KernwatchEarly access

EU:s cyberresiliensförordning (CRA)

Uppfyll cyberresiliensförordningen - utan eget säkerhetsteam.

Kernwatch håller dina SBOM:er aktuella, kontrollerar era komponenter mot nya sårbarheter (dagligen i betalplaner, varje vecka i Free) och guidar dig genom CRA-rapporteringen efter 24 timmar, 72 timmar och slutrapporten - så att även ett litet utvecklingsteam kan uppfylla kraven.

Kom igång gratis → Kolla om CRA gäller er

Gratisplan för 1 produkt · Inget kreditkort

För tillverkare av hårdvara med programvara, inbyggda enheter och programvaruprodukter som säljs i EU.

Byggt på öppna standarder
  • CycloneDX
  • SPDX
  • OSV
  • CSAF
  • VEX
  • Driftas i EU

Tidsfristerna löper redan

  1. 2026-09-11

    Rapporteringsskyldigheterna gäller

    Aktivt utnyttjade sårbarheter och allvarliga incidenter ska anmälas via Enisas gemensamma rapporteringsplattform.

    36 dagar sedan CRA-rapporteringen började gälla

  2. 2027-12-11

    Alla CRA-krav gäller

    Produkter med digitala element behöver CRA-överensstämmelse och CE-märkning för att få släppas ut på EU-marknaden.

    420 dagar tills alla CRA-krav gäller

  3. Upp till 15 mn €

    eller 2,5 % av den globala omsättningen

    Högsta sanktionsavgift vid överträdelse av de väsentliga cybersäkerhetskraven och tillverkarens skyldigheter.

Cyberresiliensförordningen (CRA) och SBOM: korta svar

De vanligaste frågorna från tillverkare om CRA - var och en besvarad med några meningar och en officiell källa.

Vad är cyberresiliensförordningen (CRA), och vem omfattas?

Cyberresiliensförordningen (Cyber Resilience Act, CRA) är förordning (EU) 2024/2847, EU:s lag om cybersäkerhetskrav för produkter med digitala element. Den gäller hårdvara med programvara och programvaruprodukter som släpps ut på EU-marknaden, och skyldigheterna ligger främst på tillverkarna, oavsett storlek. Sektorer med egna regler, som medicintekniska produkter, motorfordon och civil luftfart, är undantagna, och ren programvara som tjänst (SaaS) utan en produkt faller i regel utanför. Förordningen trädde i kraft den 10 december 2024.

Rapporteringsskyldigheterna i CRA i detalj →

Källa: Förordning (EU) 2024/2847, EUR-Lex, Cyberresiliensförordningen, Europeiska kommissionen

Vad innebär rapporteringsskyldigheten enligt CRA?

Sedan den 11 september 2026 måste tillverkare rapportera varje aktivt utnyttjad sårbarhet i sin produkt och varje allvarlig incident som påverkar dess säkerhet - även för produkter som redan finns på marknaden. En tidig varning ska lämnas inom 24 timmar från att man fick kännedom, en anmälan inom 72 timmar och en slutrapport senast 14 dagar efter att en korrigering finns tillgänglig (sårbarheter) eller inom en månad efter anmälan (incidenter). Rapporterna lämnas via Enisas gemensamma rapporteringsplattform till den CSIRT som utsetts till samordnare och till ENISA; plattformen har inget API för tillverkare, så varje rapport lämnas in manuellt i webbläsaren.

CRA-rapportering: utlösare, frister, mottagare → Titta: CRA-rapporteringsflödet (4 min)

Källa: Förordning (EU) 2024/2847, artikel 14, EUR-Lex, ENISA

Hur skapar man en SBOM?

Generera programvaruförteckningen (SBOM) automatiskt i byggpipelinen i stället för att skriva den för hand. Använd ett av de två vanliga maskinläsbara formaten, CycloneDX eller SPDX, och skapa en SBOM per släppt version. Det finns generatorer för de flesta miljöer, till exempel Syft eller cdxgen för containrar och filsystem, CycloneDX-insticksprogrammen för Maven, Gradle och npm samt SPDX-utdata från Yocto Project för inbyggd Linux.

  1. Välj format. CycloneDX eller SPDX - båda är maskinläsbara.
  2. Generera i CI. Kör SBOM-generatorn för din miljö vid varje releasebygge.
  3. Spara en SBOM per release. Lagra den med releasen som en del av den tekniska dokumentationen.
  4. Kontrollera mot sårbarhetsdata. Kernwatch kontrollerar komponenter med paketidentifierare (purl) dagligen i betalplaner, varje vecka i Free.

SBOM för CRA → Titta: Produkter, releaser och SBOM:er (4 min) Titta: Ladda upp SBOM:er från CI med en API-nyckel (2 min)

Källa: CycloneDX, SPDX

När blir en SBOM obligatorisk enligt CRA?

SBOM:en hör till de CRA-krav som gäller från den 11 december 2027: därefter behöver produkter med digitala element CRA-överensstämmelse och CE-märkning för att få släppas ut på EU-marknaden. Bilaga I kräver en SBOM i ett allmänt använt, maskinläsbart format som åtminstone omfattar de översta beroendena. Den ingår i den tekniska dokumentationen - den behöver inte publiceras, men marknadskontrollmyndigheter kan begära in den. Eftersom rapporteringen startade den 11 september 2026 är en aktuell SBOM också det snabbaste sättet att avgöra om en utnyttjad sårbarhet berör era produkter.

Vad CRA kräver av en SBOM →

Källa: Förordning (EU) 2024/2847, bilaga I, EUR-Lex

Vad gör ett verktyg för sårbarhetsrapportering enligt CRA?

Det gör om bevakningsresultat och frister till uppgifter. I Kernwatch blir ett fynd på en lista över aktivt utnyttjade sårbarheter en uppgift i åtgärdsinkorgen att öppna ett rapporteringsärende med frist 24 timmar efter att du fick kännedom, och den tidiga varningen, anmälan och slutrapporten skrivs utifrån dina produkt-, release- och bedömningsdata för ditt godkännande. Du lämnar in på Enisas plattform själv och registrerar referensen; när en nyare release inte längre innehåller den sårbara versionen föreslår Kernwatch det datum för rättningen som startar 14-dagarsfristen för slutrapporten. Uppgifter skapas i alla planer; att godkänna rapporteringsärenden och rapporter kräver Starter eller högre.

Planer och priser → Titta: Åtgärdsinkorgen (6 min)

Berörs din produkt? Kolla med 4 klick

Fyra snabba frågor. Du får resultatet direkt - ingen e-post behövs.

  1. Säljer ni hårdvara med programvara eller firmware, eller programvaruprodukter, i EU?
  2. Kan er produkt anslutas till ett nätverk, en dator eller en annan enhet - även via USB, Bluetooth eller fältbuss?
  3. Har ni en aktuell förteckning över programvarukomponenterna (SBOM) i varje version som ni fortfarande stöder?
  4. Om en sårbarhet i er produkt utnyttjades aktivt i natt - skulle ni kunna skicka en tidig varning till ENISA inom 24 timmar?

En snabb vägledning, inte juridisk rådgivning.

Så fungerar Kernwatch

  1. 1

    Registrera produkter och releaser

    Varje version ni levererar, med dess supportperiod - CRA förväntar sig säkerhetsuppdateringar i minst fem år i de flesta fall.

  2. 2

    Ladda upp SBOM:er

    CycloneDX eller SPDX, uppladdade manuellt eller skickade från er CI-pipeline vid varje release.

  3. 3

    Få larm

    Varje komponent med paketidentifierare (purl) kontrolleras mot OSV, CISA:s lista över kända utnyttjade sårbarheter och EU:s sårbarhetsdatabas: dagligen i betalplaner, varje vecka i Free.

  4. 4

    Bedöm och rapportera

    Dokumentera varje beslut (VEX). När ni måste anmäla startar Kernwatch klockan, förifyller rapporterna och samlar in godkännanden och underlag.

Din CRA-att-göra-lista fyller sig själv

Kernwatch gör om bevakningsresultat, rapporteringsfrister och nya releaser till en åtgärdsinkorg. Varje uppgift har ett färdigt förslag och skälet till det: du granskar det och godkänner med ett klick. Inget når en myndighet eller dina användare utan ditt godkännande.

  • Bedömningsförslag med motivering

    Nya fynd kommer med ett föreslaget beslut och skälet: inte påverkad när SBOM:en anger att komponenten inte levereras (de kan godkännas tillsammans), påverkad när sårbarheten utnyttjas aktivt eller en rättad version är känd, annars under utredning.

  • Ett rapporteringsärende när utnyttjande är känt

    Ett fynd på en lista över aktivt utnyttjade sårbarheter blir en uppgift att öppna ett CRA-rapporteringsärende, med frist 24 timmar efter att du fick kännedom om det.

  • Rapporter förberedda för ditt godkännande

    Den tidiga varningen, anmälan och slutrapporten skrivs utifrån dina uppgifter. Du granskar dem, redigerar vid behov och godkänner före fristen.

  • Hjälp att lämna in till ENISA

    Efter godkännandet kopierar du texten, öppnar ENISA:s rapporteringsplattform, lämnar in där och registrerar referensen du får i Kernwatch.

  • Upptäckt rättning startar klockan för slutrapporten

    När en nyare releases SBOM inte längre innehåller den sårbara versionen föreslår Kernwatch releasedatumet som datum för den korrigerande åtgärden. När du godkänner det startar 14-dagarsfristen för slutrapporten.

  • Användarna informeras efter ditt godkännande

    Ett godkännande mejlar meddelandet till produktens kundkontakter och loggar det. I Professional publiceras även ditt förberedda säkerhetsmeddelande.

  • Påminnelser om underhåll

    Releaser utan SBOM och supportperioder som slutar inom 30 dagar - i Professional även en EU-försäkran om överensstämmelse som är äldre än din senaste release.

  • En daglig sammanfattning

    Varje medlem får ett mejl om dagen med de uppgifter som väntar på hen.

Kernwatch kan inte lämna in rapporter åt dig: ENISA:s gemensamma rapporteringsplattform har inget API för tillverkare. Kernwatch förbereder allt fram till skicka-knappen - du lämnar in i webbläsaren och registrerar referensen.

Uppgifter skapas i alla planer; att godkänna bedömningar, rapporteringsärenden, rapporter och meddelanden till användare kräver Starter eller högre. Publicerade säkerhetsmeddelanden och rapporter från din publika sårbarhetssida ingår i Professional.

Titta: Åtgärdsinkorgen (6 min)

Allt som CRA kräver av er sårbarhetshantering

Register över produkter och releaser

Produkter, versioner och supportperioder - ryggraden i er CRA-dokumentation.

Titta: Produkter, releaser och SBOM:er (4 min)

SBOM-hantering

Importera CycloneDX och SPDX, jämför releaser, se direkta och transitiva beroenden och exportera vid förfrågan.

Titta: Bedömning, jämförelse av releaser och SBOM-export (3 min)

Sårbarhetsbevakning

Nya säkerhetsmeddelanden matchas mot era komponenter med paketidentifierare (purl) - dagligen i betalplaner, varje vecka i Free - med allvarlighetsgrad, sannolikhet för utnyttjande och markering av känt utnyttjande.

Titta: Sårbarhetsbevakning och översikten (3 min)

VEX-bedömning

Berörd, inte berörd (med motivering) eller åtgärdad i version - beslut som håller när en myndighet eller kund frågar.

Titta: Bedömning, jämförelse av releaser och SBOM-export (3 min)

CRA-rapporteringsflöde

Tidig varning inom 24 h, anmälan inom 72 h och slutrapport med påminnelser, förifyllda texter, godkännanden och bevis på inlämning.

Titta: CRA-rapporteringsflödet (4 min)

Offentliggörande och dokumentation

En kanal för rapportering av sårbarheter, security.txt, publicerade säkerhetsmeddelanden och er tekniska dokumentation på ett ställe.

Titta: Sårbarhetsrapporter, säkerhetsmeddelanden och teknisk dokumentation (4 min)

Åtgärdsinkorg

Uppgifter som skapar sig själva: bedömningsförslag med motivering, rapporter förberedda för godkännande, hjälp att lämna in till ENISA, upptäckt av rättningar och meddelanden till användare - var och en godkänns med ett klick.

Titta: Åtgärdsinkorgen (6 min)

Varför inte bara en gratis skanner?

Skannrar med öppen källkod hittar sårbarheter - och ni bör använda dem. Men CRA kräver mer: ett dokumenterat beslut för varje fynd, rapporter inom timmar, information till era användare och dokumentation som sparas i åratal. Kernwatch är det flödet, redo från första dagen, utan att ni behöver bygga och driva egna verktyg.

Byggt för små och medelstora tillverkare

Team på 20 till 250 personer som levererar produkter med programvara till EU och saknar ett eget produktsäkerhetsteam:

  • Maskiner och automation
  • Elektronik och IoT-enheter
  • Industriella styrsystem och gateways
  • Inbyggd programvara, skrivbordsprogram och installerbar programvara

Vanliga frågor

Lämnar Kernwatch in rapporterna till ENISA åt mig?

Nej. ENISA:s gemensamma rapporteringsplattform har inget API för tillverkare, så varje rapport lämnar du in själv i webbläsaren. Kernwatch förbereder allt fram till dess: skriver utkast till den tidiga varningen, anmälan och slutrapporten, samlar in ditt godkännande, låter dig kopiera texten och öppna plattformen och sparar referensen du registrerar som bevis.

När kan vi börja?

Skapa ditt konto på registreringssidan - gratisplanen kräver inget kreditkort. Om registreringen är pausad sätter samma sida upp dig på väntelistan och vi kontaktar alla i turordning.

Var lagras vår data?

Kernwatch driftas inom Europeiska unionen. Varje företags data finns i en egen arbetsyta, åtskild från andra kunders genom behörighetskontroller vid varje databasfråga.

Är Kernwatch juridisk rådgivning?

Nej. Kernwatch är programvara som organiserar er sårbarhetshantering och rapportering. Era skyldigheter beror på era produkter och bör bekräftas med er rådgivare.

Säkra ditt kostnadsfria Kernwatch-konto

The free plan covers one product and needs no credit card. Paid plans add more products, users and the full reporting workflow - upgrade whenever you need it.

  • Gratisplan för 1 produkt
  • Inget kreditkort

36 dagar sedan CRA-rapporteringen började gälla · 420 dagar tills alla CRA-krav gäller

Free plan · 1 product · no credit card

Kom igång gratis →

Gratisplan för 1 produkt · Inget kreditkort