Cyber Resilience Act: ny veiledning fra ENISA om SBOM og sikre oppdateringer
ENISA har publisert tekniske råd om programvarestykklister (22. oktober) og sikre oppdateringsmekanismer (4. november) for produsenter under CRA.
EUs byrå for cybersikkerhet (ENISA) publiserte 22. oktober 2026 en Technical Advisory for Software Bill of Materials og 4. november 2026 en Technical Advisory on Secure Update Mechanisms. Begge er skrevet for produsenter under Cyber Resilience Act (CRA), særlig små og mellomstore. De er veiledning, ikke lov, og gir ingen presumsjon for samsvar.
Hva som endres
CRA krever en SBOM i et vanlig brukt, maskinlesbart format som dekker minst avhengighetene på øverste nivå, og en markedstilsynsmyndighet kan be om den (vedlegg I del II og vedlegg VII). Sikkerhetsoppdateringer skal distribueres sikkert, uten opphold og gratis, om mulig atskilt fra funksjonsoppdateringer. ENISA viser nå hvordan det gjøres i praksis:
- SBOM: bruk CycloneDX eller SPDX, lag en SBOM ved hvert bygg, og valider, signer, lagre og vedlikehold den. Ta vare på dokumentasjon for revisjoner og forespørsler fra myndigheter, og noter hullene i dekningen.
- Oppdateringer: signer oppdateringsmetadata og beskytt nøklene, godta bare oppdateringer fra pålitelige kilder over krypterte forbindelser, og avvis utdaterte eller gjentatte metadata. Installer sikkerhetsoppdateringer automatisk som standard der det er mulig, og publiser en tydelig melding med hver retting.
Viktige datoer
- 11. september 2026: rapportering av aktivt utnyttede sårbarheter og alvorlige hendelser via ENISAs felles rapporteringsplattform gjelder allerede. Felles EU-uttalelser om kritiske sårbarheter i PHP (21. oktober) og om hendelser i kjølesystemer (4. november) minnet produsentene på det.
- 11. desember 2027: CRA gjelder fullt ut, inkludert SBOM, sikre oppdateringer og en støtteperiode på minst fem år, med mindre produktet forventes brukt kortere (artikkel 13 nr. 8).
Les mer: Cyber Resilience Act: rapporteringen er i gang.
Hva du gjør nå
Kartlegg produktene som omfattes, lag en SBOM for hver utgivelse, og sjekk hvem som kan signere en oppdatering og hvordan enhetene verifiserer den. Dazr Compliance samler dette i én CRA-modul: produktklassifisering, opplasting av SBOM i CycloneDX eller SPDX JSON med sjekk av kjente sårbarheter, rapporteringsfrister etter artikkel 14 og teknisk dokumentasjon etter vedlegg VII.
Kilder
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
Kun til informasjon, ikke juridisk rådgivning. Sist oppdatert 7. november 2026.
Finnes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska