Kommissionens delegerade förordning (EU) 2026/339 upphäver kommissionens delegerade förordning (EU) 2022/30 med verkan från den 11 december 2027. Den bevarar marknadskontroll och kontroll av överensstämmelse enligt RED för berörd radioutrustning som släppts ut på unionsmarknaden mellan den 1 augusti 2025 och den 10 december 2027 och som omfattades av de relevanta kraven.
Datumet för upphävandet och övergångsgränsen
Europeiska kommissionen antog kommissionens delegerade förordning (EU) 2026/339 den 16 februari 2026. Den offentliggjordes i Europeiska unionens officiella tidning den 29 april 2026 och upphäver kommissionens delegerade förordning (EU) 2022/30 med verkan från den 11 december 2027. Själva upphävandeförordningen trädde i kraft den tjugonde dagen efter offentliggörandet.
Till och med den 10 december 2027 fortsätter kommissionens delegerade förordning (EU) 2022/30 att gälla. Från den 11 december 2027 tillämpas Cyber Resilience Act:s allmänna tillämpningsregler på produkter med digitala element som omfattas av dess tillämpningsområde.
Varför kommissionen upphäver den delegerade akten
Skäl 3 i kommissionens delegerade förordning (EU) 2026/339 anger att de väsentliga cybersäkerhetskraven i bilaga I till Cyber Resilience Act omfattar alla delar av kraven i artikel 3.3 d, e och f i radioutrustningsdirektivet.
Skäl 4 förklarar att upphävandet ska skapa rättssäkerhet och undvika att radioutrustning samtidigt omfattas av cybersäkerhetskrav enligt båda regelverken. Upphävandet är därför anpassat till datumet för Cyber Resilience Act:s allmänna tillämpning.
Vad som gäller till och med den 10 december 2027
För de kategorier och klasser av radioutrustning som omfattas av kommissionens delegerade förordning (EU) 2022/30 fortsätter följande krav i artikel 3.3 i radioutrustningsdirektivet att gälla:
- Led d avser skydd av nät och deras funktion mot skada samt skydd mot missbruk av nätresurser.
- Led e avser skydd av personuppgifter och integritet för användare och abonnenter.
- Led f avser skydd mot bedrägeri.
Hänvisningarna till EN 18031-1:2024, EN 18031-2:2024 och EN 18031-3:2024 offentliggjordes i Europeiska unionens officiella tidning med begränsningar. När en harmoniserad standard omfattar det relevanta kravet och de offentliggjorda begränsningarna följs, kan användningen av den skapa en presumtion om överensstämmelse. Användningen av harmoniserade standarder är fortsatt frivillig och ersätter inte tillverkarens ansvar för bedömningen av överensstämmelse. Se kommissionens genomförandebeslut (EU) 2025/138.
Skäl 5 i kommissionens delegerade förordning (EU) 2026/339 bevarar marknadskontroll och kontroll av överensstämmelse enligt radioutrustningsdirektivet för berörd radioutrustning som släppts ut på unionsmarknaden mellan den 1 augusti 2025 och den 10 december 2027 och som omfattades av de berörda kraven. Upphävandet tar inte retroaktivt bort den bedömningsgrunden för dessa produkter.
Vad som gäller från den 11 december 2027
Cyber Resilience Act tillämpas i allmänhet från den 11 december 2027. För radioutrustning med digitala element måste de tillämpliga kraven därefter bedömas mot bakgrund av förordningens tillämpningsområde och övergångsbestämmelser.
Bilaga I till Cyber Resilience Act innehåller väsentliga cybersäkerhetskrav för produkter och krav på hantering av sårbarheter. Harmoniserade standarder kan skapa en presumtion om överensstämmelse när deras hänvisningar är offentliggjorda i Europeiska unionens officiella tidning och de omfattar det berörda kravet. Enbart ett utkast eller en standardiseringsbegäran skapar inte den presumtionen.
Praktiska konsekvenser för tillverkare
Arbete som utförts enligt radioutrustningsdirektivet är fortsatt relevant tills upphävandet får verkan. Tillverkare bör dock föra separata register över rättsakten, produktversionen, datumet då produkten släpptes ut på marknaden och den offentliggjorda standardhänvisningen som stöder varje bedömning.
Befintliga riskbedömningar, autentiseringsutformningar, sårbarhetsprocesser och tekniskt underlag kan vara användbara underlag vid förberedelser inför Cyber Resilience Act. Att återanvända dem visar dock inte i sig överensstämmelse med Cyber Resilience Act. Det tekniska underlaget måste bedömas mot de faktiska kraven, den specifika produktstatusen och de harmoniserade standarder som är tillämpliga vid tidpunkten.
Frågor och svar
Försvinner cybersäkerhetskraven för radioutrustning
Nej. Kommissionens delegerade förordning (EU) 2022/30 fortsätter att gälla till och med den 10 december 2027. Från den 11 december 2027 är Cyber Resilience Act det relevanta regelverket för produkter som omfattas av dess tillämpningsområde. Hanteringen av en viss produkt beror bland annat på dess tillämpningsområde och de tillämpliga övergångsbestämmelserna.
Vad händer med radioutrustning som redan har släppts ut på marknaden
Enligt skäl 5 påverkar upphävandet inte marknadskontroll och kontroll av överensstämmelse enligt radioutrustningsdirektivet för berörd radioutrustning som släppts ut på unionsmarknaden mellan den 1 augusti 2025 och den 10 december 2027 och som omfattades av de berörda kraven.
Måste varje produkt bedömas på nytt efter den 11 december 2027
Inte automatiskt. Artikel 69 i Cyber Resilience Act innehåller övergångsbestämmelser för produkter med digitala element som släppts ut på marknaden före den 11 december 2027. Bedömningen beror på produkten, datumet då den släpptes ut på marknaden och eventuella väsentliga ändringar.
Vilken roll har EN 18031
De tre delarna av EN 18031 är harmoniserade enligt radioutrustningsdirektivet med uttryckligen offentliggjorda begränsningar. Användningen av dem är frivillig. En presumtion om överensstämmelse uppstår endast för de krav som omfattas och med förbehåll för de begränsningar som offentliggjorts i Europeiska unionens officiella tidning.
Vilka standarder kommer att gälla enligt Cyber Resilience Act
Europeiska standardiseringsorganisationer utvecklar standarder enligt standardiseringsbegäran M/606. Endast hänvisningar till harmoniserade standarder som offentliggjorts i Europeiska unionens officiella tidning kan skapa en presumtion om överensstämmelse för de krav de omfattar. Tillverkare bör skilja mellan arbetsutkast, offentliggjorda standarder och harmoniserade standarder som det hänvisas till i Europeiska unionens officiella tidning. Europeiska kommissionens information om CRA-standardisering beskriver det aktuella arbetet.
Checklista för övergången
- Bekräfta om radioutrustningen omfattas av kommissionens delegerade förordning (EU) 2022/30 innan upphävandet får verkan.
- Dokumentera produktversionen och datumet då den släpptes ut på unionsmarknaden.
- Håll dokumentation för de relevanta kraven i artikel 3.3 d, e och f åtskild från framtida dokumentation enligt Cyber Resilience Act.
- När EN 18031 används, kontrollera det relevanta omfattade kravet och de offentliggjorda begränsningarna.
- Bedöm Cyber Resilience Act:s tillämpningsområde och övergångsbestämmelser för produkter med digitala element.
- Behandla befintlig RED-dokumentation som underlag för senare arbete, inte som bevis på överensstämmelse med Cyber Resilience Act.