Tidsplan för cyberresiliensakten: vad gäller när?

Vilka är de viktigaste datumen för CRA?

Alla tillverkare av uppkopplade produkter behöver känna till två datum: 11 september 2026 och 11 december 2027. Det första datumet börjar rapporteringsskyldigheten gälla, det andra börjar allt annat gälla.

Gäller rapporteringen produkter som redan har sålts?

Ja. Rapporteringsskyldigheterna enligt artikel 14 gäller alla produkter på EU-marknaden som omfattas, även produkter som släppts ut på marknaden före 11 september 2026. En gateway som levererades 2023 och fortfarande används omfattas av rapporteringsskyldigheten i dag.

I praktiken innebär det att tillverkare behöver en fungerande process för att upptäcka, bedöma och rapportera utnyttjade sårbarheter i sin installerade produktbas, inte bara i nya produkter.

Vad måste rapporteras och hur snabbt?

Tillverkare måste lämna en tidig varning inom 24 timmar, en anmälan inom 72 timmar och en slutrapport. Slutrapporten ska lämnas inom 14 dagar efter att en korrigerande åtgärd finns tillgänglig för en aktivt utnyttjad sårbarhet, eller inom 1 månad för en allvarlig incident.

Rapporter lämnas via ENISA:s gemensamma rapporteringsplattform (Single Reporting Platform) till den CSIRT-enhet som utsetts till samordnare i tillverkarens medlemsstat. I Sverige är det CERT-SE.

Vad gäller från 11 december 2027?

Från 11 december 2027 gäller alla övriga skyldigheter enligt CRA. Produkterna måste uppfylla de väsentliga kraven, och tillverkare måste hantera sårbarheter under hela den fastställda supportperioden, hålla teknisk dokumentation inklusive en SBOM och genomföra den bedömning av överensstämmelse som motsvarar produktens klass.

Även importörer och distributörer får skyldigheter från detta datum. En importör eller distributör som säljer under eget namn eller väsentligt ändrar en produkt blir tillverkare.

Vad händer om ni missar tidsfristerna?

Överträdelser av de väsentliga kraven och av artiklarna 13 och 14 kan leda till sanktionsavgifter på upp till €15 miljoner eller 2.5% av den globala årsomsättningen. Utöver risken för sanktionsavgifter kräver kunder allt oftare att leverantörer bekräftar att de är redo för CRA innan avtal förnyas.

Hur bör en tillverkare planera nästa steg?

Börja med det som redan gäller: en säkerhetskontakt, en handlingsplan för incidenter och sårbarheter samt registrering på ENISA:s gemensamma rapporteringsplattform (Single Reporting Platform). Klassificera sedan varje produktfamilj, ta fram SBOM:er, fastställ supportperioder och välj förfarande för bedömning av överensstämmelse i god tid före december 2027.

• Nu: rapporteringsprocess, säkerhetskontakt, inventering av den installerade produktbasen.
• Därefter: klassificering, SBOM:er, policy för sårbarhetshantering.
• Före 11 december 2027: dokumentation, bedömning av överensstämmelse, CE-märkning.

Vanliga frågor

Relaterade guider

• CRA artikel 14: så fungerar rapporteringskraven på 24 och 72 timmar
• CRA:s produktklasser: standardkategorin, viktiga I och II, kritiska
• CRA-checklista för små och medelstora tillverkare

Källor

• EUR-Lex: Regulation (EU) 2024/2847 (Cyber Resilience Act)
• European Commission: Cyber Resilience Act
• ENISA: European Union Agency for Cybersecurity
• CERT-SE: Cyber Resilience Act