# Uppfyll cyberresiliensförordningen - utan eget säkerhetsteam. Kernwatch håller dina SBOM:er aktuella, kontrollerar era komponenter mot nya sårbarheter (dagligen i betalplaner, varje vecka i Free) och guidar dig genom CRA-rapporteringen efter 24 timmar, 72 timmar och slutrapporten - så att även ett litet utvecklingsteam kan uppfylla kraven. Source: https://kernwatch.com/sv · Senast uppdaterad: 2026-10-17 ## Tidsfristerna löper redan - **2026-09-11** - Rapporteringsskyldigheterna gäller: Aktivt utnyttjade sårbarheter och allvarliga incidenter ska anmälas via Enisas gemensamma rapporteringsplattform. - **2027-12-11** - Alla CRA-krav gäller: Produkter med digitala element behöver CRA-överensstämmelse och CE-märkning för att få släppas ut på EU-marknaden. - **Upp till 15 mn €** - eller 2,5 % av den globala omsättningen: Högsta sanktionsavgift vid överträdelse av de väsentliga cybersäkerhetskraven och tillverkarens skyldigheter. ## Cyberresiliensförordningen (CRA) och SBOM: korta svar ### Vad är cyberresiliensförordningen (CRA), och vem omfattas? Cyberresiliensförordningen (Cyber Resilience Act, CRA) är förordning (EU) 2024/2847, EU:s lag om cybersäkerhetskrav för produkter med digitala element. Den gäller hårdvara med programvara och programvaruprodukter som släpps ut på EU-marknaden, och skyldigheterna ligger främst på tillverkarna, oavsett storlek. Sektorer med egna regler, som medicintekniska produkter, motorfordon och civil luftfart, är undantagna, och ren programvara som tjänst (SaaS) utan en produkt faller i regel utanför. Förordningen trädde i kraft den 10 december 2024. [Rapporteringsskyldigheterna i CRA i detalj](https://kernwatch.com/sv/cra-rapportering) Källa: [Förordning (EU) 2024/2847, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj), [Cyberresiliensförordningen, Europeiska kommissionen](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act) ### Vad innebär rapporteringsskyldigheten enligt CRA? Sedan den 11 september 2026 måste tillverkare rapportera varje aktivt utnyttjad sårbarhet i sin produkt och varje allvarlig incident som påverkar dess säkerhet - även för produkter som redan finns på marknaden. En tidig varning ska lämnas inom 24 timmar från att man fick kännedom, en anmälan inom 72 timmar och en slutrapport senast 14 dagar efter att en korrigering finns tillgänglig (sårbarheter) eller inom en månad efter anmälan (incidenter). Rapporterna lämnas via Enisas gemensamma rapporteringsplattform till den CSIRT som utsetts till samordnare och till ENISA; plattformen har inget API för tillverkare, så varje rapport lämnas in manuellt i webbläsaren. [CRA-rapportering: utlösare, frister, mottagare](https://kernwatch.com/sv/cra-rapportering) · [CRA-rapporteringsflödet](https://kernwatch.com/sv/instruktionsvideor#cra-reporting) Källa: [Förordning (EU) 2024/2847, artikel 14, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj), [ENISA](https://www.enisa.europa.eu/) ### Hur skapar man en SBOM? Generera programvaruförteckningen (SBOM) automatiskt i byggpipelinen i stället för att skriva den för hand. Använd ett av de två vanliga maskinläsbara formaten, CycloneDX eller SPDX, och skapa en SBOM per släppt version. Det finns generatorer för de flesta miljöer, till exempel Syft eller cdxgen för containrar och filsystem, CycloneDX-insticksprogrammen för Maven, Gradle och npm samt SPDX-utdata från Yocto Project för inbyggd Linux. 1. **Välj format.** CycloneDX eller SPDX - båda är maskinläsbara. 2. **Generera i CI.** Kör SBOM-generatorn för din miljö vid varje releasebygge. 3. **Spara en SBOM per release.** Lagra den med releasen som en del av den tekniska dokumentationen. 4. **Kontrollera mot sårbarhetsdata.** Kernwatch kontrollerar komponenter med paketidentifierare (purl) dagligen i betalplaner, varje vecka i Free. [SBOM för CRA](https://kernwatch.com/sv/sbom-krav) · [Produkter, releaser och SBOM:er](https://kernwatch.com/sv/instruktionsvideor#products-and-sboms) · [Ladda upp SBOM:er från CI med en API-nyckel](https://kernwatch.com/sv/instruktionsvideor#ci-upload-api-keys) Källa: [CycloneDX](https://cyclonedx.org/), [SPDX](https://spdx.dev/) ### När blir en SBOM obligatorisk enligt CRA? SBOM:en hör till de CRA-krav som gäller från den 11 december 2027: därefter behöver produkter med digitala element CRA-överensstämmelse och CE-märkning för att få släppas ut på EU-marknaden. Bilaga I kräver en SBOM i ett allmänt använt, maskinläsbart format som åtminstone omfattar de översta beroendena. Den ingår i den tekniska dokumentationen - den behöver inte publiceras, men marknadskontrollmyndigheter kan begära in den. Eftersom rapporteringen startade den 11 september 2026 är en aktuell SBOM också det snabbaste sättet att avgöra om en utnyttjad sårbarhet berör era produkter. [Vad CRA kräver av en SBOM](https://kernwatch.com/sv/sbom-krav) Källa: [Förordning (EU) 2024/2847, bilaga I, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) ### Vad gör ett verktyg för sårbarhetsrapportering enligt CRA? Det gör om bevakningsresultat och frister till uppgifter. I Kernwatch blir ett fynd på en lista över aktivt utnyttjade sårbarheter en uppgift i åtgärdsinkorgen att öppna ett rapporteringsärende med frist 24 timmar efter att du fick kännedom, och den tidiga varningen, anmälan och slutrapporten skrivs utifrån dina produkt-, release- och bedömningsdata för ditt godkännande. Du lämnar in på Enisas plattform själv och registrerar referensen; när en nyare release inte längre innehåller den sårbara versionen föreslår Kernwatch det datum för rättningen som startar 14-dagarsfristen för slutrapporten. Uppgifter skapas i alla planer; att godkänna rapporteringsärenden och rapporter kräver Starter eller högre. [Planer och priser](https://kernwatch.com/sv/priser) · [Åtgärdsinkorgen](https://kernwatch.com/sv/instruktionsvideor#action-inbox) ## Så fungerar Kernwatch 1. **Registrera produkter och releaser** - Varje version ni levererar, med dess supportperiod - CRA förväntar sig säkerhetsuppdateringar i minst fem år i de flesta fall. 2. **Ladda upp SBOM:er** - CycloneDX eller SPDX, uppladdade manuellt eller skickade från er CI-pipeline vid varje release. 3. **Få larm** - Varje komponent med paketidentifierare (purl) kontrolleras mot OSV, CISA:s lista över kända utnyttjade sårbarheter och EU:s sårbarhetsdatabas: dagligen i betalplaner, varje vecka i Free. 4. **Bedöm och rapportera** - Dokumentera varje beslut (VEX). När ni måste anmäla startar Kernwatch klockan, förifyller rapporterna och samlar in godkännanden och underlag. ## Din CRA-att-göra-lista fyller sig själv Kernwatch gör om bevakningsresultat, rapporteringsfrister och nya releaser till en åtgärdsinkorg. Varje uppgift har ett färdigt förslag och skälet till det: du granskar det och godkänner med ett klick. Inget når en myndighet eller dina användare utan ditt godkännande. - **Bedömningsförslag med motivering** - Nya fynd kommer med ett föreslaget beslut och skälet: inte påverkad när SBOM:en anger att komponenten inte levereras (de kan godkännas tillsammans), påverkad när sårbarheten utnyttjas aktivt eller en rättad version är känd, annars under utredning. - **Ett rapporteringsärende när utnyttjande är känt** - Ett fynd på en lista över aktivt utnyttjade sårbarheter blir en uppgift att öppna ett CRA-rapporteringsärende, med frist 24 timmar efter att du fick kännedom om det. - **Rapporter förberedda för ditt godkännande** - Den tidiga varningen, anmälan och slutrapporten skrivs utifrån dina uppgifter. Du granskar dem, redigerar vid behov och godkänner före fristen. - **Hjälp att lämna in till ENISA** - Efter godkännandet kopierar du texten, öppnar ENISA:s rapporteringsplattform, lämnar in där och registrerar referensen du får i Kernwatch. - **Upptäckt rättning startar klockan för slutrapporten** - När en nyare releases SBOM inte längre innehåller den sårbara versionen föreslår Kernwatch releasedatumet som datum för den korrigerande åtgärden. När du godkänner det startar 14-dagarsfristen för slutrapporten. - **Användarna informeras efter ditt godkännande** - Ett godkännande mejlar meddelandet till produktens kundkontakter och loggar det. I Professional publiceras även ditt förberedda säkerhetsmeddelande. - **Påminnelser om underhåll** - Releaser utan SBOM och supportperioder som slutar inom 30 dagar - i Professional även en EU-försäkran om överensstämmelse som är äldre än din senaste release. - **En daglig sammanfattning** - Varje medlem får ett mejl om dagen med de uppgifter som väntar på hen. Kernwatch kan inte lämna in rapporter åt dig: ENISA:s gemensamma rapporteringsplattform har inget API för tillverkare. Kernwatch förbereder allt fram till skicka-knappen - du lämnar in i webbläsaren och registrerar referensen. Uppgifter skapas i alla planer; att godkänna bedömningar, rapporteringsärenden, rapporter och meddelanden till användare kräver Starter eller högre. Publicerade säkerhetsmeddelanden och rapporter från din publika sårbarhetssida ingår i Professional. ## Allt som CRA kräver av er sårbarhetshantering - **Register över produkter och releaser** - Produkter, versioner och supportperioder - ryggraden i er CRA-dokumentation. - **SBOM-hantering** - Importera CycloneDX och SPDX, jämför releaser, se direkta och transitiva beroenden och exportera vid förfrågan. - **Sårbarhetsbevakning** - Nya säkerhetsmeddelanden matchas mot era komponenter med paketidentifierare (purl) - dagligen i betalplaner, varje vecka i Free - med allvarlighetsgrad, sannolikhet för utnyttjande och markering av känt utnyttjande. - **VEX-bedömning** - Berörd, inte berörd (med motivering) eller åtgärdad i version - beslut som håller när en myndighet eller kund frågar. - **CRA-rapporteringsflöde** - Tidig varning inom 24 h, anmälan inom 72 h och slutrapport med påminnelser, förifyllda texter, godkännanden och bevis på inlämning. - **Offentliggörande och dokumentation** - En kanal för rapportering av sårbarheter, security.txt, publicerade säkerhetsmeddelanden och er tekniska dokumentation på ett ställe. - **Åtgärdsinkorg** - Uppgifter som skapar sig själva: bedömningsförslag med motivering, rapporter förberedda för godkännande, hjälp att lämna in till ENISA, upptäckt av rättningar och meddelanden till användare - var och en godkänns med ett klick. ## Varför inte bara en gratis skanner? Skannrar med öppen källkod hittar sårbarheter - och ni bör använda dem. Men CRA kräver mer: ett dokumenterat beslut för varje fynd, rapporter inom timmar, information till era användare och dokumentation som sparas i åratal. Kernwatch är det flödet, redo från första dagen, utan att ni behöver bygga och driva egna verktyg. ## Byggt för små och medelstora tillverkare Team på 20 till 250 personer som levererar produkter med programvara till EU och saknar ett eget produktsäkerhetsteam: - Maskiner och automation - Elektronik och IoT-enheter - Industriella styrsystem och gateways - Inbyggd programvara, skrivbordsprogram och installerbar programvara ## Vanliga frågor ### Lämnar Kernwatch in rapporterna till ENISA åt mig? Nej. ENISA:s gemensamma rapporteringsplattform har inget API för tillverkare, så varje rapport lämnar du in själv i webbläsaren. Kernwatch förbereder allt fram till dess: skriver utkast till den tidiga varningen, anmälan och slutrapporten, samlar in ditt godkännande, låter dig kopiera texten och öppna plattformen och sparar referensen du registrerar som bevis. ### När kan vi börja? Skapa ditt konto på [registreringssidan](/sv/registrera) - gratisplanen kräver inget kreditkort. Om registreringen är pausad sätter samma sida upp dig på väntelistan och vi kontaktar alla i turordning. ### Var lagras vår data? Kernwatch driftas inom Europeiska unionen. Varje företags data finns i en egen arbetsyta, åtskild från andra kunders genom behörighetskontroller vid varje databasfråga. ### Är Kernwatch juridisk rådgivning? Nej. Kernwatch är programvara som organiserar er sårbarhetshantering och rapportering. Era skyldigheter beror på era produkter och bör bekräftas med er rådgivare.