EU Cyber Resilience Act (EU CRA). Kunduttalande

EU Cyber Resilience Act (EU CRA) är utformad för att stärka säkerheten för digitala produkter, inklusive programvara och uppkopplade enheter. Förordningen fastställer tydliga och enhetliga regler som företag ska följa när de tar fram dessa produkter. Denna bindande reglering minskar riskerna genom att kräva att tillverkare bygger in säkerhet i sina produkter och snabbt åtgärdar eventuella cybersårbarheter som identifieras i fält. Målet är att skapa en säkrare digital miljö för alla genom att främja tillgången till produkter som är "säkra som standard". EU CRA kräver att tillverkare släpper överensstämmande produkter på Europeiska unionens marknad från och med den 11 december 2027. Tillverkare är också skyldiga att rapportera allvarliga incidenter och aktivt utnyttjade sårbarheter till relevanta nationella myndigheter eller Computer Security Incident Response Teams (CSIRTs) från och med den 11 september 2026.

EU CRA kräver att produkter med digitala element (PDE:er) som ansluter till eller samverkar med andra enheter eller nätverk uppfyller grundläggande cybersäkerhetskrav i sin konstruktion, utveckling och produktion. Förordningen kräver också hantering av sårbarheter under hela produktens livscykel. Beskrivningen nedan ger en översikt över de viktigaste skyldigheterna enligt EU CR.

EU:s CRA kategoriserar PDEs i fyra grupper med varierande nivåer av bedömning av överensstämmelse: "Common", "Important Class I", "Important Class II" och "Critical". "Important"- och "Critical"-PDEs anges i bilagorna III och IV. "Important"-PDEs (t.ex. brandväggar) och "Critical"-PDEs (t.ex. Hardware Security Module, Smartcards) tillhandahåller viktiga cybersäkerhetsfunktioner eller är avgörande för centrala aktörer eller leveranskedjor i EU. De kräver att harmoniserade standarder följs samt certifiering från tredje part.

Produkter anges under bilagorna III eller IV endast om deras kärnfunktioner motsvarar de angivna typerna; kombinerade produkter, såsom maskiner, ärver inte klassificeringen av kritikalitet. Trots skillnader i bedömningen av överensstämmelse förblir de grundläggande cybersäkerhetskraven för produktegenskaper konsekventa i alla kategorier.