Guide til Cyber Resilience Act
Et praktisk veikart for teamene som bygger produkter med digitale elementer: hva du skal gjøre, hvem som eier det, og hvilken dokumentasjon du skal ta vare på. Hva loven sier, leser du i hva Cyber Resilience Act er.
Sist oppdatert 15. oktober 2026
What the Cyber Resilience Act asks manufacturers to do
Virkeområdet for forordning (EU) 2024/2847, datoene den får anvendelse fra, rapporteringsfristene og hvor pliktene for SBOM og sårbarhetshåndtering ligger.
Petteri Pulkkinen og Erika Marttinen på Kubernetes Community Days Helsinki 2026, 8:03 til 15:20 av SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.
Stegene går omtrent i rekkefølge, men steg 5 til 8 er viktigst først for produkter som allerede er på markedet, fordi rapportering gjelder for dem nå.
List opp hvert produkt med digitale elementer du gjør tilgjengelig i EU, inkludert programvare som selges separat, og skybackendene produktene trenger for å fungere. Bekreft for hvert av dem at det ikke er unntatt (medisinsk utstyr, kjøretøy, luftfart, skipsutstyr, forsvar), og om du er produsent, importør eller distributør.
Sjekk et produkt med CRA Checker →De fleste produkter havner i standardkategorien. Sammenlign dine med listene over viktige (vedlegg III) og kritiske (vedlegg IV) produkter; gjennomføringsforordning (EU) 2025/2392 gir de tekniske beskrivelsene. Kategorien avgjør om du kan gjøre en egenvurdering eller trenger et teknisk kontrollorgan eller sertifisering.
Skriv en cybersikkerhetsrisikovurdering for hvert produkt. Den avgjør hvordan de grunnleggende kravene i vedlegg I gjelder, og den hører hjemme i den tekniske dokumentasjonen. Oppdater den når produktet eller truslene endrer seg.
Bestem hvor lenge du håndterer sårbarheter for hvert produkt: minst fem år, med mindre produktet forventes å være i bruk kortere. Fortell brukerne når støtten opphører, og hold hver sikkerhetsoppdatering tilgjengelig i minst 10 år.
CRA ber om en programvarestykkliste i et alminnelig brukt, maskinlesbart format som minst dekker avhengighetene på øverste nivå. Når den genereres i bygget som produserer utgivelsen, og ikke én gang for hånd, stemmer den med det som ble levert.
Hvor CRACI passer inn: CRACI registrerer SBOM-en mens hvert bygg kjører, inkludert transitive avhengigheter og pakker gjenopprettet fra cacher, og eksporterer den som CycloneDX eller SPDX.
Følg med på utgitte versjoner, ikke bare hovedgrenen, for nye sårbarheter gjennom hele støtteperioden. Rett dem uten opphold, og lever sikkerhetsoppdateringer gratis og, der det er mulig, atskilt fra funksjonsoppdateringer.
Hvor CRACI passer inn: CRACI sjekker overvåkede SBOM-er på nytt mot nye sårbarheter etter at du har levert, og sikkerhetsteam prioriterer funn og sender dem til teamene som eier rettingen. Policy gates kan blokkere et bygg på grunn av funn.
Gi forskere og kunder en kontakt for å rapportere sårbarheter og en policy for koordinert offentliggjøring av sårbarheter. Når en oppdatering er tilgjengelig, publiserer du informasjon om sårbarhetene den retter.
Siden 11. september 2026 krever en aktivt utnyttet sårbarhet eller alvorlig hendelse et tidlig varsel innen 24 timer, et varsel innen 72 timer og en sluttrapport, gjennom Single Reporting Platform. Bestem hvem som bekrefter aktiv utnyttelse, hvem som sender inn, og hvem som informerer brukerne. Det vanskelige er å vite i løpet av timer hvilke produkter og utgivelser som inneholder den sårbare komponenten.
Hvor CRACI passer inn: Byggehistorikken i CRACI viser hvilke bygg som inneholdt en sårbar avhengighet, inventarvisningen viser hvilke versjoner som er rullet ut til hvilke produkter, og CRACI sender inn CRA-varslene på dine vegne.
Lever uten kjente utnyttbare sårbarheter og med sikker standardkonfigurasjon, beskytt data og tilgang, begrens angrepsflaten og gjør sikkerhetsoppdateringer mulige, automatisk som standard der det er relevant. Test og gjennomgå sikkerheten jevnlig.
Hvor CRACI passer inn: CRACI håndhever en egress-policy for hva bygg kan laste ned, og policy gates kan blokkere et bygg på grunn av funn.
Samle den tekniske dokumentasjonen som er beskrevet i vedlegg VII, gjennomfør samsvarsvurderingen for kategorien din, sett opp EU-samsvarserklæringen og påfør CE-merkingen. Oppbevar dokumentasjonen og erklæringen i minst 10 år eller støtteperioden, det som er lengst.
Hvor CRACI passer inn: CRACI eksporterer SBOM-er som CycloneDX eller SPDX, inkludert sårbarhetene som er funnet i komponentene, og API-et returnerer SBOM-er, nettverksspor og provenance til den tekniske dokumentasjonen din. Vurderingen og erklæringen forblir din prosess.
Markedstilsynsmyndigheter kan be om den tekniske dokumentasjonen din. Dette er hva hvert krav etterlater seg, og hvor CRACI registrerer det fra byggene dine.
| Krav | Hvor | Dokumentasjon å ta vare på | Fra CRACI |
|---|---|---|---|
| Cybersikkerhetsrisikovurdering | Artikkel 13, vedlegg I | Dokumentert vurdering per produkt | Din prosess |
| Ingen kjente utnyttbare sårbarheter ved utgivelse | Vedlegg I del I | Sårbarhetsstatus for utgivelsesbygget | SBOM for utgivelsesbygget sjekket mot advisories; policy gates |
| Programvarestykkliste | Vedlegg I del II | Maskinlesbar SBOM per utgivelse | Registrert fra hvert bygg, CycloneDX eller SPDX |
| Sårbarhetshåndtering gjennom støtteperioden | Artikkel 13, vedlegg I del II | Funn, prioriteringsbeslutninger, rettinger, advisories | Kontinuerlig revurdering, triage, VEX |
| Tilbørlig aktsomhet for tredjepartskomponenter | Artikkel 13 | Komponentoversikter, inkludert innkjøpt programvare | Leverandør-SBOM-er overvåkes sammen med dine egne; deklarerte lisenser |
| Rapportering av utnyttede sårbarheter og alvorlige hendelser | Artikkel 14 | Tidlige varsler, varsler, sluttrapporter | Sender inn varslene på dine vegne |
| Støtteperiode | Artikkel 13 | Publisert dato for slutt på støtte | Din prosess |
| Teknisk dokumentasjon og erklæring | Artikkel 13, vedlegg VII | Oppbevart i 10 år eller støtteperioden | SBOM-eksport og API-data til dokumentasjonen |
Cyber Resilience Act
Bruk denne sjekklisten til å fordele ansvar og samle dokumentasjon mens du forbereder produkter med digitale elementer for CRA.
Praktiske spørsmål team stiller når de begynner på CRA
Oppfyll de grunnleggende kravene i vedlegg I basert på en cybersikkerhetsrisikovurdering, ha en SBOM, håndter sårbarheter gjennom en støtteperiode på minst fem år, rapporter aktivt utnyttede sårbarheter og alvorlige hendelser, oppbevar teknisk dokumentasjon, bestå en samsvarsvurdering og påfør CE-merkingen.
Med virkeområde og rapportering. Finn ut hvilke produkter CRA omfatter, og sørg deretter for at du kan overholde det tidlige varselet på 24 timer for en aktivt utnyttet sårbarhet, fordi rapportering har gjeldt siden 11. september 2026, også for produkter som allerede er på markedet. Resten gjelder fra 11. desember 2027.
Vedlegg VII lister det opp. Den omfatter produktets cybersikkerhetsrisikovurdering, SBOM-en og informasjon om hvordan produsenten håndterer sårbarheter. Den oppbevares i minst 10 år eller støtteperioden, det som er lengst, og gis til markedstilsynsmyndigheter på forespørsel.
Nei. SBOM-en er en del av den tekniske dokumentasjonen og gis til en markedstilsynsmyndighet på forespørsel. Forordningen krever ikke at den publiseres.
Ja. 27. juli 2026 publiserte Europakommisjonen ikke-bindende veiledning, C(2026) 5252, med 67 praktiske eksempler. Den dekker fjernbehandling av data, fri og åpen kildekode, vesentlig endring, støtteperioder, rapportering og risikovurdering. Gjennomføringsforordning (EU) 2025/2392 beskriver de viktige og kritiske produktkategoriene.
Pliktene er de samme, men mikrobedrifter og små bedrifter får ikke bøter for å overskride fristen for tidlig varsel på 24 timer, og Kommisjonens veiledning er skrevet med mikrobedrifter og SMB-er i tankene.
Nei. Å oppfylle CRA er produsentens prosess, inkludert risikovurderingen, samsvarsvurderingen og erklæringen. CRACI automatiserer en betydelig del av innsynet i leverandørkjeden og dokumentasjonen den prosessen trenger: SBOM-er fra hvert bygg, sporing av sårbarheter etter utgivelse og CRA-varslene.
Se hvordan CRACI registrerer en SBOM fra hvert bygg, overvåker det du har levert, og sender inn CRA-varsler på dine vegne