EU:s Cyber Resilience Act (CRA) ställer krav på att produkter med digitala element ska vara säkra redan från start. Men lagen slutar inte där. Den ställer också krav på vad som ska hända efter att en produkt kommit ut på marknaden, när en sårbarhet upptäcks, eller när något faktiskt går fel.

Vi träffade Peter Jonegård och Martin Snygg för att reda ut hur incident- och sårbarhetsrapportering enligt CRA fungerar i praktiken. Peter är rådgivare på CERT-SE, Sveriges nationella CSIRT (Computer Security Incident Response Team), och Martin är Senior advisor på NCC-SE, Sveriges nationella samordningscenter för forskning och innovation inom cybersäkerhet. Båda funktionerna är sedan den 1 juli 2026 överflyttade från Myndigheten för civilt försvar till Nationellt cybersäkerhetscenter (NCSC) som är en del av Försvarets radioanstalt (FRA).

Rapporteringen är inte bara en administrativ formalitet. Den ger myndigheterna och EU en samlad bild av läget, gör det möjligt att varna andra som kan vara drabbade, och kan sätta igång samordnade insatser. En sårbarhet är sällan unik för en enda tillverkare.

Artikeln i korta drag:

• Vad utlöser en rapporteringsplikt enligt CRA, och var går gränsen för vad som räknas som ”allvarligt nog”
• Tidsfristerna för rapportering, och varför de är så snäva
• Vart en rapport egentligen går, och vem som använder informationen
• Hur osäkerhet inför rapportering slår åt två håll – mörkertal av rädsla, och överrapportering av försiktighet
• Stödet som finns för tillverkare, och vad mindre företag ofta missar
• Varför hanteringsförmåga är viktigare än själva rapporteringen

Vad utlöser rapporteringsplikten enligt CRA?

CRA:s artikel 14, ”Reporting obligations of manufacturers” (tillverkarnas rapporteringsskyldigheter), börjar gälla den 11 september 2026. Kravet innebär att en tillverkare inte bara ska bygga en säker produkt, utan också aktivt övervaka den efter att den kommit ut på marknaden, och rapportera om produktens säkerhet hotas.

Bestämmelsen skiljer på två typer av händelser som aktiverar rapporteringsplikten. Den ena är när en sårbarhet i produkten upptäcks och utnyttjas aktivt av en angripare, även om det ännu inte lett till någon skada. Den andra är en allvarlig incident: något har redan hänt, och det har fått en faktisk påverkan på produktens säkerhet.

– Händelsen ska påverka någon av informationssäkerhetsaspekterna: konfidentialitet, riktighet, tillgänglighet, säger Peter Jonegård.

Martin Snygg och Peter Jonegård, Nationellt cybersäkerhetscenter, NCSC

Ett typexempel han beskriver är ett intrång i en tillverkares utvecklingsmiljö för en specifik produkt. Om angriparen introducerar en sårbarhet, bakdörr eller annan skadlig kod i produkten, gör det att alla kunder som sedan använder den riskerar att bli attackerade.

CERT-SE hanterar redan sårbarhetsrapportering idag, utanför ramen för CRA. När en ny sårbarhet upptäcks bedömer man vilken produkt det gäller och hur många berörda system i Sverige som är åtkomliga via internet, för att uppmärksamma säkerhetsuppdateringar där konsekvenserna för samhället är som störst.

Var går gränsen för vad som ska rapporteras?

Att en sårbarhet finns, eller att något går snett, räcker inte alltid för att kravet på rapportering ska gälla. Artikel 14 talar om att sårbarheten eller incidenten ska ha en allvarlig påverkan (”severe impact”) för att räknas som rapporteringspliktig. Men var den gränsen egentligen går är inte alltid självklart.

En driftstörning är ett bra exempel. En tjänst som ligger nere några minuter är sällan kritiskt, de flesta märker knappt av det. Men om samma tjänst ligger nere i en vecka, och det börjar påverka människors liv, ökar allvaret radikalt. Det är den typen av bedömning om konsekvens för samhället, inte bara teknisk svårighetsgrad som avgör om något ska rapporteras.

– Det är svårt att sätta en exakt gräns, eftersom det är en europeisk reglering som ska fungera i alla medlemsländer. Vad som påverkar samhället i Sverige är inte nödvändigtvis samma sak som i Polen, säger Martin Snygg.

Den flexibiliteten är medveten. En hårt definierad tröskel som fungerar i ett land kanske inte alls stämmer i ett annat. EU-kommissionen har publicerat en FAQ med ytterligare vägledning där avsnittet om rapporteringsskyldigheter (”reporting obligations”) är särskilt relevant här. Bra att veta är att FAQ:n är tänkt som ett levande dokument som uppdateras löpande, snarare än ett fastställt facit.

Tidsfristerna – och varför de är så snäva

CRA sätter tydliga deadlines för rapporteringen.

Rapportering för en sårbarhet:

• Tidig varning: inom 24 timmar efter kännedom
• Anmälan: inom 72 timmar
• Slutrapport: inom 14 dagar efter att en åtgärd finns tillgänglig

Rapportering för en incident:

• Tidig varning: inom 24 timmar efter kännedom
• Incidentanmälan: inom 72 timmar
• Slutrapport: inom 1 månad efter incidentanmälan

Tidspressen är ingen slump. Sårbarheter utnyttjas idag betydligt snabbare än för några år sedan, i flera fall redan samma dag som de blir kända. Det är den verkligheten CRA:s tidsfrister är satta för att möta.

Vart går rapporten? Och vad händer sen?

Rapporten lämnas via Single Reporting Platform, den gemensamma rapporteringsplattform som ENISA driver för samtliga EU-länder. Plattformen vidarebefordrar automatiskt informationen till rätt CSIRT, i Sveriges fall CERT-SE, och till ENISA. Om tillverkaren angett att produkten finns tillgänglig i andra EU-länder, delar CERT-SE rapporten vidare till CSIRT i respektive land. Tanken är att en tillverkare bara ska behöva rapportera en gång, oavsett vilka EU-länder produkten säljs i.

Därifrån går informationen vidare på flera håll samtidigt. Sveriges marknadskontrollmyndighet, som föreslås bli Post- och telestyrelsen (PTS), informeras också, eftersom det är den myndigheten som har mandat att agera om en tillverkare inte lever upp till kraven. När det finns en säkerhetsuppdatering eller annan åtgärd publiceras uppgifter om sårbarheten också i ENISA:s sårbarhetsdatabas EUVD, så att den finns samlad och tillgänglig för andra aktörer.

Tillverkarna ansvarar för att informera användarna. Om de av någon anledning inte gör det kan CSIRT eller marknadskontrollmyndigheten gå in och informera användarna direkt, om det bedöms proportionerligt och nödvändigt för att förebygga eller begränsa skada.

Vid incidenter som bedöms vara relaterade till en bredare kris kopplas EU CyCLONe (EU Cyber Crisis Liaison Organisation Network) in.

Informationen samlas även över tid. Vartannat år sammanställs en trendrapport som delas med EU:s samarbetsgrupp för nätverks- och informationssäkerhet, för att ge en bild av hur hoten utvecklas.

Osäkerhet inför rapportering slår åt två håll

Rapporteringsplikten för Cyber Resilience Act börjar gälla först den 11 september 2026. Men erfarenheter från incidentrapportering i stort, inte minst från cybersäkerhetslagen (NIS2), visar att osäkerhet inför rapportering får två helt motsatta effekter.

Den ena är rädsla, som leder till mörkertal.

En del avstår helt från att rapportera, av rädsla för konsekvenserna. Det innebär att verkliga incidenter aldrig blir kända för myndigheterna, eftersom de som drabbats väljer att inte höra av sig.

– Vi märker att företag ställer sig frågor som ”Har vi gjort fel?” eller ”Kommer vi bli straffade?” och avstår från att rapportera. De tänker att rapporteringen ska drabba dem själva, snarare än att ge ett stöd, säger Peter Jonegård.

Den andra är osäkerhet om var gränsen går, som leder till överrapportering.

Andra företag väljer att rapportera för säkerhets skull, även när det är oklart om händelsen egentligen är rapporteringspliktig. Redan idag får CERT-SE rapporter enligt NIS2 om relativt små händelser, som till exempel att ett företags intranät varit nere i ett par timmar utan faktisk inverkan på levererad tjänst.

Båda beteendena går tillbaka till samma svårighet som vi redan varit inne på: det är inte alltid självklart, i stunden, vad som räknas som tillräckligt allvarligt för att rapportera.

Vad mindre företag missar

Just nu handlar det största problemet om okunskap: många vet helt enkelt inte vad CRA faktiskt kräver av dem. Särskilt utsatta är företag som inte utvecklar sina egna produkter, utan köper in färdiga lösningar och säljer dem vidare under eget varumärke.

– De förstår inte alltid att de tar på sig tillverkaransvar när de placerar en produkt på marknaden, även om produkten satts ihop av någon annan, säger Martin Snygg.

Men det finns hjälp att få. Ett nationellt stödekosystem är under uppbyggnad och kan delas in i fyra faser: orientera, förbereda, genomföra och förvalta. Det finns för att göra CRA hanterbart även för mindre aktörer.

NCC-SE samordnar statens samlade CRA-stöd och riktade utlysningar (orientera)

NCSC erbjuder cybersäkerhetsrådgivning och övningar (förbered)

PTS kommer sannolikt att ansvara för marknadskontroll och vägledning (genomför)

CERT-SE fungerar som helpdesk för själva rapporteringen (förvalta)

Läs mer på NCSC: Så här fungerar cyberresiliensförordningen

Hantering är viktigare än rapportering

Att kunna rapportera räcker inte på egen hand. Företag behöver också kunna upptäcka och hantera incidenter. Vara kontaktbara, med en tydlig väg in för den som upptäcker en sårbarhet, och ha utsedd personal som vet vad de ska göra när något händer.

– Det viktigaste är förmågan att upptäcka och hantera incidenter, inte bara att rapportera dem, säger Peter Jonegård.

En rapport kräver svar på frågor som vad som hänt, hur allvarligt det är och vad grundorsaken var. Men de frågorna är inte bara till för rapporten. Ett företag borde vilja kunna svara på dem oavsett, för att hantera incidenten bra. Rapportering och hantering går alltså hand i hand: gör man hanteringen ordentligt, är rapporten i praktiken redan halvskriven.

CRA handlar om att bygga säkert från start. Men även de mest säkra produkterna kan drabbas av något oväntat. Det är då företagets förberedelser gör skillnad.

Läs fler artiklar i samma serie:

Inifrån ETSI TC CYBER – Kim Nordström om vägen från CRA-lag till färdig standard

CRA-standarderna spelar olika roller – Angelo D’Amato förklarar vilken som blir styrande

Godkänd produkt under CRA – Ted Strandberg om hur företag kan förbereda sig redan nu