokumentera och kommunicera med kunder.

Öva tillsammans. Gå igenom ett realistiskt scenario med de personer som berörs och se var rutinerna behöver förbättras.

Så kan Svep hjälpa till

Sveps tjänst CRA Monitoring hjälper företag att hålla koll på relevanta säkerhetsrisker och förstå vad de innebär för deras produkter. Vi kan hjälpa till att bedöma larm, identifiera berörda produkter och stötta det fortsatta arbetet med bland annat kundkommunikation, dokumentation och rapportering.

Vi sköter också beredskapen 365 dagar om året, även på helger och helgdagar. Det innebär att era ingenjörer slipper ha beredskap på helger och helgdagar, medan Svep sköter bevakningen och den första bedömningen av säkerhetslarm.

Våra cybersäkerhetsspecialister arbetar tillsammans med ingenjörer som har erfarenhet av elektronik, inbyggd mjukvara och uppkopplade produkter. Det hjälper oss att förstå vad ett säkerhetslarm innebär för produkten, dess komponenter och de människor som är beroende av den.

Är ert team redo att agera? Läs mer om Sveps tjänst CRA Monitoring eller kontakta oss för att diskutera ett arbetssätt som passar era produkter.