Cyberresiliensförordningen.Rapportplikten gäller redan nu.
Cyberresiliensförordningen (EU) 2024/2847, på engelska Cyber Resilience Act, ställer cybersäkerhetskrav på produkter med digitala delar som kan anslutas till en enhet eller ett nät. Sedan 11 september 2026 måste tillverkare rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter. Från 11 december 2027 gäller hela förordningen, med CE-märkning för cybersäkerhet.
Vad regeln kräver
Det här gäller.
Rapportering sedan 11 september 2026.
Tillverkare ska anmäla aktivt utnyttjade sårbarheter och allvarliga incidenter via EU:s gemensamma rapporteringsplattform. En tidig varning ska in inom 24 timmar, en anmälan inom 72 timmar och därefter en slutrapport. Kravet gäller även produkter som redan finns på marknaden. Drabbade användare ska också informeras.
Full tillämpning 11 december 2027.
Från 11 december 2027 ska produkter med digitala element uppfylla de väsentliga cybersäkerhetskraven innan de släpps ut på marknaden. Ni ska göra en dokumenterad riskbedömning, ta fram teknisk dokumentation, upprätta EU-försäkran och CE-märka. Produkter som släppts ut före dess omfattas av dessa krav bara om de ändras väsentligt.
Sårbarheter hanteras under stödperioden.
Ni ska bestämma en stödperiod som speglar hur länge produkten förväntas användas. Den ska vara minst fem år, utom när produkten förväntas användas kortare tid. Under den perioden ska sårbarheter hanteras och säkerhetsuppdateringar tas fram. Ni ska ha en förteckning över programvarukomponenterna och en policy för att ta emot rapporter om sårbarheter.
Dokumentation och kontaktpunkt.
Teknisk dokumentation och EU-försäkran ska sparas i minst tio år, eller under stödperioden om den är längre. Slutdatum för stödperioden ska anges vid köpet, minst månad och år. Användare ska ha en kontaktpunkt för att rapportera sårbarheter.
Var tiden går
Tiden går åt till att veta vad som finns i era produkter och att agera snabbt när något händer.
Utan en aktuell förteckning över komponenter och programvaruversioner per produkt är det svårt att avgöra om en ny sårbarhet berör er. Klockan för rapportering startar när ni får kännedom. Tjugofyra timmar är kort tid om underlaget ligger utspritt hos utveckling, support och leverantörer.
Så hjälper AI
Mindre handpåläggning. Samma krav.
Komponentförteckning som hålls aktuell.
AI sammanställer programvaruförteckningar och versionsuppgifter ur era byggsystem, leverantörsunderlag och ärenden till en lista per produkt. Ni ser vilka komponenter som finns i vilken produkt.
Bevakning av sårbarheter.
AI jämför nya sårbarhetsmeddelanden med er komponentlista och flaggar produkter som kan beröras. En ansvarig person bedömer om sårbarheten utnyttjas aktivt och om den ska rapporteras.
Utkast till anmälan.
När något händer samlar AI det som är känt om produkt, sårbarhet, åtgärder och berörda länder i den ordning anmälan kräver. Ni granskar och skickar in själva via plattformen.
Riskbedömning och teknisk fil.
AI håller ihop riskbedömning, krav, testresultat och motiveringar till varför vissa krav inte gäller. Luckor mellan dokumenten flaggas så att ni kan åtgärda dem.
Frågor
Det ni brukar undra.
Gäller rapportplikten redan nu?
Vilka produkter omfattas?
Vi köper in styrsystem och moduler. Berörs vi?
Vart skickar svenska tillverkare sina anmälningar?
Berör
Källor
- Förordning (EU) 2024/2847 (cyberresiliensförordningen), EUR-Lex
- Så här fungerar cyberresiliensförordningen, Nationellt cybersäkerhetscenter
- Cyber Resilience Act, Reporting obligations, Europeiska kommissionen
- Utredning föreslår åtgärder för ökad cybersäkerhet i digitala produkter, Regeringen
Senast kontrollerad 23 september 2026. Sidan förklarar regeln i klartext och är inte juridisk rådgivning. Läs alltid källan och stäm av med er jurist.