Vanliga frågor och svar om Cyber Resilience Act
Hur kan vi hjälpa dig med Cyber Resilience Act?
EU Cyber Resilience Act
- Vad är EU Cyber Resilience Act?
EU Cyber Resilience Act (CRA) är en EU förordning med syfte att stärka kraven på säkerhet i de produkter med digitala komponenter (mjukvara) som vi använder. Att det är en EU förordning innebär att den gäller inom hela EU direkt utan att behöva anpassas av respektive EU-land.
- Vilka produkter omfattas av Cyber Resilience Act?
De produkter som omfattas är alla produkter med digitala komponenter (mjukvara), enligt definitionen. Det innebär fysiska produkter som innehåller mjukvara men också rena mjukvaruprodukter som installeras som en app i en telefon eller som ett program på en dator. Om produkten pratar med en backend, via t.ex ett API, så är den också inkluderad i CRA kraven.
- När börjar Cyber Resilience Act gälla?
Den träder i kraft i två steg, där den första delen “Rapporteringsskyldigheter” händer nu i September 2026 och resterande fullständiga krav i December 2027.
Första delen, “Rapporteringsskyldigheter” i September 2026 innebär att:- Ni ska rapportera till EU myndigheter (ENISA) inom 24 timmar efter att ni fått kännedom om att användare av er produkt/produkter drabbas av sårbarheter som utnyttjas eller att ni drabbas av en säkerhetsincident kopplat till produkten.
- Inom 72 timmar ska en fullständig rapport vara inlämnad med
- Ni bör också ha förmågan att erbjuda en uppdaterad version av er produkt där den utnyttjade sårbarheten är åtgärdad.
Den andra stora delen i December 2027 innebär att alla era produkter med digitala komponenter ska uppfylla samtliga krav i CRA:
Essential requirement (13 st)
Vulnerability handling (8 st)
Baserat på den “cybersecurity risk assessment” ni har genomfört för varje produkt så implementerar ni de krav som ni anser vara relevanta.
- Hur påverkar CRA mjukvaruutveckling?
CRA påverkar egentligen inte mjukvaruutveckling annat än att man behöver visa att man har en fungerande process för säker utveckling och att det finns dokumentation som bevisar att man jobbar som man har sagt. För varje release ska ni sparar dessa “bevis” tillsammans med en Software Bill of Materials (SBOM) som listar de ingående open-source/tredjeparts-komponenter som finns i produkten.
- Hur påverkar CRA SaaS-leverantörer?
Begränsad direkt påverkan (då fokus är på produkter). Men om en SaaS-lösning används som backend till SaaS-bolagets egen produkt med digitala komponenter så kommer SaaS-delen vara inkluderad.
- Hur kan företag förbereda sig för CRA?
Införa säker utvecklingsprocesser, inventera komponenter (SBOM), förbättra patchning och skapa rutiner för sårbarhetshantering
Bestämma produktens livslängd (minimum 5 år) vilket blir den tid då ni måste tillhandahålla säkerhetsuppdateringar.
För er egen och era användares skull bör ni se till så att produkten enkelt och automatiskt kan uppdateras.
Automatiserade bygg- och deploy-flöden för att skapa SBOM och bevis för att produkten inte har några kända sårbarheter som går att utnyttja.