Checklista · artikel 14.1
De första 24 timmarna
Senast genomgången 14 september 2026 · 9 minuters läsning
Det som måste finnas innan det smäller
Ingen checklista räddar ett dygn där grundfrågorna besvaras för första gången. Fyra saker ska vara avgjorda i förväg, och de tar en eftermiddag att avgöra:
- Vem som bestämmer att klockan startat. En namngiven person och en namngiven ersättare. Inte en avdelning.
- Vem som får skicka in till myndighet. Behörigheten ska finnas före krisen, inte begäras under den.
- Vilket CSIRT som är er mottagare. Bestäms av etableringslandet. Koncerner med bolag i flera medlemsstater har ofta fel svar nedskrivet.
- Var produktens versionsuppgifter och SBOM finns. Om det tar två timmar att svara på vilka versioner som berörs har ni förbrukat en tolftedel av fristen på en fråga med ett känt svar.
Dygnet, timme för timme
Fastställ tidpunkten innan ni gör något annat
Allt annat i det här dygnet räknas från en tidpunkt. Fastställs den slarvigt är varje senare frist fel, och felet går inte att laga i efterhand utan att det syns.
- Skriv ned exakt klockslag och tidszon för när ni fick kännedom om att sårbarheten utnyttjas aktivt.
- Skriv ned hur ni fick kännedom: mejl från forskare, kundärende, CERT-notis, egen observation. Källan avgör om tidpunkten går att styrka.
- Spara originalet — mejlet, ärendet, loggraden. Inte en sammanfattning av det.
- Notera vem som tog emot larmet och vem som gjorde bedömningen att det rör aktivt utnyttjande.
Avgör om det är en rapporteringspliktig händelse
Två olika saker utlöser artikel 14, och de har olika kriterier. Blandas de ihop rapporterar ni antingen för mycket eller för sent.
- Aktivt utnyttjad sårbarhet: en sårbarhet i er produkt som någon bevisligen utnyttjar, utan att ni gett tillstånd till det.
- Allvarlig incident: en händelse som påverkar säkerheten i produkten och kan leda till allvarlig störning eller skada.
- Är det en sårbarhet i en tredjepartskomponent ni distribuerar? Då är den er, i er produkt, även om ni inte skrev koden.
- Är utnyttjandet bara teoretiskt eller demonstrerat i labb? Då är det ingen förvarning — men dokumentera bedömningen, den kan behöva försvaras.
Samla det lilla som förvarningen faktiskt kräver
Förvarningen enligt artikel 14.1 är avsiktligt kort. Den ska gå att skicka innan ni vet allt — den är ett larm, inte en utredning.
- Vilken produkt, vilka versioner, ungefär hur många enheter eller installationer.
- Vad ni vet om utnyttjandet just nu: sedan när, hur omfattande, vilka medlemsstater som berörs om ni vet det.
- Om ni redan vidtagit någon åtgärd — men frånvaron av åtgärd är inget skäl att vänta.
- Kontaktväg för myndighetens följdfrågor. En bemannad, inte en no-reply.
Lämna in förvarningen
Till det nationella CSIRT som utsetts i ert etableringsland och till Enisa, via den gemensamma rapporteringsplattformen. Det här är den frist som faktiskt löper ut.
- Skicka även om bilden är ofullständig. Artikel 14.1 förutsätter att den är det.
- Spara kvittot: vad som skickades, när, till vem, och en hash av datamängden.
- Kom inte fram? Eskalera till en människa som skickar för hand. En kö som återförsöker är inte ett försvar.
- Skickad är inte kvitterad. Notera båda tidpunkterna separat.
Det som inte har med myndigheten att göra
De här spåren konkurrerar om samma personer som ska skriva förvarningen. Bestäm i förväg vem som gör vad, annars gör alla det roligaste.
- Begränsa skadan: stäng av, isolera, blockera. Fristen stannar inte för att ni felsöker.
- Bedöm om det också är en personuppgiftsincident — då gäller GDPR:s 72 timmar till tillsynsmyndigheten, parallellt och separat.
- Bedöm om NIS2 / cybersäkerhetslagen gäller för er egen verksamhet. Två regelverk, två mottagare, två klockor.
- Förbered användarinformation. Artikel 14 kräver i vissa fall att de som använder produkten informeras om åtgärder de kan vidta.
Det enda som inte får skjutas upp
Om ni inte hinner göra något annat i den här listan: fastställ tidpunkten och skicka förvarningen. En ofullständig förvarning inom fristen är ett uppfyllt krav. En komplett förvarning efter fristen är en försening som ni själva har dokumenterat.Vad som händer efter de 24 timmarna
Förvarningen stänger inte ärendet, den öppnar det. Två frister återstår, och de har mer innehåll men mindre tidspress:
- Inom 72 timmar från kännedom — anmälan enligt artikel 14.2, med allvarlighetsgrad, teknisk beskrivning av sårbarheten och de korrigerande åtgärder eller begränsningar ni hunnit vidta.
- Inom 14 dagar från att en korrigerande åtgärd finns tillgänglig — slutrapport enligt artikel 14.4, med grundorsak, hur sårbarheten utnyttjades och vad som gjorts för att det inte ska upprepas.
Lägg märke till att slutrapportens klocka startar på ett annat sätt än de två första. Den räknas inte från kännedom utan från att åtgärden finns — vilket betyder att ett ärende kan ligga öppet länge utan att någon frist överträds, så länge arbetet med åtgärden pågår och kan styrkas.
De fyra sätten det brukar gå fel
Klockan sätts när någon öppnar formuläret
Tidpunkten för kännedom fastställs i efterhand, ofta till den stund ärendet registrerades i systemet. Det är nästan alltid senare än den faktiska kännedomen, och skillnaden framgår av mejlets tidsstämpel. Fastställ tidpunkten först, registrera sedan.
Man väntar på att bilden ska bli klar
Den vanligaste orsaken till en missad 24-timmarsfrist är inte okunskap om fristen, utan en välmenande vilja att skicka något ordentligt. Artikel 14.1 kräver ingen fullständighet. Det är därför den heter förvarning.
Skickat förväxlas med mottaget
Att en inlämning lämnade er säger ingenting om att den kom fram. Vid en granskning är det mottagningen som räknas. Håll de två tidpunkterna isär i dokumentationen, och eskalera till manuell inlämning i god tid när det tekniska inte fungerar — inte när fristen redan löpt ut.
Bara ett regelverk hanteras
Samma händelse kan utlösa artikel 14, GDPR:s anmälan om personuppgiftsincident och rapporteringsplikt enligt cybersäkerhetslagen, med tre olika mottagare. Jämförelsen mellan CRA och NIS2 går igenom var gränserna går.
Om ni vill ha klockan räknad åt er
Frist72 fryser tidpunkten när förvarningen anmäls, påminner vid 6, 2 och 0,5 timmar kvar, och eskalerar till en namngiven människa när en inlämning inte kommer fram. Kontot är gratis tills ni lämnar in er första rapport.
Läs vidare
SBOM, teknisk dokumentation och EU-försäkran →
Underlaget som gör att fråga ett i det här dygnet — vilka versioner berörs — går att besvara på tio minuter i stället för två timmar.
Frist72 är ett verktyg, inte juridisk rådgivning. Den här sidan sammanfattar vad vi läser ut av lagtexten — vid en faktisk tillsyn gäller förordningen och beskedet från er tillsynsmyndighet, inte vår sammanfattning. Senast genomgången: september 2026.