Vad som utlöser en anmälan
Artikel 14 i förordning (EU) 2024/2847 (cyberresiliensförordningen, Cyber Resilience Act) anger två utlösande händelser:
- En aktivt utnyttjad sårbarhet i er produkt - det finns tillförlitliga bevis för att någon har utnyttjat den.
- En allvarlig incident som påverkar produktens säkerhet - till exempel en som äventyrar integriteten i er uppdateringsmekanism eller i de data som produkten behandlar.
Skyldigheten gäller även produkter som redan finns på marknaden, inte bara nya, och den är oberoende av företagets storlek.
Tidsfristerna
| Aktivt utnyttjad sårbarhet | Allvarlig incident | |
|---|---|---|
| Tidig varning | inom 24 timmar från att ni fått kännedom | inom 24 timmar från att ni fått kännedom |
| Anmälan | inom 72 timmar från att ni fått kännedom | inom 72 timmar från att ni fått kännedom |
| Slutrapport | senast 14 dagar efter att en korrigerande eller begränsande åtgärd finns tillgänglig | inom en månad efter anmälan |
Klockan börjar ticka när ni får kännedom - därför är det så viktigt att veta vad som finns i varje release ni levererar.
Vem som tar emot rapporterna
Rapporterna lämnas via Enisas gemensamma rapporteringsplattform (ENISA är EU:s cybersäkerhetsbyrå). De når den CSIRT som utsetts till samordnare i den medlemsstat där ni har ert huvudsakliga verksamhetsställe, samt ENISA. Ni måste också informera berörda användare om sårbarheten eller incidenten och om de åtgärder de kan vidta.
Vad CRA kräver i övrigt
- Säkerhetsuppdateringar under produktens förväntade livslängd - i de flesta fall minst fem år.
- En policy och en kontaktpunkt för samordnat offentliggörande av sårbarheter.
- En programvaruförteckning (SBOM) och dokumenterad hantering av varje sårbarhet.
- Teknisk dokumentation och en EU-försäkran om överensstämmelse, som ska sparas i tio år.
Från den 11 december 2027 gäller alla krav, och produkter utan CRA-överensstämmelse får inte längre släppas ut på EU-marknaden.
Så hjälper Kernwatch
- Flaggar komponenter med kända utnyttjade sårbarheter i de releaser du stödjer och lägger en uppgift i din åtgärdsinkorg om att öppna ett rapporteringsärende.
- Öppnar ärendet med fristerna för 24 timmar, 72 timmar och slutrapporten och påminner rätt personer i tid.
- Skriver utkast till den tidiga varningen, anmälan och slutrapporten utifrån dina produkt-, release- och bedömningsuppgifter för granskning och godkännande.
- Hjälper dig att lämna in: kopiera den godkända texten, öppna ENISA:s plattform, lämna in där och registrera referensen och kvittot i Kernwatch. ENISA:s plattform har inget API för tillverkare, så Kernwatch kan inte lämna in åt dig.
- Upptäcker rättningen: när en nyare release inte längre innehåller den sårbara versionen föreslår Kernwatch datumet för den korrigerande åtgärden, som startar 14-dagarsfristen för slutrapporten.
- Informerar användarna efter ditt godkännande - ett mejl till produktens kundkontakter och, i Professional, det publicerade säkerhetsmeddelandet - och registrerar vilka som informerades och när.
Officiella källor
- Förordning (EU) 2024/2847 (cyberresiliensförordningen), EUR-Lex
- Cyberresiliensförordningen, Europeiska kommissionen
- ENISA - EU:s cybersäkerhetsbyrå
Den här sidan sammanfattar förordning (EU) 2024/2847 som vägledning och utgör inte juridisk rådgivning.