# Rapporteringsskyldigheterna i CRA, förklarade

Sedan den **11 september 2026** måste varje tillverkare av en produkt med digitala element på EU-marknaden anmäla aktivt utnyttjade sårbarheter och allvarliga incidenter - inom timmar, inte veckor.

Source: https://kernwatch.com/sv/cra-rapportering · Senast uppdaterad: 2026-10-17

## Viktiga fakta

- Cyberresiliensförordningen (Cyber Resilience Act, CRA) är förordning (EU) 2024/2847; den trädde i kraft den 10 december 2024.
- Rapporteringsskyldigheterna (artikel 14) gäller från den 11 september 2026, även för produkter som redan finns på marknaden.
- Aktivt utnyttjad sårbarhet: tidig varning inom 24 timmar, anmälan inom 72 timmar, slutrapport senast 14 dagar efter att en korrigering finns tillgänglig.
- Allvarlig incident: tidig varning inom 24 timmar, anmälan inom 72 timmar, slutrapport inom en månad.
- Rapporterna lämnas via Enisas gemensamma rapporteringsplattform till den CSIRT som utsetts till samordnare och till ENISA.
- Alla övriga CRA-krav gäller från den 11 december 2027; sanktionsavgifterna uppgår till högst 15 miljoner euro eller 2,5 % av den globala årsomsättningen.

## Vad som utlöser en anmälan

Artikel 14 i förordning (EU) 2024/2847 (cyberresiliensförordningen, Cyber Resilience Act) anger två utlösande händelser:

- **En aktivt utnyttjad sårbarhet** i er produkt - det finns tillförlitliga bevis för att någon har utnyttjat den.

- **En allvarlig incident** som påverkar produktens säkerhet - till exempel en som äventyrar integriteten i er uppdateringsmekanism eller i de data som produkten behandlar.

Skyldigheten gäller även produkter som redan finns på marknaden, inte bara nya, och den är oberoende av företagets storlek.

## Tidsfristerna

|  | Aktivt utnyttjad sårbarhet | Allvarlig incident |
|---|---|---|

| Tidig varning | inom 24 timmar från att ni fått kännedom | inom 24 timmar från att ni fått kännedom |

| Anmälan | inom 72 timmar från att ni fått kännedom | inom 72 timmar från att ni fått kännedom |

| Slutrapport | senast 14 dagar efter att en korrigerande eller begränsande åtgärd finns tillgänglig | inom en månad efter anmälan |

Klockan börjar ticka när ni får kännedom - därför är det så viktigt att veta vad som finns i varje release ni levererar.

## Vem som tar emot rapporterna

Rapporterna lämnas via **Enisas gemensamma rapporteringsplattform** (ENISA är EU:s cybersäkerhetsbyrå). De når den CSIRT som utsetts till samordnare i den medlemsstat där ni har ert huvudsakliga verksamhetsställe, samt ENISA. Ni måste också informera **berörda användare** om sårbarheten eller incidenten och om de åtgärder de kan vidta.

## Vad CRA kräver i övrigt

- Säkerhetsuppdateringar under produktens förväntade livslängd - i de flesta fall minst fem år.

- En policy och en kontaktpunkt för samordnat offentliggörande av sårbarheter.

- En programvaruförteckning (SBOM) och dokumenterad hantering av varje sårbarhet.

- Teknisk dokumentation och en EU-försäkran om överensstämmelse, som ska sparas i tio år.

Från den **11 december 2027** gäller alla krav, och produkter utan CRA-överensstämmelse får inte längre släppas ut på EU-marknaden.

## Så hjälper Kernwatch

- Flaggar komponenter med kända utnyttjade sårbarheter i de releaser du stödjer och lägger en uppgift i din åtgärdsinkorg om att öppna ett rapporteringsärende.

- Öppnar ärendet med fristerna för 24 timmar, 72 timmar och slutrapporten och påminner rätt personer i tid.

- Skriver utkast till den tidiga varningen, anmälan och slutrapporten utifrån dina produkt-, release- och bedömningsuppgifter för granskning och godkännande.

- Hjälper dig att lämna in: kopiera den godkända texten, öppna ENISA:s plattform, lämna in där och registrera referensen och kvittot i Kernwatch. ENISA:s plattform har inget API för tillverkare, så Kernwatch kan inte lämna in åt dig.

- Upptäcker rättningen: när en nyare release inte längre innehåller den sårbara versionen föreslår Kernwatch datumet för den korrigerande åtgärden, som startar 14-dagarsfristen för slutrapporten.

- Informerar användarna efter ditt godkännande - ett mejl till produktens kundkontakter och, i Professional, det publicerade säkerhetsmeddelandet - och registrerar vilka som informerades och när.

## Officiella källor

- [Förordning (EU) 2024/2847 (cyberresiliensförordningen), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- [Cyberresiliensförordningen, Europeiska kommissionen](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- [ENISA - EU:s cybersäkerhetsbyrå](https://www.enisa.europa.eu/)

Den här sidan sammanfattar förordning (EU) 2024/2847 som vägledning och utgör inte juridisk rådgivning.