Cyber Resilience Act-rapporteringsskyldigheter har gällt sedan den 11 september 2026, även för kvalificerade produkter som släppts ut på marknaden före december 2027. Tillverkare behöver vara redo att bedöma och rapportera vissa händelser som påverkar dessa produkter.
Rapporteringsskyldigheten har en tidigare tidsfrist
Många tillverkare planerar för den 11 december 2027, då Cyber Resilience Act i allmänhet börjar tillämpas, med förbehåll för dess övergångsbestämmelser. Rapporteringsskyldigheterna i artikel 14 i förordning (EU) 2024/2847 började dock gälla den 11 september 2026.
Detta skapar en viktig praktisk åtskillnad. Krav som de bredare produktsäkerhetsskyldigheterna inom cybersäkerhet och tidsplanen för bedömning av överensstämmelse har egna regler för tillämpning. Rapportering enligt artikel 14 är redan en operativ skyldighet för tillverkare av produkter med digitala element som omfattas av förordningens tillämpningsområde.
Vad artikel 14 omfattar
Artikel 14 avser två definierade typer av händelser:
- sårbarheter i produkter med digitala element som aktivt utnyttjas
- allvarliga incidenter som påverkar säkerheten hos produkter med digitala element
En sårbarhet som aktivt utnyttjas är inte bara en känd sårbarhet, en CVE eller ett proof of concept. Förordningen kräver tillförlitliga bevis på att en illvillig aktör har utnyttjat sårbarheten i ett system utan systemägarens tillstånd.
Den första anmälan är en tidig varning och ska lämnas utan onödigt dröjsmål och under alla förhållanden inom 24 timmar efter att tillverkaren fått kännedom om händelsen. En mer fullständig anmälan följer inom 72 timmar. Senare rapporteringsskeden har annat innehåll och andra tidsfrister.
Tillverkare lämnar för närvarande obligatoriska anmälningar enligt artikel 14 via ENISA:s Single Reporting Platform, som ENISA uppger blev operativ den 11 september 2026. Dess aktuella FAQ-vägledning bör konsulteras för den aktuella operativa processen.
Varför befintliga produkter omfattas
Artikel 69.3 utgör den specifika rättsliga grunden för denna tidigare räckvidd. Den gör rapporteringsskyldigheterna enligt artikel 14 tillämpliga på produkter med digitala element som omfattas av Cyber Resilience Act och som släppts ut på marknaden före den 11 december 2027.
Detta är inte en allmän regel som gör varje skyldighet enligt Cyber Resilience Act retroaktiv för varje äldre produkt. Det innebär inte heller att varje installerad eller ansluten produkt automatiskt omfattas. Produkten och tillverkaren måste omfattas av förordningens tillämpningsområde, och händelsen måste uppfylla tröskeln i artikel 14.
För tillverkare kan konsekvensen dock vara betydande. En kvalificerad produkt som släppts ut på marknaden före december 2027 kan fortfarande medföra en rapporteringsskyldighet enligt artikel 14 från september 2026, även om andra krav i Cyber Resilience Act följer en annan övergångstidsplan.
Kännedom är avgörande
Rapporteringstiden är knuten till kännedom om den rapporteringspliktiga händelsen. Den börjar inte löpa enbart för att en sårbarhet har offentliggjorts eller för att en produkt innehåller en sårbar komponent.
Aktuell vägledning från kommissionen och ENISA förklarar att tillverkare inte rapporterar aktivt utnyttjande retroaktivt när de redan kände till det före den 11 september 2026. Om kännedom om aktivt utnyttjande uppkommer efter detta datum kan rapporteringsskyldigheten däremot gälla även om den underliggande sårbarheten fanns, eller var känd, tidigare. Vägledningen hjälper till att förklara övergången, men ändrar inte förordningen.
Förberedelser för 24-timmarsfristen
De rättsliga tidsfristerna lämnar litet utrymme för att inrätta grundläggande arrangemang först efter att en händelse uppstår. Ett praktiskt förberedelseprogram för befintliga produkter kan omfatta:
- att identifiera produkter inom tillämpningsområdet som släppts ut på marknaden före den 11 december 2027
- att dokumentera produktidentitet, supportstatus och ansvarigt ägarskap
- att upprätthålla kanaler genom vilka information om sårbarheter och utnyttjande kan nå rätt team
- att definiera en inledande bedömningsväg för att avgöra om en händelse kan uppfylla tröskeln i artikel 14
- att tilldela ansvar för eskalering och rapportering
Detta är en praktisk förberedelselista, inte en lagstadgad checklista eller ett avgörande om att en viss produkt eller händelse är rapporteringspliktig.
Håll rapporteringsregimer åtskilda
Rapportering enligt artikel 14 kan finnas parallellt med andra rapporteringsskyldigheter som gäller för en organisation eller händelse. En anmälan enligt Cyber Resilience Act bör inte betraktas som att den automatiskt fullgör skyldigheter enligt NIS 2, sektorsspecifika regler eller nationell rätt.
Den omedelbara frågan för tillverkare är därför inte bara vad som förändras i december 2027. Den är om deras arrangemang för produkters cybersäkerhet kan identifiera, bedöma och eskalera en potentiellt rapporteringspliktig händelse som påverkar en befintlig produkt inom tillämpningsområdet inom en 24-timmarsfrist baserad på kännedom.