Cyber Resilience Act (CRA) på svenska

01

Vad är CRA?

CRA är en EU-förordning, vilket betyder att den gäller direkt i Sverige utan att först göras om till svensk lag. Den gäller produkter med digitala element - hårdvara och programvara som kan kopplas till en annan enhet eller ett nätverk. Tanken är att säkerhet ska byggas in från början och upprätthållas under hela produktens livslängd, och att produkter som uppfyller kraven ska CE-märkas. Vissa produkter som redan har egna regler, till exempel medicintekniska produkter och fordon, undantas.

02

Vem omfattas?

Kraven riktar sig till de ekonomiska aktörer som släpper ut produkterna på EU-marknaden:

• Tillverkare - den som utvecklar eller tillverkar produkten, eller låter någon annan göra det, och säljer den under eget namn. Tillverkaren bär de flesta kraven.
• Importörer - ska kontrollera att produkter från länder utanför EU uppfyller kraven innan de släpps ut.
• Distributörer - ska kontrollera bland annat CE-märkning och dokumentation.
• Förvaltare av öppen källkod - en ny, lättare roll för stiftelser och liknande som stödjer öppen källkod som används kommersiellt.

03

Tidslinje

CRA införs stegvis:

• 10 december 2024 - förordningen träder i kraft.
• 11 juni 2026 - reglerna om anmälda organ (kapitel IV) börjar gälla.
• 11 september 2026 - tillverkare ska rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter.
• 11 december 2027 - förordningen gäller fullt ut.

04

Produktkategorier

De flesta produkter hamnar i standardkategorin, där tillverkaren själv kan bedöma överensstämmelsen. Produkter med viktigare säkerhetsfunktioner klassas som viktiga (klass I eller II) eller kritiska och kräver mer: tillämpning av harmoniserade standarder eller bedömning av ett anmält organ, och för kritiska produkter eventuellt certifiering. Exempel på viktiga produkter är lösenordshanterare, VPN, routrar och brandväggar.

05

Sanktioner

Brister mot de grundläggande cybersäkerhetskraven eller tillverkarens skyldigheter, inklusive rapporteringen, kan ge sanktionsavgifter på upp till 15 miljoner euro eller 2,5 procent av den globala årsomsättningen, beroende på vilket som är högst. Andra överträdelser kan ge upp till 10 miljoner euro eller 2 procent, och felaktiga uppgifter till myndigheter upp till 5 miljoner euro eller 1 procent. Produkter som inte uppfyller kraven kan också dras tillbaka från marknaden.

06

Myndigheter i Sverige

Sverige har beslutat en lag med kompletterande bestämmelser till förordningen. Post- och telestyrelsen (PTS) är marknadskontrollmyndighet och kontrollerar att produkterna uppfyller kraven. Rapporter om sårbarheter och incidenter görs via ENISA:s gemensamma rapporteringsplattform till CERT-SE, som tidigare låg under MSB och sedan 1 juli 2026 under Nationellt cybersäkerhetscenter (NCSC).

07

Relation till NIS2

NIS2 och cybersäkerhetslagen reglerar verksamheter och hur de skyddar sina tjänster. CRA reglerar produkter. En tillverkare kan omfattas av båda: CRA för det den säljer och cybersäkerhetslagen för den egna verksamheten, till exempel inom sektorn tillverkning. För verksamheter som bara köper produkter blir CRA ett stöd i leverantörsarbetet - CE-märkta produkter med säkerhetsuppdateringar gör det lättare att uppfylla kraven på säkerhet i leveranskedjan.

08

Så kommer ni igång

Fem första steg för en tillverkare:

• Inventera vilka produkter som har digitala element och vilken kategori de hamnar i.
• Ha en rutin för att ta emot och hantera sårbarhetsrapporter - och för att rapportera inom 24 timmar.
• Ta fram en programvaruförteckning (SBOM) för varje produkt.
• Bestäm supportperioden och hur säkerhetsuppdateringar levereras.
• Gör en gapanalys mot de grundläggande kraven i bilaga I i god tid före december 2027.