De flesta som köper ett smart lås tänker sällan på cybersäkerhet. De vill bara slippa leta efter nycklar. Men bakom en produkt som Yale Doorman ligger idag EU:s Cyber Resilience Act (CRA), lagen om cybersäkerhet som redan format hur ASSA ABLOY väljer komponenter, skriver leverantörsavtal och planerar hur länge en produkt ska få uppdateringar, långt innan lagens krav fullt ut börjar gälla.

Vi pratade med Andreas Elvstam Cantner, Security Engineer inom ASSA ABLOY Smart Residential, med ansvar för produktsäkerheten för Yale-produkter som säljs i EMEIA. Som smarta dörrlås, larmsystem och videokameror riktade till konsumenter.

Artikeln i korta drag:

• Varför ASSA ABLOY valde att engagera sig i CRA-standardisering tidigt
• Varför fyrtio produkter och skilda nationella krav gör framförhållning avgörande
• Hur CRA förändrat produktutvecklingen, från godkännandeprocesser och spårbarhet i leverantörskedjan till supportperioder och riskanalys
• Utmaningen i att utveckla produkter innan standarderna är klara
• Andreas roll som ASSA ABLOYs röst i ETSI, via branschorganisationen ARGE

Andreas Elvstam Cantner, Security Engineer, Yale EMEIA inom ASSA ABLOY

Fyrtio produkter, olika regler i varje land

När Cyber Resilience Act (CRA) blev formellt antagen 2024 valde ASSA ABLOY att engagera sig i standardiseringsarbetet direkt, i stället för att vänta in de färdiga kraven. Skälet är påtagligt praktiskt.

Smarta lås är fysiskt anpassade efter den typ av cylinder och dörrkonstruktion som är standard i respektive land. Till exempel skiljer sig den ovala cylinderprofilen som är vanlig i Sverige från den ovala som används i Finland men även från den runda som används i Danmark. En säkerhetskamera för smarta hem däremot, går att utveckla en gång och sälja i hela regionen; ett lås måste konstrueras om för olika marknader, både mekaniskt men också för att leva upp till lokala regler och förordningar kring exempelvis brandskydd och utrymning.

Med en portfölj på runt fyrtio produkter stannar en förändring sällan vid en enda produkt, den måste upprepas om och om igen, marknad för marknad.

– Det tar lång tid att ställa om fyrtio produkter om vi bara får ett år på oss. Kommer en standard ett år innan man ska leva upp till den har man för lite tid, särskilt med tanke på ledtiderna i leverantörsledet. Det är bättre att veta i vilken riktning det lutar åt i god tid, innan det är för sent att ställa om, säger Andreas.

En resa som började innan CRA

Andreas har arbetat på ASSA ABLOY i två år, men bolagets engagemang i cybersäkerhetsregelverk går längre tillbaka. Innan CRA var det RED-direktivets delegerade akt om cybersäkerhet som tog stort fokus, med efterlevnadsdatum i augusti 2025.

För att hantera den växande mängden regelverk har bolaget tagit fram ett koncernövergripande ramverk, ASSA ABLOY Digital Compliance Framework. Det översätter regulatoriska krav till policyer och tydligt ägarskap: produktledning ansvarar för säkerhetskrav i produktens livscykel, forskning och utveckling för säker design och implementation, och juridik/digital compliance för regeltolkning och bedömning av överensstämmelse.

Standardiseringsarbete är i sig inget nytt för ASSA ABLOY. På den mekaniska sidan finns en lång tradition av att bidra till standarder för inbrottsskydd, till exempel de klassningssystem som Svenska Stöldskyddsföreningen (SSF) och motsvarande organisationer i andra länder använder för att bedöma hur motståndskraftiga lås är mot inbrott.

– Vi har varit med och skrivit standarder tidigare, på den mekaniska sidan. Det gav oss ett försprång jämfört med företag som aldrig varit involverade i standardisering på det sättet, säger Andreas.

Från lagtext till produktbeslut

Konkret har CRA påverkat hur ASSA ABLOY styr sin produktutveckling, med nya steg i en redan etablerad process.

Project governance-strukturerna är uppdaterade, vilket ger produktägare fler saker att ta ställning till innan en ny produkt kan godkännas för lansering.

En tydlig effekt är ökade krav på spårbarhet. Sådant som tidigare kunde hanteras informellt behöver nu dokumenteras och skrivas in i leverantörsavtal – vilket enligt Andreas också har en praktisk fördel: oenigheter om vem som ansvarar för vad blir en diskussion redan när kontraktet skrivs, i stället för att dyka upp längre fram.

Ett område där det här blir extra tydligt är produkters supportperioder. CRA kräver att tillverkaren fortsätter hantera sårbarheter och leverera säkerhetsuppdateringar under en bestämd tid efter lansering – minst fem år, om inte produktens förväntade livslängd är kortare. Tidigare kunde perioden beslutas efter behov; nu behöver ASSA ABLOY veta, och kunna kommunicera till komponentleverantörer och kunder, hur länge en produkt ska stödjas redan under utvecklingen.

– Vi pratar om produkter som ska fungera i många år. Kanske finns ingen av oss som sitter i projektet idag kvar i bolaget då, men produkten ska ändå kunna få uppdateringar. Det är klurigt att planera för teknik så långt fram i tiden, säger Andreas.

Samma framförhållning gäller riskanalysen. Det räcker inte längre att bara utgå från hur en produkt är tänkt att användas, ASSA ABLOY behöver också ta höjd för hur den troligen kommer att missbrukas, redan i utvecklingsfasen.

Att bygga produkter innan standarden är klar

Det svåraste hittills med CRA är att utveckla produkter medan standarderna som ska definiera exakt vad som krävs ännu inte är färdiga, menar Andreas.

– Vi kan inte pausa all produktutveckling tills standarderna är på plats. Vi behöver ta beslut om riktning ändå, utan att veta exakt hur högt vi behöver hoppa, säger han.

Svårigheten ligger inte i de stora penseldragen, utan i detaljerna: produkter som hamnar mellan kategorier, och gränsdragningar som ännu inte är solklara.

Andreas ser också en risk längre fram: om många tillverkare behöver få produkter testade av oberoende testorgan samtidigt, kan det uppstå en flaskhals.

– Det finns en risk att testhusen inte hinner med, särskilt för vissa produktkategorier. Det är ju samma typ av kompetens som efterfrågas på båda ställena, säger Andreas.

Rösten i ETSI:s arbete med smarta hem-produkter

ASSA ABLOY deltar i ETSI-arbetet indirekt, genom sitt medlemskap i ARGE, den europeiska branschorganisationen för lås- och beslagstillverkare. ARGE har länge arbetat med standardisering av mekaniska lås inom CEN, men när lås och larm blev uppkopplade räckte det inte längre. År 2020 gick ARGE med i ETSI specifikt för att få tillgång till cybersäkerhetskompetensen.

Andreas representerar ARGE i ETSI:s arbetsgrupp TC CYBER WG EUSR (EU Standardisation Requests), och bevakar bland andra den standard som täcker hans egna produkter, smarta lås, larm och kameror (EN 304 632). Han skriver inte standardtext själv, utan bidrar med sitt perspektiv på hur produkterna byggs – så att standarden passar väl in i hur de utvecklas i praktiken.

Engagemanget ger också ASSA ABLOY ett försprång i sitt eget arbete.

– Vi ser vart kraven är på väg innan de är fastslagna. Det gör det lättare att prioritera rätt, i stället för att stå oförberedda när standarden väl träder i kraft, säger Andreas.

Han lyfter också en reflektion om engagemanget i de vertikala grupperna:

– Jag är förvånad över hur få som engagerar sig. Jag hade räknat med att vara en passiv åskådare i ett rum fullt av folk. Tyvärr är det betydligt färre än man kan vänta sig, med tanke på hur många företag som faktiskt berörs.

”Bästa tiden var för tjugo år sedan”

På frågan om vad han skulle säga till företag som fortfarande ser CRA som något de kan ta senare, svarar Andreas med en klassisk liknelse.

– Det är som att plantera ett träd. Bästa tiden var för tjugo år sedan. Näst bästa tiden är nu.

Han rekommenderar företag som inte vet var de ska börja att använda tillgängliga checklistor och självutvärderingsverktyg snarare än att kasta sig över lagtexten direkt. En naturlig första prioritet är rapporteringsskyldigheterna, som började gälla den 11 september: att ha en organisation där det är tydligt vem som ansvarar för att rapportera en sårbarhet eller incident när den upptäcks.

Läs mer om CRA:s rapporteringsplikt: 24 timmar att agera – så fungerar CRA:s incidentrapportering

Standardisering är i grunden osynlig för konsumenten, men Andreas hoppas att det som redan format ASSA ABLOYs eget arbete, som tydligare supportperioder, med tiden blir synligt på ett nytt sätt.

– Idag är det en gissningslek om en uppkopplad pryl kommer få stöd om ett år. Om det blir tydligare hur länge olika produkter faktiskt stöds, tror jag fler konsumenter kan välja aktivt utifrån det, ungefär som man redan gör med andra kvalitetsval, säger han.

Vill du vara med och säkra framtidens uppkopplade produkter? Läs mer om hur du engagerar dig i Sveriges utveckling av digital kommunikation.

Utforska hela intervjuserien inom CRA:

Inifrån ETSI TC CYBER – Kim Nordström om vägen från CRA-lag till färdig standard

CRA-standarderna spelar olika roller – Angelo D’Amato förklarar vilken som blir styrande

Godkänd produkt under CRA – Ted Strandberg om hur företag kan förbereda sig redan nu

24 timmar att agera – så fungerar CRA:s incidentrapportering