Det första officiella FAQ-dokumentet om Cyber Resilience Act är nu tillgängligt. På 66 sidor klargör EU-kommissionen viktiga frågor om omfattning, tillverkarskyldigheter och implementering.
Bakgrund och betydelse
Cyber Resilience Act (förordning (EU) 2024/2847) trädde i kraft den 10 december 2024. Förordningen fastställer cybersäkerhetskrav för produkter med digitala element som släpps ut på EU-marknaden. Sedan ikraftträdandet har det funnits ett betydande behov av förtydliganden bland tillverkare, importörer och andra ekonomiska aktörer angående konkret implementering.
Det nyligen publicerade dokumentet erbjuder initial vägledning. Kommissionen understryker uttryckligen:
- Det är ett "levande dokument" som kommer att uppdateras vid behov
- Svaren utgör inte en bindande juridisk tolkning
- Ytterligare officiella riktlinjer enligt artikel 26 i CRA kommer att följa under kommande månader
Struktur och omfattning
Dokumentet är indelat i sju huvudkapitel med totalt 75 enskilda frågor:
- Omfattning (9 frågor) - Vilka produkter faller under CRA och vilka är uteslutna?
- Interaktion med andra rättsakter (23 frågor) - Förhållandet till maskinförordningen, GDPR, produktsäkerhet, Radio Equipment Directive och andra EU-rättsakter
- Viktiga och kritiska produkter (4 frågor) - Klassificering och dess effekter
- Tillverkarskyldigheter (29 frågor) - Riskbedömning, väsentliga krav, sårbarhetshantering, due diligence, supportperioder
- Rapporteringsskyldigheter (4 frågor) - Krav för rapportering av sårbarheter och incidenter
- Överensstämmelsebedömning (10 frågor) - Moduler A, B+C och H, teknisk dokumentation, CE-märkning
- Övergångsbestämmelser (5 frågor) - Tillämpningsdatum och behandling av äldre produkter
Utvalda förtydliganden
Dokumentet innehåller många praktiska förtydliganden. Några exempel:
- Om omfattning: Kommissionen ger konkreta exempel på produkter som inte faller under CRA, såsom en diskmaskin med inbyggd firmware som inte har anslutningsförmåga till andra enheter, eller en elektrisk tandborste med en trådlös laddstation men utan dataanslutning.
- Om tillverkarskyldigheter: Tillverkare är inte nödvändigtvis skyldiga att åtgärda varje upptäckt sårbarhet; de måste besluta baserat på risk. Kommissionen förklarar med exempel när olika åtgärder kan vara lämpliga - från omedelbara patchar genom workarounds till dokumentationsuppdateringar.
- Om komponenter: Tillverkare får integrera komponenter utan CE-märkning, till exempel open source-komponenter. Det avgörande är utövandet av lämplig due diligence, vars omfattning beror på risken som den respektive komponenten medför.
- Om supportperioden: Minimumsupportperioden på fem år är inte absolut. För produkter med kortare förväntad användbar livslängd kan supportperioden vara motsvarande kortare. Omvänt, för produkter med längre förväntad användningsperiod måste tillverkare tillhandahålla längre supportperioder.
- Om övergångsbestämmelser: CRA gäller för enskilda produkter, inte för produkttyper. En produkttyp utvecklad före gränsdatumet kan inte bara fortsätta att produceras och släppas ut på marknaden efter 11 december 2027 om den inte är CRA-kompatibel.
Praktisk betydelse
Dokumentet svarar på många frågor som företag tog upp med kommissionen under de senaste månaderna. Det ger tillverkare konkret vägledning för att förbereda sig för obligatorisk CRA-implementering från 11 december 2027.
Särskilt hjälpsamma är de många praktiska exemplen som konkretiserar förordningens abstrakta krav. Dokumentet ersätter dock inte behovet av en individuell juridisk bedömning, särskilt för komplexa produkter eller konstellationer.
Slutsats
Det publicerade dokumentet ger tillverkare den första officiella vägledningen för tolkning av CRA-kraven. Särskilt användbar är behandlingen av gränsfall, förtydliganden av överlappningar med andra rättsakter och de många praktiska exemplen som avslöjar en pragmatisk ansats från kommissionen.
Dokumentet förblir dock medvetet allmänt. Kommissionen påpekar upprepade gånger att tillverkare måste besluta på grundval av sin individuella riskbedömning och understryker den provisoriska naturen av denna första vägledning. Med tillkännagivandet av ytterligare riktlinjer under de kommande månaderna bör tillverkare se dokumentet som en viktig första byggsten för sin CRA-efterlevnad, inte som en slutgiltig manual.
Ytterligare länkar: