CRA, artikel 14 och frister

CRA, formellt förordning (EU) 2024/2847, är EU:s regelverk för cybersäkerhet i produkter med digitala element — allt från industriella styrsystem till konsumentelektronik och fristående mjukvara. Förordningen kräver bland annat att tillverkare rapporterar aktivt utnyttjade sårbarheter och allvarliga incidenter till myndigheterna inom bestämda frister, se källorna till lagtexten.

I princip alla produkter med digitala element som kan anslutas till ett nätverk eller en annan enhet — hårdvara och fristående mjukvara. Undantagna är bland annat icke-kommersiell öppen källkod och produkter som redan regleras av annan EU-lagstiftning, till exempel viss medicinteknik och fordon. Gör självbedömningen för att se om er produkt omfattas och vilken kategori den hamnar i.

Förvarning inom 24 timmar (art. 14.1), anmälan inom 72 timmar (art. 14.2) och slutrapport inom 14 dagar (art. 14.4). Alla tre räknas från det ögonblick tillverkaren fick kännedom om den aktivt utnyttjade sårbarheten eller den allvarliga incidenten — inte från när underlaget är klart.

Artikel 14 börjar tillämpas den 11 september 2026. Kraven på processberedskap och standarder börjar gälla redan den 11 juni 2026, och CRA:s fulla tillämpning — inklusive CE-märkning — gäller från den 11 december 2027. Se hela tidslinjen för vad som händer vid varje datum.

Till det nationella CSIRT:et i tillverkarens etableringsland och till EU:s cybersäkerhetsbyrå Enisa. I Sverige är det CERT-SE vid Nationellt cybersäkerhetscenter (NCSC). Rapporten går normalt via Enisas gemensamma rapporteringsplattform, inte via ett vanligt mejl.

NIS2, i Sverige genomförd genom cybersäkerhetslagen (2025:1506), reglerar säkerheten i verksamheters egna nätverk och informationssystem. CRA reglerar säkerheten i själva produkten som tillverkas och släpps ut på marknaden. Samma bolag kan omfattas av båda — reglerna adresserar olika saker och rapporteras på olika sätt. Jämförelsen punkt för punkt går igenom var gränsen går.

Tillsynsmyndigheten kan ingripa, och vid en granskning är det tidpunkten för upptäckt — inte för avsändande — som prövas. Att ett mejl skickades bevisar inte att myndigheten tog emot det. Därför eskalerar Frist72 till en människa i god tid innan fristen går ut, i stället för att tyst försöka igen. Checklistan för det första dygnet visar vad som måste hända och i vilken ordning.

Nej. Den ger en indikation baserad på era svar, inte ett juridiskt bindande besked. Ansvaret för att bedömningen och rapporteringen är korrekta ligger alltid hos tillverkaren av produkten.

Ja. Byrån bjuds in som medlem i ert bolag i Frist72 och kan tas bort av er när som helst — det finns ingen egen väg in som ni inte själva kontrollerar.

En SBOM är en maskinläsbar förteckning över produktens programvarukomponenter, som minst ska täcka den översta beroendenivån. Den ska finnas och kunna lämnas till marknadskontrollmyndighet på begäran — men förordningen kräver inte att ni publicerar den. Guiden om underlag går igenom innehåll, format och bevarandetider.

Teknisk dokumentation och EU-försäkran om överensstämmelse i tio år från att produkten släpptes ut på marknaden. SBOM ska hållas aktuell under supportperioden, som är minst fem år. Bevarandetiden räknas per produkt och börjar vid första tillhandahållandet — inte vid sista försäljningen.

Inom EU, både i databasen och i objektlagringen där kvitton och dokument sparas, med samma åtkomstbegränsningar så att inget bolag kan läsa ett annat bolags underlag.

19 € per bolag och månad, oavsett antal användare — men det kostar först från den dag ni lämnar in er första rapport. Se hela prissättningen.

Frist72 är byggt för just förvarning, anmälan och slutrapport enligt artikel 14. För bredare egenkontroll av NIS2, cybersäkerhetslagen, ISO 27001 eller MSB skyddsklass 3, se e-Check, ett fristående verktyg för den typen av löpande regelefterlevnad.