Cyberresiliensförordningen (CRA) gör cybersäkerhet till en produkt- och ledningsfråga

CRA är en del i EU:s digitala lagstiftning, och utgör i praktiken ett komplement till NIS2 (implementerad i Sverige i form av Cybersäkerhetslagen och gällande sedan början av 2026). Syftet med CRA är att produkter på den europeiska marknaden ska vara cybersäkra, medan NIS2 syftar till att nätverk och informationssäkerhet ska vara cybersäkra. 

Enligt CRA omfattas produkter med digitala element som kan anslutas till en enhet eller ett nätverk, dvs. uppkopplade produkter (IoT) som robotdammsugare och mobiltelefoner men också produkter i industriell verksamhet. Det omfattar även programvaror som säljs fristående (alltså inte ingående i produkter), som till exempel mobilappar eller mjukvara som nyttjas i företag. Det är således inte bara konsumentprodukter som omfattas. 

Förordningen äger direkt tillämpning i EU:s alla medlemsländer, men i sedvanlig ordning kommer kompletterande bestämmelser att finnas. I Sverige finns ännu så länge endast en utredning (SOU 2025:115), men ännu inget lagförslag. 

Det nu tillgängliga lagförslaget innehåller, precis som GDPR och NIS2, bestämmelser om ansenliga administrativa sanktionsavgifter vid brott mot lagstiftningen. Väsentligt är att en produkt inte får tillhandahållas på marknaden om kraven i CRA inte är uppfyllda. Följderna kan således blir ytterst kännbara för tillverkare av denna typ av produkter, varför det är hög tid för ledningen att lyfta frågan för att se över produktion och processer. 

• Kartlägg era produkter/programvara och kontrollera i vad mån ni omfattas av lagstiftningen. 
• Säkerställ att cybersäkerhet hanteras genom hela produktens livscykel, även hos leverantörer.
• Testa att organisationen faktiskt kan upptäcka, bedöma och rapportera incidenter i tid.
  
  CRA påverkar utvecklingsplaner, avtal, budget och ansvarsfördelning. Har ni långa produktcykler är det hög tid att starta, men har ni rapporteringsskyldighet, ska ni kunna uppfylla detta redan från den 9 september i år. 
  
  Högst på To-Do-listan nu, är alltså att säkerställa att ni som tillverkare kan rapportera aktivt utnyttjade sårbarheter som ni får kännedom om. Den första informationen om sådana sårbarheter ska rapporteras utan onödigt dröjsmål men under alla omständigheter inom 24 timmar. För att lyckas med det krävs rutiner och det är hög tid att se över dessa. 
  
  Sara Malmgren arbetar med CRA och andra rättsliga frågor inom cybersäkerhet.