På den här sidan
Rapporteringsskyldigheten i artikel 14 är den första delen av CRA som riktar sig direkt till tillverkare. Den gäller alla produkter med digitala element på marknaden - även de som släpptes ut innan den började gälla.
Vad ska rapporteras?
Två typer av händelser ska rapporteras av tillverkaren:
- Aktivt utnyttjade sårbarheter - sårbarheter i produkten som det finns tillförlitliga belägg för att någon har utnyttjat.
- Allvarliga incidenter som påverkar produktens säkerhet - till exempel en incident som påverkar förmågan att skydda data eller funktioner, eller som har lett till att skadlig kod förts in i produkten eller i uppdateringarna.
Tidsfrister
Tidsfristerna räknas från att tillverkaren fått kännedom om händelsen:
- Tidig varning - utan onödigt dröjsmål och senast inom 24 timmar.
- Anmälan med mer information - senast inom 72 timmar.
- Slutrapport för en sårbarhet - senast 14 dagar efter att en korrigerande eller riskbegränsande åtgärd finns tillgänglig.
- Slutrapport för en allvarlig incident - inom en månad efter anmälan.
Vart rapporterar ni?
Rapporterna görs via ENISA:s gemensamma rapporteringsplattform (Single Reporting Platform). De går till den CSIRT-enhet som är samordnare i landet där tillverkaren har sitt huvudsakliga etableringsställe - i Sverige CERT-SE vid Nationellt cybersäkerhetscenter (NCSC) - och görs samtidigt tillgängliga för ENISA.
Informera användarna
Efter att ha fått kännedom om en aktivt utnyttjad sårbarhet eller en allvarlig incident ska tillverkaren också informera de berörda användarna, och vid behov alla användare, om händelsen och om åtgärder de kan vidta för att begränsa effekterna.
Intern process
24 timmar är kort tid. Ha detta på plats innan något händer:
- En kontaktpunkt där forskare, kunder och leverantörer kan rapportera sårbarheter.
- En utsedd ansvarig och en ersättare som kan fatta beslut om rapportering dygnet runt.
- En aktuell SBOM, så att ni snabbt ser vilka produkter och versioner en sårbarhet i en komponent påverkar.
- Konto och behörigheter i rapporteringsplattformen klara i förväg.
- Mallar för tidig varning, anmälan, slutrapport och information till användare.
- En logg över varje händelse med tidpunkter, bedömningar och beslut.
Skillnad mot NIS2 och GDPR
CRA gäller sårbarheter och incidenter i produkter ni säljer. Cybersäkerhetslagen (NIS2) gäller betydande incidenter i er egen verksamhet, med samma 24 och 72 timmar men slutrapport inom en månad. GDPR gäller personuppgiftsincidenter, som anmäls till IMY inom 72 timmar. En och samma händelse - till exempel ett intrång i en uppdateringsserver - kan i värsta fall utlösa alla tre.
NIS2 och GDPR - samordna rapporteringenVill ni se det med er egen verksamhet?
Att komma igång som kund tar några minuter. Ni väljer regelverk, svarar i den takt ni hinner och bygger efterlevnaden steg för steg - utan konsultarvode.