Cyberresiliensförordningen (Cyber Resilience Act, CRA)

Cyberresiliensförordningen (EU) 2024/2847 är Europeiska unionens förordning vars syfte är att förbättra cybersäkerheten i digitala produkter som släpps ut på EU-marknaden.

Uppfyllandet av CRA-kraven är i framtiden en förutsättning för att produkten kan släppas ut på EU-marknaden. 

Vilka produkter omfattas av CRA?

Aktörer som omfattas av CRA

Cyberresiliensförordningen gäller ekonomiska aktörer som släpper ut sådana produkter på EU-marknaden som omfattar digitala element. Sådana aktörer är till exempel:

• tillverkare
• importörer
• distributörer
• förvaltare av programvara med fri och öppen källkod

Om ditt företag utvecklar, tillverkar, importerar eller säljer digitala produkter på EU-marknaden, omfattas verksamheten sannolikt av cyberresiliensförordningen.

Produkter som CRA gäller

Cyberresiliensförordningen tillämpas på produkter med digitala element (products with digital elements). Detta betyder i praktiken enheter och programvara som fungerar i en digital miljö och som direkt eller indirekt kan anslutas till nätet.
Förordningen gäller bland annat följande produkter:

• smarta enheter avsedda för konsumenter, t.ex. säkerhetskameror, tv-apparater, leksaker och hushållsroutrar
• program och applikationer, t.ex. spel, text- och bildbehandlingsprogram, operativsystem, webbläsare och lösenordshanterare
• industriella och tekniska digitala system, t.ex. industriella styrsystem, uppkopplade IoT-enheter samt vissa mikroprocessorer och mikrokontroller

Fjärrbehandling av data som tillverkaren tillhandahåller i samband med IoT-enheter, t.ex. en tjänst för hantering av enheten på distans, anses som en del av produkten. En sådan lösning kan vara till exempel en molnbaserad komponent som gör det möjligt att hantera enheten eller behandla uppgifter på distans.
Akten kan också gälla molntjänster när de utgör en del av produkten eller fjärrbehandlingen. 

Produkter som inte omfattas av CRA

Förordningen tillämpas inte till exempel på:

• medicintekniska produkter
• medicintekniska produkter avsedda för in vitro-diagnostik
• vissa fordon
• marin utrustning
• certifierad utrustning inom luftfart, t.ex. luftfartyg

På dessa tillämpas redan sedan tidigare produktspecifika cybersäkerhetskrav.

Förordningen tillämpas inte heller på produkter som uteslutande är avsedda för att användas av nationell säkerhet eller försvar.

Vilka skyldigheter inför CRA för aktörer?

Cyberresiliensförordningen inför skyldigheter för aktörer som släpper ut produkter med digitala element på EU-marknaden. Skyldigheterna varierar beroende på aktörens roll och gäller bland annat att säkerställa att produkterna uppfyller cybersäkerhetskraven samt att rapportera information om sårbarheter hos produkter.

När tillämpas bestämmelserna i CRA?

Centrala datum för cyberresiliensförordningen

10.12.2024 – Förordningen träder i kraft

Cyberresiliensförordningen trädde i kraft i EU. Från detta datum börjar övergångsperioden innan skyldigheterna ska tillämpas.

11.6.2026 – Tillämpningen av bestämmelser för anmälda organ börjar

11.9.2026 – Skyldigheten att anmäla sårbarheter börjar

Tillverkarna ska aktivt anmäla utnyttjade sårbarheter och allvarliga informationssäkerhetsincidenter till myndigheter. Skyldigheten gäller både nya produkter och produkter som redan finns på EU-marknaden.

11.12.2027 – Tillämpningen av bestämmelserna om cybersäkerhetskrav och bedömning av överensstämmelse börjar

De väsentliga cybersäkerhetskraven tillämpas på produkter som släpps ut på EU-marknaden från och med den 11 december 2027.

Anmälan om informationssäkerhetsincidenter och sårbarheter i produkten

Artikel 14 i CRA ålägger tillverkare att anmäla myndigheter aktivt utnyttjade sårbarheter och allvarliga incidenter som utnyttjats aktivt i sina produkter och som påverkar produktens säkerhet. Anmälningsskyldigheten gäller alla produkter som omfattas av CRAs tillämpningsområde.

Anmälningsskyldigheten börjar när tillverkaren får information om saken. En förhandsanmälan ska göras om en aktivt utnyttjad sårbarhet eller en allvarlig incident inom 24 timmar. Därefter ska en sårbarhetsanmälan eller incidentanmälan som innehåller närmare uppgifter lämnas in inom 72 timmar från det att incidenten upptäcktes. En kompletterande slutrapport om sårbarheten och incidenten skickas senare.

Anmälningarna görs via Europeiska unionens cybersäkerhetsbyrå ENISAs centrala rapporteringsplattform Single Reporting Platform (SRP).

Efter att ha fått kännedom om en aktivt utnyttjad sårbarhet eller en allvarlig incident ska tillverkaren utan dröjsmål underrätta de drabbade användarna av produkten, och när så är lämpligt alla användare av produkten, om sårbarheten eller den allvarliga incidenten.  Informationen ska vid behov innehålla åtgärder som användarna kan vidta för att minska risken eller begränsa konsekvenserna av sårbarheten eller incidenten. Beroende på situationen ska informationen även skickas i maskinläsbart format.

Om tillverkaren inte informerar användarna tillräckligt snabbt kan CSIRT som samordnare i vissa situationer själv förmedla informationen till användare, om det är proportionellt och nödvändigt för att förebygga eller begränsa en sårbarhet eller incident.

Syftet med artikeln är att säkerställa att betydande cybersäkerhetshot snabbt kommer till myndigheternas och vid behov även användarnas kännedom samt att man kan reagera effektivt på dem i hela EU.

• Anmäl en cybersäkerhetsincident eller en sårbarhet som tillverkare av en produkt

Vilka krav ställer CRA på produkter?

Tillverkare ska säkerställa att produkten planeras, utvecklas och produceras i enlighet med de väsentliga cybersäkerhetskraven som uppställs i cyberresiliensförordningen (CRA). Kraven gäller både produktens tekniska egenskaper och tillverkarens skyldigheter att kontrollera sårbarheter och tillhandahålla säkerhetsuppdateringar under produktens livscykel.

Det närmare innehållet i kraven finns i artikel 13 i cyberresiliensförordningen och i bilaga I. Överensstämmelse med kraven påvisas med CE-märkningen.

De väsentliga cybersäkerhetskraven tillämpas på produkter som släpps ut på EU-marknaden från och med den 11 december 2027. Utsläppande på marknaden betyder att en produkt kommer ut på EU-marknaden för första gången.

De väsentliga cybersäkerhetskraven genomförs baserat på riskerna. Dessa är till exempel:

• säker standardkonfiguration och automatiska säkerhetsuppdateringar
• skydd mot obehörig åtkomst
• konfidentiell behandling av uppgifter och dataminimering
• skydd av centrala funktioner

Närmare innehållet för kraven preciseras i harmoniserade standarder och tekniska specifikationer. De harmoniserade standarderna publiceras när de färdigställs i EU:s officiella tidning.

Hur bedöms kraven på överensstämmelse?

Innan en produkt kan släppas ut på EU-marknaden ska tillverkaren visa att produkten uppfyller de väsentliga cybersäkerhetskraven i cyberresiliensförordningen. Detta kallas för bedömning av överensstämmelse.

Bedömningsförfarandet beror på produktens kategori. I de flesta fall kan tillverkaren själv bedöma överensstämmelsen, men i vissa fall medverkar ett anmält organ (notified body) i bedömningen.

Hitta den produktkategori som motsvarar din egen produkt i listan nedan för att se vilket bedömningsförfarande som ska tillämpas.

CRA:s produktkategorier

Traficoms uppgifter vid genomförande av cyberresiliensförordningen

I Finland svarar Traficom för de myndighetsuppgifter som har samband med cyberresiliensförordningen och för tillsynen över att den iakttas.

Våra uppgifter omfattar t.ex. att:

• vara en marknadskontrollmyndighet för cyberresiliensförordningen
• övervaka anmälda organ som deltar i bedömningen av överensstämmelse hos produkter
• behandla tillverkarnas anmälningar om aktivt utnyttjade sårbarheter och om allvarliga informationssäkerhetsincidenter
• samarbeta med Europeiska kommissionen och myndigheter i andra EU-länder vid genomförandet av förordningen
• ge råd till företag och andra aktörer i frågor som gäller tillämpningen av förordningen

• Kontakta oss i frågor som gäller cyberresiliensakten Ulkoinen verkkopalvelu.