Från 11 september har ni 24 timmar på er att rapportera

Den 11 september 2026 träder rapporteringsplikten i EU:s cyberresiliensförordning, Cyber Resilience Act, i kraft. Från den dagen måste tillverkare av produkter med digitala element anmäla aktivt utnyttjade sårbarheter och allvarliga säkerhetsincidenter till myndighet.

Fristerna är tre, och de är korta:

• 24 timmar: tidig varning, räknat från att ni fick kännedom.
• 72 timmar: fullständig anmälan med beskrivning och vidtagna åtgärder.
• 14 dagar: slutrapport, räknat från att en rättning finns tillgänglig. För allvarliga incidenter är fristen en månad.

Anmälan görs i en gemensam rapporteringsplattform, Single Reporting Platform, som förvaltas av EU:s cybersäkerhetsbyrå ENISA. Ni rapporterar en gång, och plattformen dirigerar vidare till rätt nationell CSIRT, som i sin tur delar informationen med andra länder där produkten säljs. Enligt EU-kommissionen ska plattformen vara driftsatt den 11 september.

Det är den vanligaste reaktionen på CRA, och den är oftare fel än rätt.

"Produkt med digitala element" är brett definierat. Forefront sammanfattar det som i princip all mjukvara och all hårdvara som direkt eller indirekt kan kopplas upp mot ett nät. Säljer ni en app, en molntjänst, en integration, en uppkopplad produkt eller mjukvara i eget namn på EU-marknaden, då är ni tillverkare i förordningens mening. Att ni är fem personer i Göteborg och inte har en fabrik ändrar ingenting.

Det stannar inte där. Importörer och distributörer som gör väsentliga ändringar i en produkt klassas också som tillverkare, med tillverkarens fulla ansvar.

Här skiljer sig september 2026 från resten av regelverket, och det är detaljen som förvånar flest.

Huvuddelen av CRA:s krav, alltså säkerhetskrav i konstruktionen, teknisk dokumentation och CE-märkning, börjar gälla den 11 december 2027 och då för nya produkter. Rapporteringsplikten är undantaget. Den gäller från den 11 september 2026 och omfattar även produkter som redan släppts på marknaden.

Med andra ord: en sårbarhet i något ni lanserade 2023 och knappt tänker på längre kan utlösa en 24-timmarsfrist nästa månad.

Klockan startar när ni får kännedom, inte när ni bestämt er för vad ni tycker. I praktiken löper fristen alltså ut mitt i den fas där ni fortfarande försöker förstå vad som faktiskt har hänt.

Det som avgör om ni klarar den är sällan teknik. Det är tre saker som antingen står nedskrivna eller inte:

• Vem som tar emot larmet. Finns en adress dit en säkerhetsforskare eller kund kan rapportera, och läser någon den en söndag?
• Vem som beslutar. En namngiven person som får göra bedömningen "aktivt utnyttjad eller inte" utan att först kalla till möte.
• Vem som skriver anmälan. Ta reda på hur rapporteringsplattformen fungerar innan ni behöver den, och ha en mall med de uppgifter som ska med. Ingen formulerar sig bra från noll klockan 23.

Det tar en eftermiddag att sätta upp. Det tar betydligt längre att göra under press.

För ärlighetens skull, eftersom det säljs en del panik kring nya EU-regler: plikten gäller sårbarheter som faktiskt utnyttjas av en angripare. En sårbarhet som hittas i god tro, exempelvis i er egen testning eller genom ett bug bounty-program, är enligt Traficom inte i sig rapporteringspliktig.

Och säljer ni ingen mjukvara eller hårdvara i eget namn, utan bara använder andras produkter, då är ni inte tillverkare. Då är den relevanta frågan i stället vad era leverantörer gör, vilket är samma mekanik som i cybersäkerhetslagen och NIS2: kraven når er via kedjan i stället för direkt.

• Avgör om ni är tillverkare. Säljer ni något med kod i, i eget namn, på EU-marknaden? Då är svaret sannolikt ja. Skriv ner slutsatsen och skälet till den.
• Inventera vad ni har ute. Inklusive äldre versioner och sådant ni slutat vidareutveckla. Det ni glömt bort omfattas ändå.
• Utse en ansvarig och en ersättare. En 24-timmarsfrist tar ingen hänsyn till semester.
• Skriv ner rutinen på en sida. Vem larmar, vem bedömer, vem rapporterar, i vilken ordning. En sida som faktiskt finns slår ett ramverk som ska tas fram.
• Öva en gång. Ta en påhittad sårbarhet och gå igenom kedjan. Luckorna dyker upp inom tjugo minuter.

Det här är precis den sortens arbete som ingår i vår IT-konsultation: dokumenterade rutiner i klarspråk, dimensionerade efter er verksamhet och inte efter ett certifieringsprojekt. Löpande hålls de vid liv genom Managed IT. Vill ni veta om ni är tillverkare i CRA:s mening och vad det i så fall kräver? Boka en kostnadsfri konsultation så går vi igenom det tillsammans.