Cyberresiliensförordningen medför en ny rapporteringsskyldighet för tillverkare och uppdaterad information till användare om produkternas cybersäkerhet
Tillverkarnas nya rapporteringsskyldighet förbättrar användarnas möjligheter att få information om allvarliga cybersäkerhetsproblem i produkter.
Rapporteringsskyldigheten enligt EU:s cyberresiliensakt i fråga om sårbarheter och allvarliga informationssäkerhetsincidenter börjar den 11 september 2026. Tillverkarna ska aktivt anmäla utnyttjade sårbarheter samt allvarliga incidenter till Cybersäkerhetscentret vid Transport- och kommunikationsverket Traficom och till EU:s cybersäkerhetsbyrå ENISA. Tillverkarna ska dessutom utan dröjsmål informera användare av produkter om dem.
Rapporteringsskyldigheten gäller produkter som finns på EU-marknaden och är anslutna till nätet eller till andra enheter
Under 2026 har det hittills rapporterats cirka 400–500 sårbarheter i produkter på EU-marknaden som skulle ha överskridit rapporteringströskeln.
Rapporteringsskyldigheten gäller alla enheter som säljs inom EU, även enheter som importerats från tredje länder. Som en tumregel kan man säga att om en enhet, programvara eller annan produkt är ansluten till ett nätverk eller till en annan enhet, omfattas den av CRA:s tillämpningsområde.
"Tillverkaren har ingen motsvarande skyldighet att informera användaren om sårbarheter i produkten, om produkten har skaffats utanför EU. Användaren får då inte nödvändigtvis information om produktens informationssäkerhetsbrister. Beställningar från webbutiker omfattas dock av CRA", säger enhetschef Olli Lehtilä vid Cybersäkerhetscentret.
Användarna får information om allvarliga informationssäkerhetsproblem snabbare
Tillverkare åtgärdar sårbarheter hela tiden genom att publicera säkerhetsuppdateringar för produkter. En anmälan enligt cyberresiliensakten gäller situationer där produktens sårbarhet redan har utnyttjats eller där tillverkaren har haft en incident som till exempel berott på ett serviceavbrott.
"Anmälningar är avsevärda när det gäller att bilda en lägesbild över cybersäkerheten. Snabb tillgång till information ger användare även en möjlighet att reagera på produktens informationssäkerhetsproblem innan det medför några större olägenheter", säger enhetschef Tomi Kinnari vid Cybersäkerhetscentret.
Tillverkaren kan kontakta användarna direkt eller publicera informationen på sina webbsidor. Användaren bör följa tillverkarens anmälningar om produktrelaterade sårbarheter, om informationssäkerhetsincidenter och eventuella korrigerande åtgärder som användarna själv kan genomföra. Även Cybersäkerhetscentret vid behov kan publicera en uppgift om en osäker produkt.
Tillverkaren måste reagera snabbt på observationerna
Tillverkarna ska följa informationssäkerheten i sina produkter och omedelbart undersöka misstänkta händelser och anmälningar om dem. Efter att tillverkaren har fått tillförlitligt bevis på att sårbarheten har utnyttjats i tillverkarens produkt, ska tillverkaren inom 24 timmar ge en tidig varning om en incident. Den egentliga sårbarhets- eller incidentanmälan görs inom 72 timmar.
Skyldigheten att anmäla sårbarheter och incidenter gäller även sådana produkter vars tillverkning har upphört.
Tillverkarna gör anmälningar på den gemensamma plattformen för kontaktpunkterna (Single Reporting Platform, SRP) som ENISA har utarbetat. Länken till den gemensamma plattformen finns också på Cybersäkerhetscentrets sidor.
Länken till SRP:s anmälningsblankett läggs till på sidan Anmäl en säkerhetsöverträdelse och till CRA:s webbsidor.