Cyber Resilience Act: ny vägledning från ENISA om SBOM och säkra uppdateringar
ENISA har publicerat tekniska råd om programvaruförteckningar (22 oktober) och säkra uppdateringsmekanismer (4 november) för tillverkare enligt CRA.
Europeiska unionens cybersäkerhetsbyrå (ENISA) publicerade den 22 oktober 2026 en Technical Advisory for Software Bill of Materials och den 4 november 2026 en Technical Advisory on Secure Update Mechanisms. Båda riktar sig till tillverkare som omfattas av Cyber Resilience Act (CRA), särskilt små och medelstora. De är vägledning, inte lag, och ger ingen presumtion om överensstämmelse.
Vad som ändras
CRA kräver en SBOM i ett vanligt förekommande, maskinläsbart format som täcker åtminstone beroendena på högsta nivå, och en marknadskontrollmyndighet kan begära den (bilaga I del II och bilaga VII). Säkerhetsuppdateringar ska spridas säkert, utan dröjsmål och kostnadsfritt, om möjligt separat från funktionsuppdateringar. ENISA visar nu hur det går till i praktiken:
- SBOM: använd CycloneDX eller SPDX, skapa en SBOM vid varje bygge och validera, signera, lagra och underhåll den. Spara underlag för revisioner och myndighetsförfrågningar och dokumentera luckorna i täckningen.
- Uppdateringar: signera uppdateringsmetadata och skydda nycklarna, ta bara emot uppdateringar från betrodda källor över krypterade anslutningar och avvisa inaktuella eller återspelade metadata. Installera säkerhetsuppdateringar automatiskt som standard där det går och publicera ett tydligt meddelande med varje rättning.
Viktiga datum
- 11 september 2026: rapportering av aktivt utnyttjade sårbarheter och allvarliga incidenter via ENISA:s gemensamma rapporteringsplattform gäller redan. Gemensamma EU-uttalanden om kritiska sårbarheter i PHP (21 oktober) och om incidenter i kylsystem (4 november) påminde tillverkarna om det.
- 11 december 2027: CRA tillämpas fullt ut, inklusive SBOM, säkra uppdateringar och en supportperiod på minst fem år, om produkten inte förväntas användas under kortare tid (artikel 13.8).
Läs mer: Cyber Resilience Act: rapporteringen har börjat.
Vad du gör nu
Kartlägg produkterna som omfattas, ta fram en SBOM för varje release och kontrollera vem som får signera en uppdatering och hur enheterna verifierar den. Dazr Compliance samlar detta i en CRA-modul: produktklassificering, uppladdning av SBOM i CycloneDX eller SPDX JSON med kontroll av kända sårbarheter, rapporteringsfrister enligt artikel 14 och teknisk dokumentation enligt bilaga VII.
Källor
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
Endast för information, inte juridisk rådgivning. Senast uppdaterad 7 november 2026.
Finns även på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Norsk bokmål