Den 11 september 2026 började de första kraven i Cyber Resilience Act (CRA) att gälla. EU:s nya förordning ställer bindande cybersäkerhetskrav på alla som utvecklar, importerar eller säljer produkter med digitala element på EU-marknaden. Tiotusentals svenska företag berörs, men många har ännu inte börjat. Här går vi igenom vad CRA innebär, vad som gäller redan nu och hur du kommer igång utan att det blir övermäktigt.
Vad är CRA och varför kommer den nu?
TCyber Resilience Act (förordning (EU) 2024/2847) är EU:s svar på ett växande problem: digitala produkter med bristande säkerhet. Fram tills nu har cybersäkerhet i produkter varit en rekommendation. Med CRA blir det lag.
Förordningen gäller direkt i alla EU-länder, utan nationell implementering. Grundtanken är enkel: den som utvecklar och säljer en produkt ansvarar för dess säkerhet, från designbordet till slutet av supportperioden. Säkerhet ska byggas in från start, inte lappas på i efterhand.
Vilka omfattas? Fler än du tror
CRA gäller produkter med digitala element: programvara och hårdvara som direkt eller indirekt kan anslutas till en annan enhet eller ett nätverk, och som tillhandahålls kommersiellt på EU-marknaden.
Det låter tekniskt, men i praktiken betyder det:
- Ni som utvecklar och säljer egen programvara, appar eller system
- Ni som säljer uppkopplade produkter, från industriutrustning till smarta enheter
- Ni som importerar eller distribuerar digitala produkter till EU-marknaden
- Ni som levererar skräddarsydd programvara kommersiellt till kunder
Det är alltså inte bara stora techbolag som träffas. Ett SME-bolag i Skaraborg med en egen produkt eller inbyggd mjukvara omfattas på samma sätt som en global tillverkare. Renodlade molntjänster (SaaS) faller i huvudsak under NIS2 i stället, men gränsdragningen kräver en bedömning per produkt.jerna är hur vi gör det i praktiken. För större organisationer behövs båda. För ett mindre företag kan ett dokument räcka, så länge det innehåller både principerna och de praktiska detaljerna.att säga att ni har en. Den är ett verktyg som löser ett verkligt problem.
Det här gäller redan nu
Sedan den 11 september 2026 har tillverkare rapporteringsplikt. Aktivt utnyttjade sårbarheter och allvarliga säkerhetsincidenter ska anmälas till myndigheter, med en första varning inom 24 timmar.
Två saker gör detta krav skarpare än många inser:
- Det gäller även befintliga produkter. Inte bara det ni lanserar framöver, utan det som redan finns ute hos kunder.
- 24 timmar är kort tid. Utan en fungerande process för att upptäcka, bedöma och rapportera sårbarheter hinner ni inte. Processen måste finnas på plats innan något händer.
Det här krävs i december 2027
Hur skapar man en AI-policy som fungerar?
Från den 11 december 2027 tillämpas CRA fullt ut. Då gäller de väsentliga cybersäkerhetskraven för alla produkter som släpps ut på EU-marknaden:
- Säkerhet i design: Riskbedömning och inbyggd säkerhet genom hela utvecklingsprocessen
- Säker leverans: Säker standardkonfiguration och skydd mot obehörig åtkomst
- Komponentkontroll: Full koll på programvarukomponenter och tredjepartsberoenden (SBOM)
- Supportperiod: Kostnadsfria säkerhetsuppdateringar under en tydligt angiven period
- CE-märkning: Uppfyllda krav blir en förutsättning för att produkten alls får säljas i EU
Bristande efterlevnad kan ge sanktionsavgifter på upp till 15 miljoner euro eller 2,5 procent av global årsomsättning. Men den verkliga risken för de flesta är enklare: en produkt utan CE-märkning stängs ute från marknaden.
Så kommer du igång: fyra steg
December 2027 låter avlägset. Det är det inte. Säker utvecklingsprocess, SBOM, dokumentation och rapporteringsrutiner byggs inte på ett kvartal. Så här börjar du:
1. Kartlägg. Vilka av era produkter omfattas? Hur klassificeras de? Var finns gapen mot kraven?
2. Planera. Ta fram rutiner för sårbarhetshantering och rapportering. Definiera supportperioder. Planera in säkerhetskraven i utvecklingsprocessen.
3. Agera. Implementera säker utveckling, SBOM och uppdateringsmekanismer. Förbered teknisk dokumentation och CE-märkning.
4. Revidera. Följ upp och förbättra löpande. CRA är en livscykelfråga, inte ett engångsgodkännande.
Tre saker att ta med sig
- Rapporteringsplikten gäller redan. Har ni en digital produkt på marknaden behöver processen för sårbarhetsrapportering finnas nu, inte 2027.
- Kartläggningen är första steget. Innan ni vet vilka produkter som omfattas och hur de klassificeras går det inte att planera rätt.
- Börja i höst. De som väntar till 2027 kommer konkurrera om samma konsulter, granskare och certifieringsorgan som alla andra som väntade.
Vi lever själva under CRA:s krav
På Farsight utvecklar vi egna programvaruprodukter som ProVide Server och AgentWay®. Det gör oss till tillverkare enligt CRA, med samma krav som ni. Rådgivningen ni får bygger därför på eget praktiskt efterlevnadsarbete, inte teori.
Osäker på om er produkt omfattas, eller var ni ska börja? Ett kort Teams-möte räcker för att reda ut nuläget. Förutsättningslöst. Konkret.
