Anmäl en cybersäkerhetsincident eller en sårbarhet som tillverkare av en produkt (CRA)
Som tillverkare ska du anmäla en aktivt utnyttjad sårbarhet eller en allvarlig incident som påverkar säkerheten för produkten.
När ska du anmäla
Cyberresiliensförordningen (Cyber Resilience Act, CRA) ålägger tillverkare att anmäla aktivt utnyttjade sårbarheter och allvarliga incidenter som påverkar säkerheten för produkten.
Anmälningsskyldigheten gäller både nya produkter och produkter som redan finns på EU-marknaden.
Anmälningsskyldigheten tillämpas fr.o.m. den 11 september 2026.
Vad är en aktivt utnyttjad sårbarhet
En aktivt utnyttjad sårbarhet är en sårbarhet där en fientlig aktör har utnyttjat en svaghet i en produkt med digitala element. Anmälningsskyldigheten gäller en produkt som tillverkaren har tillhandahållit på marknaden.
Sårbarheter som upptäcks utan ont uppsåt omfattas inte av kravet på obligatorisk anmälan. En sådan situation kan t.ex. vara testning eller undersökning som utförs i god tro, såsom Bug Bounty-verksamhet.
Vad är en allvarlig incident som påverkar produktens informat-ionssäkerhet
En allvarlig incident som påverkar produktens informationssäkerhet är en händelse som påverkar produktens
- tillgänglighet
- autenticitet
- integritet eller
- konfidentialitet.
Incidenten kan till exempel uppstå i tillverkarens utvecklings-, produktions- eller underhållsprocesser.
En sådan allvarlig incident kan till exempel vara en situation där en angripare har lyckats införa skadlig kod i tillverkarens kanal för publicering av uppdateringar.
Så här anmäler du en sårbarhet eller en allvarlig incident
- Steg 1
Lämna in en tidig varning inom 24 timmar
Lämna in en tidig varning inom 24 timmar från det att du fått kännedom om en aktivt utnyttjad sårbarhet eller en allvarlig incident.
Gör anmälan via Europeiska unionens cybersäkerhetsbyrå ENISAs gemensamma rapporteringsplattform Single Reporting Platform (SRP).
Obligatoriska uppgifter i den tidiga varningen
Ange
- de medlemsstater på vars territorium du känner till att produkten har tillhandahållits
- vid anmälan om en allvarlig incident ange om du misstänker att incidenten har orsakats av olagliga eller fientliga handlingar.
- Steg 2
Lämna in en kompletterande anmälan inom 72 timmar
Lämna in en kompletterande anmälan inom 72 timmar efter att du fått kännedom om sårbarheten eller incidenten.
Gör anmälan via rapporteringsplattformen Single Reporting Platform.
Obligatoriska uppgifter i kompletterande anmälan
Ange
- allmän information om den berörda produkten, sårbarheten och utnyttjandet
- vidtagna korrigerande eller riskreducerande åtgärder
- korrigerande eller riskreducerande åtgärder som användaren kan vidta
- hur känslig du anser att den anmälda informationen är.
Obligatoriska uppgifter i den kompletterande anmälan om en allvarlig incident
Ange
- allmän information om incidentens art och en första bedömning av incidenten
- vidtagna korrigerande eller riskreducerande åtgärder
- korrigerande eller riskreducerande åtgärder som användarna kan vidta
- hur känslig du anser att den anmälda informationen är.
- Steg 3
Lämna in en slutrapport inom utsatt tid
Lämna in en slutrapport om en sårbarhet senast 14 dagar efter det att en korrigerande eller riskreducerande åtgärd blivit tillgänglig.
Lämna in en slutrapport om en allvarlig incident inom en månad efter att den kompletterande anmälan lämnats in.
Lämna in slutrapporten via rapporteringsplattformen Single Reporting Platform.
Obligatoriska uppgifter i slutrapporten om en sårbarhet
Ange
- en beskrivning av sårbarheten, inbegripet dess allvarlighetsgrad och konsekvenser
- i förekommande fall information om en fientlig aktör som har utnyttjat eller som utnyttjar sårbarheten
- detaljer om säkerhetsuppdateringen eller andra korrigerande åtgärder som har gjorts tillgängliga för att avhjälpa sårbarheten.
Obligatoriska uppgifter i slutrapporten om en allvarlig incident
Ange
- en detaljerad beskrivning av incidenten, inbegripet dess allvarlighetsgrad och konsekvenser
- den typ av hot eller grundorsak som sannolikt har utlöst incidenten
- tillämpade och pågående riskreducerande åtgärder.
Vad händer med anmälan efter att den har skickats in?
En anmälan som gjorts via Single Reporting Platform skickas till den ansvariga CSIRT-enheten. Den ansvariga CSIRT-enheten är i princip enheten i det land där anmälan görs.
Uppgifterna i anmälan förmedlas även till CSIRT-enheter i de länder där produkten tillhandahålls på marknaden.
När kan du begära att spridningen av anmälan skjuts upp
När du gör anmälan kan du begära att den ansvariga CSIRT-enheten skjuter upp spridningen av anmälan om något av följande villkor uppfylls:
- En fientlig aktör har aktivt utnyttjat den anmälda sårbarheten och enligt tillgänglig information har den utnyttjats endast i den medlemsstat där den CSIRT-enhet som utsetts till samordnare finns och till vilken du har anmält sårbarheten.
- Om informationen om den anmälda sårbarheten skulle spridas omedelbart, skulle det sannolikt leda till att information lämnades ut i strid med den berörda medlemsstatens väsentliga intressen.
- Den anmälda sårbarheten utgör en överhängande hög cybersäkerhetsrisk till följd av den fortsatta spridningen.
I dessa situationer bedömer CSIRT-enheten situationen och fattar beslut utifrån tillgängliga uppgifter.
CSIRT-enheten kan också utan särskild begäran besluta att skjuta upp spridningen av anmälan, om något av de ovannämnda villkoren uppfylls.
Läs mer
Läs vad cyberresiliensförordningen förutsätter av digitala produkter och de aktörer som släpper ut dem på EU-marknaden.