Cyber Resilience Act: rapporteringen gäller, resten följer 2027

Publicerad 19 oktober 2026 · Av Dazr

Sedan 11 september 2026 rapporterar tillverkare utnyttjade sårbarheter och allvarliga incidenter till ENISA. Hela CRA gäller från 11 december 2027.

Cyber Resilience Act (förordning (EU) 2024/2847) ställer säkerhetskrav på hårdvara och programvara som säljs i EU. Den första skyldigheten med verklig tyngd gäller nu, och huvudkraven följer om drygt ett år.

Vad som gäller sedan 11 september 2026

Tillverkare av produkter med digitala element måste rapportera två slags händelser via ENISA:s gemensamma rapporteringsplattform, som lanserades den 11 september 2026:

Aktivt utnyttjade sårbarheter i deras produkter: en tidig varning inom 24 timmar från att de fått kännedom om dem, en anmälan inom 72 timmar och en slutrapport inom 14 dagar efter att en korrigerande eller begränsande åtgärd finns tillgänglig.
Allvarliga incidenter som påverkar säkerheten i deras produkter: en tidig varning inom 24 timmar, en anmälan inom 72 timmar och en slutrapport inom en månad efter anmälan.

Rapporten går till CSIRT i tillverkarens medlemsstat, som samordnar, och samtidigt till ENISA. Tillverkaren måste också informera produktens användare, vid behov om de åtgärder de kan vidta.

Skyldigheterna gäller även produkter som redan finns på marknaden, inte bara nya (artikel 69.3). Mikro- och småtillverkare omfattas också; de kan dock inte få sanktionsavgift om de bara missar den tidiga varningen inom 24 timmar.

Vad som kommer

11 december 2027: CRA gäller fullt ut: säkerhet från designstadiet, hantering av sårbarheter under supportperioden, teknisk dokumentation, bedömning av överensstämmelse och CE-märkning. Från samma datum gäller rapporteringsskyldigheten även för förvaltare av programvara med öppen källkod (open-source stewards).
Sedan 11 juni 2026 gäller reglerna om anmälan av organ för bedömning av överensstämmelse, så att anmälda organ kan vara redo före 2027.

Vad ni kan göra nu

Bestäm vem i organisationen som kan rapportera inom 24 timmar, även på helger, och testa åtkomsten till plattformen.
Håll en registrering per händelse med tidpunkten då ni fick kännedom, eftersom alla tidsfrister räknas därifrån.
Förbered en kort mall för att informera användarna.
Använd tiden fram till december 2027 till kraven på design och dokumentation: en förteckning över berörda produkter, en programvaruförteckning (SBOM) och en process för sårbarhetshantering.

Artikel 14 i detalj i vår guide: rapportering enligt Cyber Resilience Act.

Källor

Endast för information, inte juridisk rådgivning. Senast uppdaterad 19 oktober 2026.

Ämnen: Cyber Resilience Act, ENISA, EU

Finns även på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Norsk bokmål