123% fler rapporterade CVE:er per dag 2026 än förra året.

Vad är Cyber Resilience Act?

EU-lagen som sätter cybersäkerhetsregler för maskinvaru- och programvaruprodukter, och vad den kräver av företagen som tillverkar dem

Cyber Resilience Act (CRA), förordning (EU) 2024/2847, är en EU-förordning som ställer obligatoriska cybersäkerhetskrav på produkter med digitala element: maskinvara och programvara som ansluter till en enhet eller ett nätverk, från routrar och smarta hem-enheter till appar, operativsystem och programvarukomponenter som säljs separat. Den trädde i kraft den 10 december 2024. Tillverkare har varit skyldiga att rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter sedan den 11 september 2026, och resten av förordningen gäller från den 11 december 2027.

Tillverkarna bär de flesta skyldigheterna. De bedömer cybersäkerhetsrisken, bygger produkter enligt de väsentliga kraven i bilaga I, håller en programvaruförteckning (SBOM), hanterar sårbarheter under en supportperiod på minst fem år, klarar en bedömning av överensstämmelse och anbringar CE-märkningen. Importörer och distributörer kontrollerar att detta har gjorts. Böterna når €15 miljoner eller 2,5 % av den globala årsomsättningen.

CRACI automatiserar en betydande del av de bevis som dessa skyldigheter kräver: den registrerar komponenterna som varje bygge drar in som en SBOM, kontrollerar dem på nytt mot nya sårbarheter efter leverans och exporterar revisionsbevis till din tekniska dokumentation. När en sårbarhet måste rapporteras lämnar CRACI in CRA-anmälningarna till myndigheterna för din räkning. Se hur CRACI stöder CRA-efterlevnad.

What the Cyber Resilience Act asks manufacturers to do

Tillämpningsområdet för förordning (EU) 2024/2847, datumen då den börjar gälla, rapporteringsfristerna och var skyldigheterna för SBOM och sårbarhetshantering finns.

Petteri Pulkkinen och Erika Marttinen på Kubernetes Community Days Helsinki 2026, 8:03 till 15:20 av SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.

Viktiga datum

DatumVad som händer
23 oktober 2024 Förordning (EU) 2024/2847 antas av Europaparlamentet och rådet
20 november 2024 Publiceras i Europeiska unionens officiella tidning
10 december 2024 Träder i kraft
11 juni 2026 Reglerna om anmälan av organ för bedömning av överensstämmelse (kapitel IV) börjar gälla
11 september 2026 Rapporteringen av aktivt utnyttjade sårbarheter och allvarliga incidenter (artikel 14) börjar gälla, även för produkter som redan finns på marknaden
11 december 2027 Resten av förordningen börjar gälla

Viktiga delar av CRA

Obligatoriska säkerhetskrav

Produkter måste uppfylla de väsentliga cybersäkerhetskraven i bilaga I när de släpps ut på marknaden och under hela supportperioden.

Riskbaserad klassificering

De flesta produkter tillhör standardkategorin. Viktiga och kritiska produkter har strängare vägar för bedömning av överensstämmelse.

Sårbarhetshantering

Tillverkare håller en SBOM, åtgärdar sårbarheter utan dröjsmål och rapporterar aktivt utnyttjade sårbarheter inom 24 timmar.

CE-märkning

Efter en bedömning av överensstämmelse undertecknar tillverkaren en EU-försäkran om överensstämmelse och anbringar CE-märkningen.

Dokumentation och transparens

Teknisk dokumentation sparas i minst 10 år eller under supportperioden, och användarna får veta när supporten upphör.

Marknadskontroll

Nationella myndigheter kan begära dokumentation, besluta om korrigerande åtgärder eller återkallelser och utfärda böter.

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

Vilka berörs av CRA?

Tillverkare

Alla som utvecklar eller tillverkar en produkt med digitala element, eller låter tillverka en, och marknadsför den under eget namn eller varumärke, mot betalning eller kostnadsfritt. Tillverkare utanför EU omfattas när de säljer till EU.

Importörer och distributörer

Importörer och distributörer måste kontrollera att en produkt har CE-märkning och att tillverkaren har uppfyllt sina skyldigheter innan de tillhandahåller den i EU.

Programvara med öppen källkod

Bara öppen källkod som tillhandahålls inom ramen för en kommersiell verksamhet omfattas. Förvaltare av programvara med öppen källkod följer en förenklad ordning, och tillverkare förblir ansvariga för de open source-komponenter de bygger in.

Leverantörer av programvara och SaaS

Programvara som säljs som en produkt omfattas, liksom molnbackenden som en produkt behöver för att fungera. Programvara som en tjänst faller i sig under NIS2 i stället för CRA.

Utanför tillämpningsområdet: produkter som redan regleras av EU:s regler om medicintekniska produkter, medicintekniska produkter för in vitro-diagnostik och typgodkännande av fordon, certifierade luftfartsprodukter, marin utrustning, identiska reservdelar och produkter som tagits fram uteslutande för nationell säkerhet eller försvar (artikel 2).

Produktkategorier och bedömning av överensstämmelse

Varje tillverkare genomför en bedömning av överensstämmelse innan en produkt släpps ut på marknaden. Vägen beror på produktens kategori.

KategoriExempelBedömning av överensstämmelse
Standard De flesta produkter med digitala element som inte listas i bilaga III eller IV Självbedömning (intern kontroll) är tillåten
Viktig, klass I (bilaga III) Identitets- och åtkomsthantering, webbläsare, lösenordshanterare, VPN, operativsystem, routrar och switchar, säkerhetsprodukter för smarta hem Självbedömning endast när harmoniserade standarder, gemensamma specifikationer eller en certifieringsordning tillämpas; annars ett anmält organ
Viktig, klass II (bilaga III) Hypervisorer och containerkörmiljöer, brandväggar och system för intrångsdetektering, manipuleringssäkra mikroprocessorer och mikrokontroller Tredjepartsbedömning av ett anmält organ, eller en europeisk ordning för cybersäkerhetscertifiering
Kritisk (bilaga IV) Maskinvaruenheter med säkerhetsboxar, gateways för smarta mätare, smartkort och säkra element Ett europeiskt cybersäkerhetscertifikat där kommissionen kräver det; annars tredjepartsbedömning

Väsentliga krav

Bilaga I ställer två grupper av väsentliga krav. Den första gäller själva produkten, utifrån en dokumenterad cybersäkerhetsriskbedömning:

  • Inga kända sårbarheter som går att utnyttja när produkten släpps ut på marknaden
  • En konfiguration som är säker som standard
  • Säkerhetsuppdateringar, automatiska som standard där det är tillämpligt
  • Skydd mot obehörig åtkomst och av uppgifters konfidentialitet och integritet
  • Uppgiftsminimering, tillgänglighet för väsentliga funktioner och en begränsad angreppsyta
  • Säker och permanent borttagning av användardata och inställningar

Den andra gäller hur tillverkaren hanterar sårbarheter:

  • En SBOM som omfattar åtminstone beroenden på högsta nivå
  • Åtgärd av sårbarheter utan dröjsmål, med säkerhetsuppdateringar åtskilda från funktionsuppdateringar där det är möjligt
  • Regelbunden säkerhetstestning och granskning
  • En policy för samordnat offentliggörande av sårbarheter och en kontaktpunkt för att rapportera sårbarheter
  • Offentliggörande av åtgärdade sårbarheter när en uppdatering finns tillgänglig
  • Säker och kostnadsfri distribution av uppdateringar, med informationsmeddelanden

Tillverkare fastställer också en supportperiod på minst fem år, om produkten inte förväntas användas kortare tid, håller varje säkerhetsuppdatering tillgänglig i minst 10 år och sparar den tekniska dokumentationen och EU-försäkran om överensstämmelse i minst 10 år eller under supportperioden, beroende på vilken som är längst (artikel 13).

Rapporteringsskyldigheter och tidsfrister

Sedan den 11 september 2026 anmäler tillverkare aktivt utnyttjade sårbarheter och allvarliga incidenter via den gemensamma rapporteringsplattformen, till det CSIRT som utsetts till samordnare i deras huvudsakliga EU-medlemsstat och samtidigt till ENISA (artikel 14). Det gäller även produkter som redan finns på marknaden.

StegAktivt utnyttjad sårbarhetAllvarlig incident
Tidig varning Inom 24 timmar från att du fått kännedom Inom 24 timmar från att du fått kännedom
Anmälan Inom 72 timmar, med uppgifter om produkten, utnyttjandet och eventuella begränsande åtgärder Inom 72 timmar, med en första bedömning och eventuella begränsande åtgärder
Slutrapport Senast 14 dagar efter att en korrigerande eller begränsande åtgärd finns tillgänglig Inom en månad från anmälan av incidenten

Tillverkare måste också informera berörda användare, och vid behov alla användare, om begränsande åtgärder de kan vidta. Att klara en tidsfrist på 24 timmar förutsätter att du inom några timmar vet vilka produkter och releaser som innehåller den sårbara komponenten, och det är vad en SBOM per release är till för.

Påföljder

Medlemsstaterna fastställer påföljderna, inom dessa maxbelopp (artikel 64). Marknadskontrollmyndigheter kan också besluta om korrigerande åtgärder eller om att en produkt ska dras tillbaka eller återkallas.

ÖverträdelseHögsta administrativa böter
Väsentliga cybersäkerhetskrav (bilaga I) och tillverkarens skyldigheter (artiklarna 13 och 14) Upp till €15 miljoner eller 2,5 % av den totala globala årsomsättningen, beroende på vilket belopp som är högst
Andra skyldigheter, inklusive importörers och distributörers, försäkran om överensstämmelse, CE-märkning, teknisk dokumentation och bedömning av överensstämmelse Upp till €10 miljoner eller 2 % av den totala globala årsomsättningen, beroende på vilket belopp som är högst
Felaktig, ofullständig eller vilseledande information till anmälda organ eller marknadskontrollmyndigheter Upp till €5 miljoner eller 1 % av den totala globala årsomsättningen, beroende på vilket belopp som är högst

Mikroföretag och småföretag får inga böter för att missa tidsfristen på 24 timmar för tidig varning, och förvaltare av programvara med öppen källkod får inga böter för någon överträdelse.

Öppen källkod och CRA

Fri programvara och programvara med öppen källkod omfattas bara när den tillhandahålls inom ramen för en kommersiell verksamhet, och att ett projekt ligger i ett öppet repo eller en pakethanterare innebär inte i sig att det tillhandahålls på marknaden. Förvaltare av programvara med öppen källkod, juridiska personer som stiftelser som stöder open source-projekt avsedda för kommersiell användning, måste ha en dokumenterad cybersäkerhetspolicy, samarbeta med marknadskontrollmyndigheter och rapportera aktivt utnyttjade sårbarheter i den mån de deltar i utvecklingen (artikel 24).

För tillverkare är öppen källkod en komponent som alla andra. De måste iaktta tillbörlig aktsamhet när de integrerar den, rapportera sårbarheter de hittar till projektet som underhåller den och dela åtgärder de tar fram (artikel 13). Därför spelar SBOM:en roll: den är registreringen av vilka open source-komponenter, i vilka versioner, som levereras i varje release.

Vad CRA betyder för utvecklingsteam

En produkt i dag består till största delen av andras kod: open source-bibliotek, paket från register, basavbilder för containrar, tredjeparts-SDK:er samt byggverktygen och CI/CD-pipelines som sätter ihop dem. Attacken mot SolarWinds gick genom ett byggsystem, och Log4Shell var en sårbarhet i ett allmänt använt bibliotek; båda nådde färdiga produkter. CRA gör tillverkaren ansvarig för allt detta, inklusive tillbörlig aktsamhet för de tredjeparts- och open source-komponenter den bygger in (artikel 13).

I praktiken gör team som förbereder sig för CRA följande:

  • Vet vad som levereras i varje release, genom att ta fram en SBOM från varje bygge i ett maskinläsbart format som CycloneDX eller SPDX i stället för en gång vid release
  • Bevakar släppta versioner, inte bara huvudgrenen, eftersom en sårbarhet som hittas efter release ändå måste åtgärdas utan dröjsmål under supportperioden
  • Kommer överens om beroendepolicyer: hur nya komponenter väljs och granskas, hur snabbt uppdateringar tas in och vilka fynd som blockerar en release
  • Övar på 24-timmarsrapporteringen: vem som bekräftar aktivt utnyttjande, vem som lämnar in den tidiga varningen och vem som informerar användarna
  • Samlar bevis längs vägen, eftersom byggregistreringar, SBOM:er och testresultat matar den tekniska dokumentationen som måste sparas i minst 10 år

För kraven som en färdplan steg för steg, se CRA-guiden. Se också vad CRA kräver av en SBOM och hur CRACI stöder CRA-efterlevnad.

Vanliga frågor om Cyber Resilience Act

Korta svar på de frågor tillverkare oftast ställer om CRA

Vad är Cyber Resilience Act?

Cyber Resilience Act (CRA), förordning (EU) 2024/2847, är en EU-förordning som ställer obligatoriska cybersäkerhetskrav på maskinvaru- och programvaruprodukter med digitala element som släpps ut på EU-marknaden. Den gör tillverkare ansvariga för säkerheten från design till en supportperiod på minst fem år, inklusive sårbarhetshantering, en SBOM och rapportering av aktivt utnyttjade sårbarheter.

När gäller Cyber Resilience Act?

Den trädde i kraft den 10 december 2024. Rapporteringsskyldigheterna i artikel 14 gäller från den 11 september 2026, reglerna om organ för bedömning av överensstämmelse från den 11 juni 2026 och resten av förordningen från den 11 december 2027.

Gäller CRA programvara och SaaS?

Programvara som säljs eller tillhandahålls som en produkt omfattas, inklusive appar, operativsystem, firmware och programvarukomponenter som släpps ut på marknaden separat. Molntjänster omfattas bara som en produkts databehandling på distans, till exempel molnbackenden som låter dig styra en smart hem-enhet. Programvara som en tjänst faller i sig under NIS2 i stället (skäl 12).

Gäller CRA programvara med öppen källkod?

Bara öppen källkod som tillhandahålls inom ramen för en kommersiell verksamhet. Icke-kommersiella open source-projekt ligger utanför tillämpningsområdet. Förvaltare av programvara med öppen källkod, till exempel stiftelser som stöder projekt avsedda för kommersiell användning, följer en förenklad ordning och kan inte få böter. Tillverkare som bygger in open source-komponenter i sina produkter förblir fullt ansvariga för dem.

Vilka är CRA:s rapporteringskrav?

Tillverkare anmäler aktivt utnyttjade sårbarheter och allvarliga incidenter via den gemensamma rapporteringsplattformen till sitt samordnande CSIRT och ENISA: en tidig varning inom 24 timmar, en anmälan inom 72 timmar och en slutrapport inom 14 dagar från en åtgärd för sårbarheter eller inom en månad för incidenter. De informerar också berörda användare.

Kräver CRA en SBOM?

Ja. Bilaga I, del II kräver en programvaruförteckning i ett allmänt använt, maskinläsbart format som omfattar åtminstone beroenden på högsta nivå. Den ingår i den tekniska dokumentationen och lämnas till en marknadskontrollmyndighet på begäran; den behöver inte publiceras.

Vilka är påföljderna enligt CRA?

Upp till €15 miljoner eller 2,5 % av den globala årsomsättningen för brott mot de väsentliga kraven eller tillverkarens skyldigheter, upp till €10 miljoner eller 2 % för andra skyldigheter och upp till €5 miljoner eller 1 % för att vilseleda myndigheter. Mikroföretag och småföretag får inga böter för att missa tidsfristen på 24 timmar för tidig varning.

Gäller CRA produkter som redan finns på marknaden?

Rapporteringsskyldigheterna gör det, från den 11 september 2026. I övrigt omfattas produkter som släppts ut på marknaden före den 11 december 2027 av CRA bara om de ändras väsentligt efter det datumet.

Få underlaget som din CRA-process behöver

Se hur CRACI registrerar SBOM:er från dina byggen, bevakar det du har levererat och lämnar in CRA-anmälningar för din räkning

Boka en demo Kontrollera om CRA gäller dig