Cyber Resilience Act: rapporteringen gjelder, resten følger i 2027
Siden 11. september 2026 rapporterer produsenter utnyttede sårbarheter og alvorlige hendelser til ENISAs plattform. Hele CRA gjelder fra 11. desember 2027.
Cyber Resilience Act (forordning (EU) 2024/2847) stiller sikkerhetskrav til maskinvare og programvare som selges i EU. Den første plikten med reell tyngde gjelder nå, og hovedkravene følger om litt over et år.
Hva som gjelder siden 11. september 2026
Produsenter av produkter med digitale elementer må rapportere to typer hendelser via ENISAs felles rapporteringsplattform, som ble lansert 11. september 2026:
- Aktivt utnyttede sårbarheter i produktene sine: et tidlig varsel innen 24 timer etter at de ble kjent med dem, en melding innen 72 timer og en sluttrapport senest 14 dager etter at et korrigerende eller avbøtende tiltak er tilgjengelig.
- Alvorlige hendelser som påvirker sikkerheten i produktene deres: et tidlig varsel innen 24 timer, en melding innen 72 timer og en sluttrapport senest én måned etter meldingen.
Rapporten går til CSIRT-en i produsentens medlemsstat, som koordinerer, og samtidig til ENISA. Produsenten må også informere brukerne av produktet, om nødvendig om tiltakene de kan gjøre.
Pliktene gjelder også produkter som allerede er på markedet, ikke bare nye (artikkel 69 nr. 3). Mikro- og småprodusenter er også omfattet, men de kan ikke få bot bare for å ha oversittet det tidlige varselet innen 24 timer.
Hva som kommer
- 11. desember 2027: CRA gjelder fullt ut: sikkerhet fra designfasen, håndtering av sårbarheter gjennom støtteperioden, teknisk dokumentasjon, samsvarsvurdering og CE-merking. Fra samme dato gjelder rapporteringsplikten også for forvaltere av åpen kildekode (open-source stewards).
- Siden 11. juni 2026 har reglene om melding av samsvarsvurderingsorganer gjeldt, slik at tekniske kontrollorganer kan være klare før 2027.
Hva dere kan gjøre nå
- Bestem hvem i organisasjonen som kan rapportere innen 24 timer, også i helgene, og test tilgangen til plattformen.
- Før én registrering per hendelse med tidspunktet dere ble kjent med den, fordi alle frister regnes fra da.
- Lag en kort mal for å informere brukerne.
- Bruk tiden fram til desember 2027 på kravene til design og dokumentasjon: en oversikt over omfattede produkter, en programvareliste (SBOM) og en prosess for sårbarhetshåndtering.
Artikkel 14 i detalj i vår veiledning: rapportering etter Cyber Resilience Act.
Kilder
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 14, 64, 69 and 71
- ENISA: The CRA Single Reporting Platform is launched (11 September 2026)
- European Commission: Cyber Resilience Act reporting obligations
Kun til informasjon, ikke juridisk rådgivning. Sist oppdatert 19. oktober 2026.
Finnes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska