7 sep 2026 13:32

Ny EU-regel: Sårbarheter ska rapporteras inom 24 timmar

Från och med fredag den 11 september måste tillverkare av hårdvara och mjukvara rapportera aktivt utnyttjade sårbarheter inom 24 timmar från det att de fått kännedom om dem.

Då börjar rapporteringskraven i EU Cyber Resilience Act, CRA, att gälla. Det sker mer än ett år innan huvuddelen av den nya cybersäkerhetsförordningen börjar tillämpas i december 2027.

Kraven gäller tillverkare av så kallade produkter med digitala element som tillhandahålls på EU-marknaden. Det omfattar både hårdvara och mjukvara och berör därmed bland annat leverantörer av nätutrustning, uppkopplade produkter och annan telekomnära teknik.
Rapporteringsplikten gäller aktivt utnyttjade sårbarheter och allvarliga incidenter som påverkar produktens säkerhet. En första varning ska lämnas inom 24 timmar och en mer utförlig anmälan inom 72 timmar.

Rapporteringen ska ske genom en gemensam plattform som drivs av EU:s cybersäkerhetsbyrå Enisa och som ska vara i drift när kraven börjar gälla på fredag.

För teleoperatörerna innebär CRA framför allt nya krav på leverantörsledet. Operatörerna omfattas redan av andra regler för cybersäkerhet och incidentrapportering, medan CRA ställer direkta krav på tillverkarna av den hårdvara och mjukvara som används i näten. Operatörer som själva tillhandahåller produkter som omfattas av CRA kan däremot också träffas av reglerna i rollen som tillverkare.

Rapporteringsplikten omfattar även produkter som redan finns på EU-marknaden. Huvuddelen av CRA börjar tillämpas först den 11 december 2027, men för rapporteringen av aktivt utnyttjade sårbarheter och allvarliga säkerhetsincidenter börjar klockan ticka redan på fredag.