Guide till Cyber Resilience Act
En praktisk färdplan för teamen som bygger produkter med digitala element: vad du ska göra, vem som äger det och vilket underlag du ska spara. För vad lagen säger, läs vad Cyber Resilience Act är.
Senast uppdaterad 15 oktober 2026
What the Cyber Resilience Act asks manufacturers to do
Tillämpningsområdet för förordning (EU) 2024/2847, datumen då den börjar gälla, rapporteringsfristerna och var skyldigheterna för SBOM och sårbarhetshantering finns.
Petteri Pulkkinen och Erika Marttinen på Kubernetes Community Days Helsinki 2026, 8:03 till 15:20 av SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.
Stegen löper ungefär i ordning, men steg 5 till 8 är viktigast först för produkter som redan finns på marknaden, eftersom rapporteringen gäller för dem nu.
Lista varje produkt med digitala element som du tillhandahåller i EU, inklusive programvara som säljs separat och de molnbackender som produkter behöver för att fungera. Bekräfta för varje produkt att den inte är undantagen (medicintekniska produkter, fordon, luftfart, marin utrustning, försvar) och om du är dess tillverkare, importör eller distributör.
Kontrollera en produkt med CRA Checker →De flesta produkter tillhör standardkategorin. Jämför dina med listorna över viktiga (bilaga III) och kritiska (bilaga IV) produkter; genomförandeförordning (EU) 2025/2392 ger deras tekniska beskrivningar. Kategorin avgör om du får göra en självbedömning eller behöver ett anmält organ eller en certifiering.
Skriv en cybersäkerhetsriskbedömning för varje produkt. Den avgör hur de väsentliga kraven i bilaga I tillämpas och hör hemma i den tekniska dokumentationen. Uppdatera den när produkten eller hoten förändras.
Bestäm hur länge du hanterar sårbarheter för varje produkt: minst fem år, om produkten inte förväntas användas kortare tid. Tala om för användarna när supporten upphör, och håll varje säkerhetsuppdatering tillgänglig i minst 10 år.
CRA kräver en programvaruförteckning i ett vanligt, maskinläsbart format som täcker åtminstone beroendena på högsta nivån. Att generera den i bygget som producerar releasen, i stället för en gång för hand, håller den trogen det som levererades.
Var CRACI passar in: CRACI registrerar SBOM:en medan varje bygge körs, inklusive transitiva beroenden och paket som återställs från cachar, och exporterar den som CycloneDX eller SPDX.
Bevaka släppta versioner, inte bara huvudgrenen, mot nya sårbarheter under hela supportperioden. Åtgärda dem utan dröjsmål, leverera säkerhetsuppdateringar kostnadsfritt och, där det är möjligt, separat från funktionsuppdateringar.
Var CRACI passar in: CRACI kontrollerar bevakade SBOM:er på nytt mot nya sårbarheter efter leverans, och säkerhetsteam triagerar fynd och skickar dem till teamen som äger åtgärden. Policykontroller kan blockera ett bygge utifrån fynd.
Ge forskare och kunder en kontakt för att rapportera sårbarheter och en policy för samordnat offentliggörande av sårbarheter. När en uppdatering finns tillgänglig, publicera information om sårbarheterna den åtgärdar.
Sedan den 11 september 2026 kräver en aktivt utnyttjad sårbarhet eller allvarlig incident en tidig varning inom 24 timmar, en anmälan inom 72 timmar och en slutrapport, via den gemensamma rapporteringsplattformen. Utse vem som bekräftar aktivt utnyttjande, vem som lämnar in och vem som informerar användarna. Det svåra är att inom några timmar veta vilka produkter och releaser som innehåller den sårbara komponenten.
Var CRACI passar in: CRACI:s bygghistorik visar vilka byggen som innehöll ett sårbart beroende, inventarievyn visar vilka versioner som är driftsatta i vilka produkter, och CRACI skickar in CRA-anmälningarna för din räkning.
Leverera utan kända sårbarheter som går att utnyttja och med en säker standardkonfiguration, skydda data och åtkomst, begränsa angreppsytan och gör säkerhetsuppdateringar möjliga, automatiska som standard där det är tillämpligt. Testa och granska säkerheten regelbundet.
Var CRACI passar in: CRACI tillämpar en egress-policy för vad byggen får ladda ned, och policykontroller kan blockera ett bygge utifrån fynd.
Samla den tekniska dokumentationen som beskrivs i bilaga VII, genomför bedömningen av överensstämmelse för din kategori, upprätta EU-försäkran om överensstämmelse och anbringa CE-märkningen. Spara dokumentationen och försäkran i minst 10 år eller under supportperioden, beroende på vilken som är längst.
Var CRACI passar in: CRACI exporterar SBOM:er som CycloneDX eller SPDX, inklusive sårbarheterna som hittats i deras komponenter, och API:t returnerar SBOM:er, nätverksspårningar och proveniens för din tekniska dokumentation. Bedömningen och försäkran är fortfarande din process.
Marknadskontrollmyndigheter kan begära din tekniska dokumentation. Det här är vad varje krav lämnar efter sig, och var CRACI registrerar det från dina byggen.
| Krav | Var | Underlag att spara | Från CRACI |
|---|---|---|---|
| Cybersäkerhetsriskbedömning | Artikel 13, bilaga I | Dokumenterad bedömning per produkt | Din process |
| Inga kända sårbarheter som går att utnyttja vid release | Bilaga I, del I | Releasebyggets sårbarhetsstatus | Releasebyggets SBOM kontrolleras mot säkerhetsmeddelanden; policykontroller |
| Programvaruförteckning | Bilaga I, del II | Maskinläsbar SBOM per release | Registreras från varje bygge, CycloneDX eller SPDX |
| Sårbarhetshantering under supportperioden | Artikel 13, bilaga I, del II | Fynd, triagebeslut, rättningar, säkerhetsmeddelanden | Löpande omvärdering, triage, VEX |
| Tillbörlig aktsamhet för tredjepartskomponenter | Artikel 13 | Komponentregister, inklusive inköpt programvara | Leverantörers SBOM:er bevakas tillsammans med dina egna; deklarerade licenser |
| Rapportering av utnyttjade sårbarheter och allvarliga incidenter | Artikel 14 | Tidiga varningar, anmälningar, slutrapporter | Skickar in anmälningarna för din räkning |
| Supportperiod | Artikel 13 | Publicerat datum för supportens slut | Din process |
| Teknisk dokumentation och försäkran | Artikel 13, bilaga VII | Sparas i 10 år eller under supportperioden | SBOM-export och API-data för dokumentationen |
Cyber Resilience Act
Använd den här checklistan för att fördela ansvar och samla underlag medan du förbereder produkter med digitala element för CRA.
Praktiska frågor som team ställer när de börjar med CRA
Uppfylla de väsentliga kraven i bilaga I utifrån en cybersäkerhetsriskbedömning, hålla en SBOM, hantera sårbarheter under en supportperiod på minst fem år, rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter, spara teknisk dokumentation, klara en bedömning av överensstämmelse och anbringa CE-märkningen.
Med tillämpningsområde och rapportering. Ta reda på vilka produkter CRA omfattar och se sedan till att ni skulle klara den tidiga varningen inom 24 timmar för en aktivt utnyttjad sårbarhet, eftersom rapporteringen gäller sedan den 11 september 2026, även för produkter som redan finns på marknaden. Resten gäller från den 11 december 2027.
Bilaga VII listar det. Den omfattar produktens cybersäkerhetsriskbedömning, SBOM:en och information om hur tillverkaren hanterar sårbarheter. Den sparas i minst 10 år eller under supportperioden, beroende på vilken som är längst, och lämnas till marknadskontrollmyndigheter på begäran.
Nej. SBOM:en ingår i den tekniska dokumentationen och lämnas till en marknadskontrollmyndighet på begäran. Förordningen kräver inte att den publiceras.
Ja. Den 27 juli 2026 publicerade Europeiska kommissionen icke-bindande vägledning, C(2026) 5252, med 67 praktiska exempel. Den tar upp databehandling på distans, fri programvara och öppen källkod, väsentlig ändring, supportperioder, rapportering och riskbedömning. Genomförandeförordning (EU) 2025/2392 beskriver kategorierna för viktiga och kritiska produkter.
Skyldigheterna är desamma, men mikroföretag och små företag får inga böter för att missa tidsfristen på 24 timmar för tidig varning, och kommissionens vägledning är skriven med mikroföretag och små och medelstora företag i åtanke.
Nej. Att uppfylla CRA är tillverkarens process, inklusive riskbedömningen, bedömningen av överensstämmelse och försäkran. CRACI automatiserar en betydande del av insynen i leveranskedjan och underlaget som processen behöver: SBOM:er från varje bygge, sårbarhetsuppföljning efter release och CRA-anmälningarna.
Se hur CRACI registrerar en SBOM från varje bygge, bevakar det du har levererat och skickar in CRA-anmälningar för din räkning