CRA – ställer krav på cybersäkerhet i uppkopplade produkter

EU:s Cyber Resilience Act (CRA), på svenska cyberresiliensförordningen, ställer bindande cybersäkerhetskrav för uppkopplade produkter som säljs på EU-marknaden. Redan nu måste tillverkare rapportera utnyttjade sårbarheter och allvarliga incidenter till EU:s gemensamma rapporteringsplattform. När förordningen börjar gälla fullt ut i slutet av 2027 måste tillverkare, importörer och distributörer säkerställa att uppkopplade produkter är CE-märkta. Detta innebär bland annat klassificering av produkter i säkerhetsklasser och hantering av risker och sårbarheter enligt kraven i förordningen. Vidare ska varje säkerhetsuppdatering finnas tillgänglig i minst tio år.

EU:s Cyber Resilience Act, på svenska cyberresiliensförordningen, är den första bindande EU-förordningen som ställer säkerhetskrav direkt på produkter. Förordningen trädde i kraft 10 december 2024 och börjar gälla i tre steg.

Vilka produkter och verksamheter omfattas?

CRA gäller produkter med digitala delar och som direkt eller indirekt kan kopplas till ett nätverk som säljs i EU. I förordningen kallas dessa ”produkter med digitala element” (PDE).

En PDE kan vara en programvaru- eller hårdvaruprodukt och dess lösningar för fjärrdatabehandling. Operativsystem, mobilappar, datorer, nätverksutrustning, smarta hushållsprodukter, industriell styrutrustning och internetanslutna leksaker är exempel.

Vissa produkter undantas eftersom de redan omfattas av egna regler. Det gäller bland annat medicintekniska produkter, fordon, luftfart och marin utrustning. Molntjänster (SaaS) omfattas i regel inte, om de inte behövs för att en produkt ska fungera.

Ideell utveckling av öppen källkod omfattas inte av CRA. Stiftelser och andra organisationer som stödjer öppen källkod som används kommersiellt kallas förvaltare och har lättare krav. De ska ha en policy för säker utveckling, samarbeta med myndigheterna och rapportera sårbarheter som utnyttjas. Den som bygger en kommersiell produkt med öppen källkod har däremot fullt ansvar för hela produkten, även de delar som kommer från andra. Det är rekommenderat att upprätta en innehållsförteckning för programvaran, en SBOM (software bill of materials) och bevaka centrala beroenden. Läs mer om verktygen i vår artikel om OWASP.

CRA gäller när en PDE tillhandahålls på EU-marknaden inom ramen för kommersiell verksamhet. Det saknar betydelse var tillverkaren är etablerad. Även organisationer utanför EU omfattas om deras produkter görs tillgängliga på EU-marknaden.

CRA delar in aktörer i tre kategorier.

• Tillverkare bär det största ansvaret. Det gäller även den som sätter sitt varumärke på en produkt som någon annan har tillverkat.
• Importörer ska kontrollera att produkter från länder utanför EU uppfyller kraven.
• Distributörer ska kontrollera att tillverkaren och importören följer CRA, samt att produkten är CE-märkt och har rätt dokumentation.

En importör eller distributör som säljer produkten under eget namn eller varumärke blir själv tillverkare enligt CRA. Detsamma gäller den som gör en väsentlig ändring av en produkt och släpper ut resultatet på marknaden.

Produktkategorier och bedömning

Produkter delas in i fyra klasser med olika säkerhetskrav och krav på bedömningsmetod.

För viktiga och kritiska produkter gäller ytterligare säkerhetskrav och strängare regler för bedömning av att en PDE uppfyller kraven. Även AI-system med hög risk kan omfattas av särskilda regler.

Bygg in riskhantering i utvecklingen

Tillverkaren ska säkerställa att en PDE konstrueras, utvecklas och tillverkas enligt de väsentliga cybersäkerhetskraven i CRA. Detta kräver en dokumenterad och fortlöpande bedömning av cybersäkerhetsriskerna. Bedömningen ska omfatta både produktens avsedda användning och rimligen förutsebar felaktig användning.

Produkten ska uppfylla följande krav.

• sakna kända sårbarheter som kan utnyttjas när den släpps ut.
• vara säker som standard, dvs levereras med säkra standardinställningar och skydda data med exempelvis kryptering och lämplig åtkomstkontroll.
• kunna uppdateras genom säkra säkerhetsuppdateringar, i normalfallet automatiska.
• skydda uppgifters konfidentialitet, integritet och tillgänglighet.
• begränsa angreppsytor och konsekvenserna av incidenter.
• registrera och övervaka relevant säkerhetsrelaterad aktivitet.
• ge möjlighet att säkert radera eller överföra uppgifter och inställningar.

Även tredjepartskomponenter, inklusive öppen källkod som integreras i en PDE omfattas av ovanstående krav. Om en sårbarhet upptäcks i en komponent ska den rapporteras till den som tillhandahåller komponenten. Om tillverkaren själv tar fram en korrigering ska även den lämnas vidare.

Inför en fungerande sårbarhetshantering

Tillverkaren ska ha en process för att ta emot, åtgärda och informera om sårbarheter. Tillverkaren ska identifiera och dokumentera produktens komponenter och sårbarheter. Det inkluderar också en innehållsförteckning för programvaran, en SBOM (software bill of materials) som omfattar direkta beroenden på åtminstone översta nivån.

Sårbarheter ska hanteras och avhjälpas utan dröjsmål. När en säkerhetsuppdatering finns ska information om berörda produkter, konsekvenser, allvarlighetsgrad och åtgärder offentliggöras. Säkerhetsuppdateringar ska tillhandahållas utan dröjsmål och normalt kostnadsfritt. De ska vara tillgängliga i minst tio år efter utgivningen och under hela supportperioden, beroende på vilken period som är längst.

Förbered rapportering av sårbarheter och allvarliga incidenter

Sedan 11 september 2026 ska tillverkare rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter som påverkar produktens säkerhet. Rapporterna lämnas via EU:s gemensamma rapporteringsplattform. De går till ENISA och till CSIRT-funktionen i landet där tillverkaren är etablerad. I Sverige är det CERT-SE, som sedan 1 juli 2026 finns inom Nationellt cybersäkerhetscenter vid Försvarets radioanstalt (FRA). Följande gäller.

• Inom 24 timmar: en tidig varning.
• Inom 72 timmar: en anmälan med mer information.
• Slutrapport: senast 14 dagar efter att en åtgärd finns för en sårbarhet, eller inom en månad för en allvarlig incident.

Berörda användare ska också informeras inom rimlig tid. Organisationen behöver därför i förväg bestämma vem som bedömer incidenter, vem som fattar beslut om rapportering och vem som ansvarar för kontakterna med myndigheter och användare.

Dokumentera och visa överensstämmelse

Innan produkten släpps ut på EU-marknaden ska tillverkaren upprätta teknisk dokumentation och den ska bland annat innehålla följande.

• en allmän produktbeskrivning.
• en beskrivning av konstruktion, utveckling och tillverkning.
• processerna för sårbarhetshantering.
• systemarkitekturen när det är relevant.
• den dokumenterade cybersäkerhetsriskbedömningen.

Därefter ska produkten genomgå en bedömning av överensstämmelse enligt CRA. För produkter i standardkategorin är tillverkarens egen internkontroll normalt tillåten. För vissa viktiga och kritiska produkter krävs granskning av ett oberoende organ eller ett godkänt kvalitetssystem.

Kraven i CRA är ofta allmänt formulerade. Tillverkaren behöver därför kunna visa en seriös, rimlig och dokumenterad ansträngning att uppfylla dem utifrån tillgänglig vägledning. Arbetet bör bedrivas som en fortlöpande del av produktens hela livscykel.

När produkten har bedömts uppfylla kraven ska tillverkaren upprätta en EU-försäkran om överensstämmelse och placera en CE-märkning på lämpligt ställe.

Den tekniska dokumentationen och EU-försäkran ska sparas i minst tio år efter att produkten släppts ut på marknaden eller under hela supportperioden, beroende på vilken period som är längst. Dokumentationen bör säkerhetskopieras på flera ställen. Att inte kunna visa underlaget kan medföra sanktioner även om produkten i övrigt uppfyller kraven.

Lämna rätt information till användarna

Produkten ska levereras med användarinformation som omfattar bland annat tillverkarens kontaktuppgifter, en kontaktpunkt för sårbarhetsrapportering, produktens avsedda ändamål och säkerhetsegenskaper, kända riskförhållanden, supportperiodens slutdatum samt en länk till EU-försäkran om överensstämmelse.

Marknadskontrollmyndighet och granskande organ

En statlig utredning (SOU 2025:115) har föreslagit att Post- och telestyrelsen (PTS) blir marknadskontrollmyndighet. PTS ska kontrollera att produkter med digitala element uppfyller cybersäkerhetskraven i CRA samt kraven om märkning och information, dokumentationskrav och sårbarhets- och incidentrapportering. Vidare föreslår de att Swedac utser de organ som får granska produkter. Den kompletterande svenska lagen är ännu inte beslutad.

Sanktioner vid överträdelser

Överträdelser av bestämmelserna i CRA kan ge höga böter. I förordningen finns följande tak för sanktioner. Det högsta beloppet gäller.

En produkt kan dessutom behöva rättas, dras tillbaka eller återkallas från EU-marknaden.

De viktigaste skyddsåtgärderna för att undvika sanktioner är att klassificera produkten och verksamheten korrekt, bygga in riskhantering i utvecklingsprocessen, dokumentera samtliga bedömningar, införa en fungerande incident- och sårbarhetshantering, genomföra rätt bedömning av överensstämmelse och aldrig CE-märka en produkt utan underlag.

Koppling mellan CRA och NIS2

NIS2 och cybersäkerhetslagen ställer krav på verksamheter och hur de hanterar sin säkerhet på nätverks- och informationssystem. CRA ställer krav på produkterna de köper och säljer. Lagarna kompletterar varandra. En verksamhet som omfattas av NIS2 ska hantera risker i leveranskedjan och CE-märkningen enligt CRA blir ett sätt att veta att en produkt uppfyller en grundnivå.

Så kommer ni igång

1. Inventera produkterna. Vilka produkter säljer ni i EU, och vilken riskklass hamnar de i?
2. Sätt upp rapporteringen nu. Utse vem som tar emot sårbarhetsrapporter och allvarliga incidenter och vem som rapporterar inom 24 timmar. Kraven gäller redan.
3. Ta fram en SBOM. Bygg den automatiskt i er utvecklingsprocess och bevaka beroendena löpande.
4. Bestäm supportperioden. Hur länge kan ni ge säkerhetsuppdateringar, och hur tar kunderna emot dem?
5. Gör en gap-analys mot cybersäkerhetskraven i CRA. Planera arbetet så att det är klart före 11 december 2027.
6. Ställ krav på era leverantörer. Säkerställ att komponenter eller programvara ni köper in från andra leverantörer uppfyller CRA.