123% flere rapporterte CVE-er per dag i 2026 enn i fjor.

Hva er Cyber Resilience Act?

EU-loven som setter cybersikkerhetsregler for maskinvare- og programvareprodukter, og hva den krever av selskapene som lager dem

Cyber Resilience Act (CRA), forordning (EU) 2024/2847, er en EU-forordning som setter obligatoriske cybersikkerhetskrav til produkter med digitale elementer: maskinvare og programvare som kobles til en enhet eller et nettverk, fra rutere og smarthjemenheter til apper, operativsystemer og programvarekomponenter som selges for seg. Den trådte i kraft 10. desember 2024. Produsenter har måttet rapportere aktivt utnyttede sårbarheter og alvorlige hendelser siden 11. september 2026, og resten av forordningen gjelder fra 11. desember 2027.

Produsentene har de fleste pliktene. De vurderer cybersikkerhetsrisikoen, bygger produkter etter de grunnleggende kravene i vedlegg I, har en programvarestykkliste (SBOM), håndterer sårbarheter gjennom en støtteperiode på minst fem år, gjennomfører en samsvarsvurdering og påfører CE-merkingen. Importører og distributører sjekker at dette er gjort. Bøtene kan nå €15 millioner eller 2,5 % av global årsomsetning.

CRACI automatiserer en betydelig del av dokumentasjonen disse pliktene krever: Det registrerer komponentene hvert bygg henter inn, som en SBOM, sjekker dem på nytt mot nye sårbarheter etter at du har levert, og eksporterer revisjonsdokumentasjon til den tekniske dokumentasjonen din. Når en sårbarhet må rapporteres, sender CRACI inn CRA-varslene til myndighetene på dine vegne. Se hvordan CRACI støtter CRA-samsvar.

What the Cyber Resilience Act asks manufacturers to do

Virkeområdet for forordning (EU) 2024/2847, datoene den får anvendelse fra, rapporteringsfristene og hvor pliktene for SBOM og sårbarhetshåndtering ligger.

Petteri Pulkkinen og Erika Marttinen på Kubernetes Community Days Helsinki 2026, 8:03 til 15:20 av SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.

Viktige datoer

DatoHva som skjer
23. oktober 2024 Forordning (EU) 2024/2847 vedtatt av Europaparlamentet og Rådet
20. november 2024 Publisert i Den europeiske unions tidende
10. desember 2024 Trådte i kraft
11. juni 2026 Reglene om melding av samsvarsvurderingsorganer (kapittel IV) gjelder
11. september 2026 Rapportering av aktivt utnyttede sårbarheter og alvorlige hendelser (artikkel 14) gjelder, også for produkter som allerede er på markedet
11. desember 2027 Resten av forordningen gjelder

Hovedpunkter i CRA

Obligatoriske sikkerhetskrav

Produkter må oppfylle de grunnleggende cybersikkerhetskravene i vedlegg I når de bringes i omsetning, og gjennom hele støtteperioden.

Risikobasert klassifisering

De fleste produkter havner i standardkategorien. Viktige og kritiske produkter har strengere veier for samsvarsvurdering.

Sårbarhetshåndtering

Produsenter har en SBOM, retter sårbarheter uten opphold og rapporterer aktivt utnyttede sårbarheter innen 24 timer.

CE-merking

Etter en samsvarsvurdering signerer produsenten en EU-samsvarserklæring og påfører CE-merkingen.

Dokumentasjon og åpenhet

Teknisk dokumentasjon oppbevares i minst 10 år eller støtteperioden, og brukerne får vite når støtten opphører.

Markedstilsyn

Nasjonale myndigheter kan be om dokumentasjon, pålegge korrigerende tiltak eller tilbakekalling og ilegge bøter.

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

Hvem berøres av CRA?

Produsenter

Alle som utvikler eller produserer et produkt med digitale elementer, eller får et produsert, og markedsfører det under eget navn eller varemerke, enten det er mot betaling eller gratis. Produsenter utenfor EU er omfattet når de selger inn i EU.

Importører og distributører

Importører og distributører må sjekke at et produkt har CE-merking, og at produsenten har oppfylt pliktene sine, før de gjør det tilgjengelig i EU.

Programvare med åpen kildekode

Bare åpen kildekode som leveres som ledd i en kommersiell aktivitet, er omfattet. Forvaltere av åpen kildekode følger en lettere ordning, og produsenter er fortsatt ansvarlige for komponentene med åpen kildekode de bygger inn.

Programvare- og SaaS-leverandører

Programvare som selges som et produkt, er omfattet, og det samme er skybackenden et produkt trenger for å fungere. Software as a service alene faller inn under NIS2 i stedet for CRA.

Utenfor virkeområdet: produkter som allerede er regulert av EUs regler for medisinsk utstyr, in vitro-diagnostikk og typegodkjenning av kjøretøy, sertifiserte luftfartsprodukter, skipsutstyr, identiske reservedeler og produkter bygget utelukkende for nasjonal sikkerhet eller forsvar (artikkel 2).

Produktkategorier og samsvarsvurdering

Alle produsenter gjennomfører en samsvarsvurdering før et produkt bringes i omsetning. Veien avhenger av produktets kategori.

KategoriEksemplerSamsvarsvurdering
Standard De fleste produkter med digitale elementer som ikke er oppført i vedlegg III eller IV Egenvurdering (intern kontroll) er tillatt
Viktig, klasse I (vedlegg III) Identitets- og tilgangsstyring, nettlesere, passordbehandlere, VPN-er, operativsystemer, rutere og svitsjer, sikkerhetsprodukter for smarthjem Egenvurdering bare når harmoniserte standarder, felles spesifikasjoner eller en sertifiseringsordning brukes; ellers et teknisk kontrollorgan
Viktig, klasse II (vedlegg III) Hypervisorer og container-runtimes, brannmurer og systemer for inntrengingsdeteksjon, manipulasjonssikre mikroprosessorer og mikrokontrollere Tredjepartsvurdering av et teknisk kontrollorgan, eller en europeisk ordning for cybersikkerhetssertifisering
Kritisk (vedlegg IV) Maskinvareenheter med sikkerhetsbokser, gatewayer for smartmålere, smartkort og sikre elementer Et europeisk cybersikkerhetssertifikat der Kommisjonen krever det; ellers tredjepartsvurdering

Grunnleggende krav

Vedlegg I setter to grupper grunnleggende krav. Den første gjelder selve produktet, basert på en dokumentert cybersikkerhetsrisikovurdering:

  • Ingen kjente utnyttbare sårbarheter når produktet bringes i omsetning
  • En sikker standardkonfigurasjon
  • Sikkerhetsoppdateringer, automatiske som standard der det er relevant
  • Beskyttelse mot uautorisert tilgang og av dataenes konfidensialitet og integritet
  • Dataminimering, tilgjengelighet av viktige funksjoner og en begrenset angrepsflate
  • Sikker, permanent fjerning av brukerdata og innstillinger

Den andre gjelder hvordan produsenten håndterer sårbarheter:

  • En SBOM som minst dekker avhengighetene på øverste nivå
  • Retting av sårbarheter uten opphold, med sikkerhetsoppdateringer atskilt fra funksjonsoppdateringer der det er mulig
  • Regelmessig sikkerhetstesting og gjennomganger
  • En policy for koordinert offentliggjøring av sårbarheter og et kontaktpunkt for rapportering av sårbarheter
  • Offentliggjøring av rettede sårbarheter når en oppdatering er tilgjengelig
  • Sikker distribusjon av oppdateringer, gratis og med sikkerhetsmeldinger

Produsenter fastsetter også en støtteperiode på minst fem år, med mindre produktet forventes å være i bruk kortere, holder hver sikkerhetsoppdatering tilgjengelig i minst 10 år og oppbevarer den tekniske dokumentasjonen og EU-samsvarserklæringen i minst 10 år eller støtteperioden, det som er lengst (artikkel 13).

Rapporteringsplikter og frister

Siden 11. september 2026 har produsenter varslet om aktivt utnyttede sårbarheter og alvorlige hendelser gjennom Single Reporting Platform, til CSIRT-et som er utpekt som koordinator i deres viktigste EU-medlemsstat, og til ENISA samtidig (artikkel 14). Dette gjelder også for produkter som allerede er på markedet.

StegAktivt utnyttet sårbarhetAlvorlig hendelse
Tidlig varsel Innen 24 timer etter at du ble kjent med det Innen 24 timer etter at du ble kjent med det
Varsel Innen 72 timer, med detaljer om produktet, utnyttelsen og eventuelle avbøtende tiltak Innen 72 timer, med en første vurdering og eventuelle avbøtende tiltak
Sluttrapport Senest 14 dager etter at et korrigerende eller avbøtende tiltak er tilgjengelig Innen én måned etter varselet om hendelsen

Produsenter må også informere berørte brukere, og om nødvendig alle brukere, om avbøtende tiltak de kan iverksette. Å overholde en frist på 24 timer forutsetter at du i løpet av timer vet hvilke produkter og utgivelser som inneholder den sårbare komponenten, og det er det en SBOM per utgivelse er til for.

Sanksjoner

Medlemsstatene fastsetter sanksjonene, innenfor disse maksimumsgrensene (artikkel 64). Markedstilsynsmyndigheter kan også pålegge korrigerende tiltak, tilbaketrekking eller tilbakekalling av et produkt.

BruddMaksimal administrativ bot
Grunnleggende cybersikkerhetskrav (vedlegg I) og produsentplikter (artikkel 13 og 14) Opptil €15 millioner eller 2,5 % av samlet global årsomsetning, det som er høyest
Andre plikter, blant annet for importører og distributører, samsvarserklæringen, CE-merking, teknisk dokumentasjon og samsvarsvurdering Opptil €10 millioner eller 2 % av samlet global årsomsetning, det som er høyest
Feilaktige, ufullstendige eller villedende opplysninger gitt til tekniske kontrollorganer eller markedstilsynsmyndigheter Opptil €5 millioner eller 1 % av samlet global årsomsetning, det som er høyest

Mikrobedrifter og små bedrifter får ikke bøter for å overskride fristen for tidlig varsel på 24 timer, og forvaltere av åpen kildekode får ikke bøter for noen overtredelse.

Åpen kildekode og CRA

Fri programvare og åpen kildekode er bare omfattet når den leveres som ledd i en kommersiell aktivitet, og det å ha et prosjekt på et åpent repositorium eller i en pakkebehandler gjør det ikke i seg selv tilgjengelig på markedet. Forvaltere av åpen kildekode, juridiske personer som stiftelser som støtter prosjekter med åpen kildekode beregnet på kommersiell bruk, må ha en dokumentert cybersikkerhetspolicy, samarbeide med markedstilsynsmyndigheter og rapportere aktivt utnyttede sårbarheter i den grad de er involvert i utviklingen (artikkel 24).

For produsenter er åpen kildekode en komponent som alle andre. De må utvise tilbørlig aktsomhet når de integrerer den, rapportere sårbarheter de finner, til prosjektet som vedlikeholder den, og dele rettinger de utvikler (artikkel 13). Derfor er SBOM-en viktig: Den viser hvilke komponenter med åpen kildekode, i hvilke versjoner, som leveres i hver utgivelse.

Hva CRA betyr for utviklingsteam

Et produkt i dag består for det meste av andres kode: biblioteker med åpen kildekode, pakker hentet fra registre, base-images for containere, SDK-er fra tredjeparter og byggeverktøyene og CI/CD-pipelinene som setter dem sammen. SolarWinds-angrepet gikk gjennom et byggesystem, og Log4Shell var en sårbarhet i et mye brukt bibliotek; begge nådde ferdige produkter. CRA gjør produsenten ansvarlig for alt dette, inkludert tilbørlig aktsomhet for tredjepartskomponenter og komponenter med åpen kildekode den bygger inn (artikkel 13).

I praksis gjør team som forbereder seg på CRA, dette:

  • Vet hva som leveres i hver utgivelse, ved å produsere en SBOM fra hvert bygg i et maskinlesbart format som CycloneDX eller SPDX i stedet for én gang ved utgivelse
  • Overvåker utgitte versjoner, ikke bare hovedgrenen, fordi en sårbarhet som oppdages etter utgivelse, likevel må rettes uten opphold i støtteperioden
  • Blir enige om avhengighetspolicyer: hvordan nye komponenter velges og vurderes, hvor raskt oppdateringer kommer inn, og hvilke funn som blokkerer en utgivelse
  • Øver på 24-timersfristen: hvem som bekrefter aktiv utnyttelse, hvem som sender det tidlige varselet, og hvem som informerer brukerne
  • Samler dokumentasjon underveis, siden byggeregistreringer, SBOM-er og testresultater inngår i den tekniske dokumentasjonen som må oppbevares i minst 10 år

Kravene som et veikart steg for steg finner du i CRA-guiden. Se også hva CRA krever av en SBOM og hvordan CRACI støtter CRA-samsvar.

Cyber Resilience Act: ofte stilte spørsmål

Korte svar på det produsenter oftest lurer på om CRA

Hva er Cyber Resilience Act?

Cyber Resilience Act (CRA), forordning (EU) 2024/2847, er en EU-forordning som setter obligatoriske cybersikkerhetskrav til maskinvare- og programvareprodukter med digitale elementer som bringes i omsetning på EU-markedet. Den gjør produsenter ansvarlige for sikkerheten fra design og gjennom en støtteperiode på minst fem år, inkludert sårbarhetshåndtering, en SBOM og rapportering av aktivt utnyttede sårbarheter.

Når gjelder Cyber Resilience Act?

Den trådte i kraft 10. desember 2024. Rapporteringspliktene i artikkel 14 gjelder fra 11. september 2026, reglene om samsvarsvurderingsorganer fra 11. juni 2026 og resten av forordningen fra 11. desember 2027.

Gjelder CRA for programvare og SaaS?

Programvare som selges eller leveres som et produkt, er omfattet, blant annet apper, operativsystemer, firmware og programvarekomponenter som bringes i omsetning separat. Skytjenester er bare omfattet som fjerndatabehandling for et produkt, for eksempel skybackenden som lar deg styre en smarthjemenhet. Software as a service alene faller i stedet inn under NIS2 (fortalepunkt 12).

Gjelder CRA for programvare med åpen kildekode?

Bare åpen kildekode som leveres som ledd i en kommersiell aktivitet. Ikke-kommersielle prosjekter med åpen kildekode er utenfor virkeområdet. Forvaltere av åpen kildekode, for eksempel stiftelser som støtter prosjekter beregnet på kommersiell bruk, følger en lettere ordning og kan ikke ilegges bøter. Produsenter som bygger komponenter med åpen kildekode inn i produktene sine, er fortsatt fullt ansvarlige for dem.

Hva er rapporteringskravene i CRA?

Produsenter varsler om aktivt utnyttede sårbarheter og alvorlige hendelser gjennom Single Reporting Platform til det koordinerende CSIRT-et sitt og ENISA: et tidlig varsel innen 24 timer, et varsel innen 72 timer og en sluttrapport innen 14 dager etter en retting for sårbarheter eller innen én måned for hendelser. De informerer også berørte brukere.

Krever CRA en SBOM?

Ja. Vedlegg I del II krever en programvarestykkliste i et alminnelig brukt, maskinlesbart format som minst dekker avhengighetene på øverste nivå. Den er en del av den tekniske dokumentasjonen og gis til en markedstilsynsmyndighet på forespørsel; den trenger ikke å publiseres.

Hva er sanksjonene under CRA?

Opptil €15 millioner eller 2,5 % av global årsomsetning for brudd på de grunnleggende kravene eller produsentpliktene, opptil €10 millioner eller 2 % for andre plikter og opptil €5 millioner eller 1 % for å villede myndighetene. Mikrobedrifter og små bedrifter får ikke bøter for å overskride fristen for tidlig varsel på 24 timer.

Gjelder CRA for produkter som allerede er på markedet?

Rapporteringspliktene gjør det, fra 11. september 2026. Ellers faller produkter som ble brakt i omsetning før 11. desember 2027, inn under CRA bare hvis de endres vesentlig etter den datoen.

Få dokumentasjonen CRA-prosessen din trenger

Se hvordan CRACI registrerer SBOM-er fra byggene dine, overvåker det du har levert, og sender inn CRA-varsler på dine vegne

Book en demo Sjekk om CRA gjelder for deg