Guide til Cyber Resilience Act
En praktisk køreplan for de teams, der bygger produkter med digitale elementer: hvad du skal gøre, hvem der ejer det, og hvilken dokumentation du skal gemme. Hvad loven siger, kan du læse i hvad Cyber Resilience Act er.
Senest opdateret 15. oktober 2026
What the Cyber Resilience Act asks manufacturers to do
Anvendelsesområdet for forordning (EU) 2024/2847, datoerne for, hvornår den finder anvendelse, indberetningsfristerne, og hvor forpligtelserne for SBOM og sårbarhedshåndtering ligger.
Petteri Pulkkinen og Erika Marttinen ved Kubernetes Community Days Helsinki 2026, 8:03 til 15:20 af SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.
Trinene følger omtrent denne rækkefølge, men trin 5 til 8 er vigtigst først for produkter, der allerede er på markedet, fordi rapportering gælder for dem nu.
Oplist hvert produkt med digitale elementer, du gør tilgængeligt i EU, inklusive software, der sælges separat, og de cloud-backends, produkter har brug for for at virke. Bekræft for hvert produkt, at det ikke er undtaget (medicinsk udstyr, køretøjer, luftfart, skibsudstyr, forsvar), og om du er producent, importør eller distributør.
Tjek et produkt med CRA Checker →De fleste produkter hører til standardkategorien. Sammenlign dine med listerne over vigtige (bilag III) og kritiske (bilag IV) produkter; gennemførelsesforordning (EU) 2025/2392 giver de tekniske beskrivelser. Kategorien afgør, om du må selvvurdere eller har brug for et bemyndiget organ eller en certificering.
Skriv en vurdering af cybersikkerhedsrisikoen for hvert produkt. Den afgør, hvordan de væsentlige krav i bilag I finder anvendelse, og den hører til i den tekniske dokumentation. Opdatér den, når produktet eller truslerne ændrer sig.
Beslut, hvor længe du håndterer sårbarheder for hvert produkt: mindst fem år, medmindre produktet forventes at være i brug i kortere tid. Fortæl brugerne, hvornår supporten slutter, og hold hver sikkerhedsopdatering tilgængelig i mindst 10 år.
CRA kræver en softwarestykliste i et almindeligt anvendt og maskinlæsbart format, der som minimum dækker afhængighederne på øverste niveau. Når du genererer den i det build, der producerer releasen, i stedet for én gang i hånden, forbliver den tro mod det, der blev leveret.
Hvor CRACI passer ind: CRACI registrerer SBOM'en, mens hvert build kører, inklusive transitive afhængigheder og pakker gendannet fra caches, og eksporterer den som CycloneDX eller SPDX.
Hold øje med nye sårbarheder i udgivne versioner, ikke kun main-branchen, i hele supportperioden. Ret dem uden forsinkelse, levér sikkerhedsopdateringer gratis og, hvor det er muligt, adskilt fra funktionsopdateringer.
Hvor CRACI passer ind: CRACI tjekker overvågede SBOM'er igen mod nye sårbarheder, efter du har leveret, og sikkerhedsteams triagerer fund og sender dem til de teams, der ejer rettelsen. Policy gates kan blokere et build på grund af fund.
Giv forskere og kunder en kontakt til at rapportere sårbarheder og en politik for koordineret offentliggørelse af sårbarheder. Når en opdatering er tilgængelig, så offentliggør oplysninger om de sårbarheder, den retter.
Siden 11. september 2026 kræver en aktivt udnyttet sårbarhed eller alvorlig hændelse en tidlig varsling inden for 24 timer, en underretning inden for 72 timer og en endelig rapport via Single Reporting Platform. Udpeg, hvem der bekræfter aktiv udnyttelse, hvem der indsender, og hvem der informerer brugerne. Det svære er at vide inden for få timer, hvilke produkter og releases der indeholder den sårbare komponent.
Hvor CRACI passer ind: CRACI's build-historik viser, hvilke builds der indeholdt en sårbar afhængighed, inventaroversigten viser, hvilke versioner der er udrullet til hvilke produkter, og CRACI indsender CRA-underretningerne på dine vegne.
Levér uden kendte sårbarheder, der kan udnyttes, og med en sikker standardkonfiguration, beskyt data og adgang, begræns angrebsfladen, og gør sikkerhedsopdateringer mulige, automatiske som standard, hvor det er relevant. Test og gennemgå sikkerheden regelmæssigt.
Hvor CRACI passer ind: CRACI håndhæver en egress-politik for, hvad builds må downloade, og policy gates kan blokere et build på grund af fund.
Saml den tekniske dokumentation, der er beskrevet i bilag VII, gennemfør overensstemmelsesvurderingen for din kategori, udarbejd EU-overensstemmelseserklæringen, og anbring CE-mærkningen. Opbevar dokumentationen og erklæringen i mindst 10 år eller i supportperioden, hvis den er længere.
Hvor CRACI passer ind: CRACI eksporterer SBOM'er som CycloneDX eller SPDX, inklusive de sårbarheder, der er fundet i deres komponenter, og API'et returnerer SBOM'er, netværkstraces og provenance til din tekniske dokumentation. Vurderingen og erklæringen forbliver din proces.
Markedsovervågningsmyndigheder kan bede om din tekniske dokumentation. Her er, hvad hvert krav efterlader, og hvor CRACI registrerer det fra dine builds.
| Krav | Hvor | Dokumentation, du skal gemme | Fra CRACI |
|---|---|---|---|
| Vurdering af cybersikkerhedsrisikoen | Artikel 13, bilag I | Dokumenteret vurdering pr. produkt | Din proces |
| Ingen kendte sårbarheder, der kan udnyttes, ved release | Bilag I, del I | Sårbarhedsstatus for release-buildet | SBOM for release-buildet tjekket mod advisories; policy gates |
| Softwarestykliste | Bilag I, del II | Maskinlæsbar SBOM pr. release | Registreret fra hvert build, CycloneDX eller SPDX |
| Håndtering af sårbarheder i supportperioden | Artikel 13, bilag I, del II | Fund, triage-beslutninger, rettelser, advisories | Løbende genvurdering, triage, VEX |
| Rettidig omhu med tredjepartskomponenter | Artikel 13 | Komponentregistreringer, inklusive indkøbt software | Leverandørers SBOM'er overvåget sammen med dine egne; deklarerede licenser |
| Rapportering af udnyttede sårbarheder og alvorlige hændelser | Artikel 14 | Tidlige varslinger, underretninger, endelige rapporter | Indsender underretningerne på dine vegne |
| Supportperiode | Artikel 13 | Offentliggjort dato for supportens ophør | Din proces |
| Teknisk dokumentation og erklæring | Artikel 13, bilag VII | Opbevares i 10 år eller supportperioden | SBOM-eksport og API-data til dokumentationen |
Cyber Resilience Act
Brug denne tjekliste til at fordele ejerskab og indsamle dokumentation, mens du forbereder produkter med digitale elementer på CRA.
Praktiske spørgsmål, teams stiller, når de går i gang med CRA
Opfyld de væsentlige krav i bilag I ud fra en vurdering af cybersikkerhedsrisikoen, hav en SBOM, håndtér sårbarheder i en supportperiode på mindst fem år, rapportér aktivt udnyttede sårbarheder og alvorlige hændelser, opbevar teknisk dokumentation, gennemfør en overensstemmelsesvurdering, og anbring CE-mærkningen.
Med omfang og rapportering. Find ud af, hvilke produkter CRA dækker, og sørg derefter for, at du kan overholde den tidlige varsling inden for 24 timer for en aktivt udnyttet sårbarhed, for rapportering har gældt siden 11. september 2026, også for produkter, der allerede er på markedet. Resten gælder fra 11. december 2027.
Bilag VII angiver det. Den omfatter produktets vurdering af cybersikkerhedsrisikoen, SBOM'en og oplysninger om, hvordan producenten håndterer sårbarheder. Den opbevares i mindst 10 år eller i supportperioden, hvis den er længere, og gives til markedsovervågningsmyndighederne efter anmodning.
Nej. SBOM'en er en del af den tekniske dokumentation og gives til en markedsovervågningsmyndighed efter anmodning. Forordningen kræver ikke, at den offentliggøres.
Ja. Den 27. juli 2026 offentliggjorde Europa-Kommissionen en ikke-bindende vejledning, C(2026) 5252, med 67 praktiske eksempler. Den dækker fjerndatabehandling, gratis og open source-software, væsentlige ændringer, supportperioder, rapportering og risikovurdering. Gennemførelsesforordning (EU) 2025/2392 beskriver kategorierne af vigtige og kritiske produkter.
Forpligtelserne er de samme, men mikrovirksomheder og små virksomheder får ikke bøder for at overskride fristen på 24 timer for den tidlige varsling, og Kommissionens vejledning er skrevet med mikrovirksomheder og SMV'er for øje.
Nej. At overholde CRA er producentens proces, herunder risikovurderingen, overensstemmelsesvurderingen og erklæringen. CRACI automatiserer en betydelig del af den synlighed i forsyningskæden og den dokumentation, processen har brug for: SBOM'er fra hvert build, sårbarhedssporing efter release og CRA-underretningerne.
Se, hvordan CRACI registrerer en SBOM fra hvert build, overvåger det, du har leveret, og indsender CRA-underretninger på dine vegne