På den här sidan
Kraven i Cyber Resilience Act gäller fullt ut från den 11 december 2027. De flesta finns i bilaga I till förordningen och delas in i två delar: krav på själva produkten och krav på hur tillverkaren hanterar sårbarheter.
Produkter med digitala element - vad är det?
Hårdvara och programvara vars användning inkluderar en direkt eller indirekt anslutning till en annan enhet eller ett nätverk. Det omfattar till exempel uppkopplade hushållsapparater, smarta lås, industriella styrsystem, routrar, mobilappar och fristående programvara, liksom fjärrdatabehandling som krävs för att produkten ska fungera. Fristående molntjänster (SaaS) omfattas i regel inte av CRA utan av NIS2.
Grundläggande cybersäkerhetskrav
Produkten ska utformas, utvecklas och tillverkas för en lämplig cybersäkerhetsnivå utifrån riskerna. Det innebär bland annat:
- Inga kända utnyttjbara sårbarheter när produkten släpps ut.
- Säker standardkonfiguration, med möjlighet att återställa produkten.
- Skydd mot obehörig åtkomst genom lämplig autentisering och behörighetsstyrning.
- Skydd av lagrade och överförda data, till exempel med kryptering.
- Minimering av data och av attackytan.
- Säkerhetsuppdateringar, där det går automatiskt som standard och med möjlighet att välja bort.
- Loggning av säkerhetsrelevanta händelser.
Sårbarhetshantering och supportperiod
Tillverkaren ska hantera sårbarheter under hela supportperioden, som ska vara minst fem år om produkten inte förväntas användas kortare tid. Det innebär bland annat:
- En programvaruförteckning (SBOM) som åtminstone omfattar produktens beroenden på högsta nivån.
- Regelbunden testning och åtgärd av sårbarheter utan dröjsmål, med kostnadsfria säkerhetsuppdateringar.
- En policy för samordnat offentliggörande av sårbarheter och en kontaktadress för rapporter.
- Rapportering av aktivt utnyttjade sårbarheter och allvarliga incidenter (gäller sedan 11 september 2026).
Teknisk dokumentation och CE-märkning
Innan produkten släpps ut ska tillverkaren göra en riskbedömning, ta fram teknisk dokumentation, genomföra en bedömning av överensstämmelse, upprätta en EU-försäkran om överensstämmelse och CE-märka produkten. Dokumentationen och försäkran ska sparas i minst tio år efter att produkten släppts ut, eller under supportperioden om den är längre. Användarna ska få information om bland annat när supportperioden tar slut och hur produkten används säkert.
Standard, viktig och kritisk produkt
Kategorin avgör hur överensstämmelsen ska bedömas:
- Standard - de flesta produkter. Tillverkaren kan göra en egen bedömning.
- Viktig klass I (bilaga III), till exempel lösenordshanterare, VPN och routrar - egen bedömning räcker om harmoniserade standarder tillämpas fullt ut, annars krävs ett anmält organ.
- Viktig klass II (bilaga III), till exempel brandväggar och system för intrångsdetektering - kräver bedömning av ett anmält organ.
- Kritisk (bilaga IV), till exempel smartkort och hårdvaruenheter med säkerhetsboxar - kan kräva europeisk cybersäkerhetscertifiering.
Importörer och distributörer
En importör får bara släppa ut produkter som uppfyller kraven och ska kontrollera att tillverkaren gjort bedömningen, tagit fram dokumentationen och CE-märkt produkten. En distributör ska kontrollera CE-märkning och att information och instruktioner följer med. Den som säljer en produkt under eget namn, eller gör en väsentlig ändring av den, räknas som tillverkare och får tillverkarens skyldigheter.
Öppen källkod
Fri programvara med öppen källkod som utvecklas eller tillhandahålls utan kommersiell verksamhet omfattas inte. Den som integrerar öppen källkod i en kommersiell produkt ansvarar däremot för hela produkten, inklusive komponenterna, och ska iaktta tillbörlig aktsamhet vid valet av dem. Stiftelser och liknande som stödjer kommersiellt använd öppen källkod kan få den nya, lättare rollen förvaltare av öppen källkod.
Vill ni se det med er egen verksamhet?
Att komma igång som kund tar några minuter. Ni väljer regelverk, svarar i den takt ni hinner och bygger efterlevnaden steg för steg - utan konsultarvode.