Cyberresiliensakten kräver inte att tillverkare rapporterar varje sårbarhet eller omedelbart åtgärdar varje CVE. De tidiga rapporteringsskyldigheterna börjar gälla den 11 september 2026, medan de bredare skyldigheterna för hantering av sårbarheter i allmänhet gäller från den 11 december 2027.
Skilj rapportering från sårbarhetshantering
Två vanliga antaganden om cyberresiliensakten (CRA), förordning (EU) 2024/2847, är missvisande: att varje sårbarhet måste rapporteras från september 2026 och att varje CVE som påverkar en komponent måste åtgärdas. Förordningen säger inget av detta.
Den skiljer mellan omedelbar rapportering av vissa händelser och det bredare, löpande arbetet med att hantera sårbarheter i produkter med digitala element.
| Skyldighet | Utlösande faktor | Vad som krävs | Tillämpningsdatum |
|---|---|---|---|
| Rapportera till den utsedda CSIRT-samordnaren och ENISA | Tillverkaren får kännedom om en aktivt utnyttjad sårbarhet i sin produkt eller om en allvarlig incident som påverkar produktens säkerhet | Lämna en tidig varning inom 24 timmar, en anmälan inom 72 timmar och tillämplig slutrapport; informera berörda användare och, när så är lämpligt, alla användare | 11 september 2026 |
| Hantera sårbarheter i produkten | En sårbarhet i produkten eller dess komponenter blir känd | Bedöm tillämplighet, praktisk utnyttjbarhet och risk; hantera och åtgärda sårbarheter utan dröjsmål i förhållande till risken; dokumentera arbetet | I allmänhet 11 december 2027 |
| Övervaka och ta emot sårbarhetsinformation | Löpande | Upprätthåll processer för interna och externa sårbarhetskällor, testning, samordnat offentliggörande av sårbarheter och en kontaktväg för rapportering | I allmänhet 11 december 2027 |
Artikel 71.2 klargör tidpunkten: förordningen tillämpas från den 11 december 2027, men rapporteringen enligt artikel 14 gäller från den 11 september 2026. Det tidigare datumet tidigarelägger inte varje CRA-skyldighet för sårbarhetshantering.
Övergångsreglerna är också viktiga. Artikel 69 tillämpar rapporteringen enligt artikel 14 på produkter inom tillämpningsområdet som släppts ut på marknaden före den 11 december 2027. En äldre produkt bör därför inte behandlas som undantagen från rapporteringssystemet enbart för att den föregår det allmänna tillämpningsdatumet. De bredare skyldigheterna kräver en egen bedömning mot förordningens tillämpningsområde och övergångsbestämmelser.
Vad som måste rapporteras
Artikel 14 skapar två huvudsakliga rapporteringströsklar.
För det första måste en tillverkare rapportera en aktivt utnyttjad sårbarhet som finns i produkten när tillverkaren får kännedom om den. Detta är snävare än en sårbarhet som skulle kunna utnyttjas. CRA definierar en aktivt utnyttjad sårbarhet som en sårbarhet för vilken det finns tillförlitliga bevis på att en fientlig aktör har utnyttjat den i ett system utan systemägarens tillstånd.
För det andra måste en tillverkare rapportera en allvarlig incident som påverkar produktens säkerhet. Enligt artikel 14.5 är en incident allvarlig när den negativt påverkar, eller kan negativt påverka, produktens förmåga att skydda tillgängligheten, äktheten, integriteten eller konfidentialiteten hos känsliga eller viktiga data eller funktioner. Den är också allvarlig när den har lett, eller kan leda, till att skadlig kod införs eller körs i produkten eller i en användares nätverks- och informationssystem.
En ny databaspost, ett resultat från ett penetrationstest eller en rapport från en säkerhetsforskare är därför inte automatiskt en rapport enligt artikel 14. Den måste fortfarande gå in i tillverkarens process för sårbarhetshantering. Men utan tillförlitliga bevis på illvilligt utnyttjande uppfyller ett fynd som upptäckts genom testning utan ont uppsåt, forskning, åtgärdande eller offentliggörande inte i sig tröskeln för aktivt utnyttjad sårbarhet som beskrivs i CRA.
Rapporteringstidsplanen är stegvis
Förordningen fastställer olika steg och tidsfrister för slutrapportering för sårbarheter och incidenter.
| Rapporteringssteg | Tidsfrist |
|---|---|
| Tidig varning | Inom 24 timmar från det att tillverkaren fått kännedom |
| Anmälan | Inom 72 timmar från det att tillverkaren fått kännedom |
| Slutrapport för en aktivt utnyttjad sårbarhet | Senast 14 dagar efter att en korrigerande eller riskbegränsande åtgärd finns tillgänglig |
| Slutrapport för en allvarlig incident | Inom en månad efter 72-timmarsanmälan |
Rapporter ska lämnas samtidigt till den utsedda CSIRT-samordnaren och ENISA. Den nuvarande operativa vägen är ENISA:s Single Reporting Platform. ENISA rekommenderar för närvarande att tillverkare använder EU Login och ordnar åtkomst genom utsedda representanter. Dessa operativa detaljer kan ändras och bör därför kontrolleras i den aktuella vägledningen för ENISA:s plattform före användning.
Att informera användare är en del av beredskapen
Rapportering till myndigheter är inte den enda omedelbara uppgiften. Artikel 14.8 kräver att tillverkaren informerar berörda användare och, när så är lämpligt, alla användare om sårbarheten eller incidenten. Vid behov måste tillverkaren också kommunicera riskbegränsande och korrigerande åtgärder som användare kan vidta.
En praktisk beredskapslösning för september 2026 omfattar därför:
- åtkomst till rapporteringsplattformen och klarhet om relevant CSIRT-samordnare;
- en utsedd rapportör och en fungerande ersättarordning utanför ordinarie arbetstid;
- en snabb process för att granska trovärdiga rapporter och registrera när tillverkaren fick kännedom om frågan; och
- ett tillförlitligt sätt att kontakta användare, med tydlig incidentkommunikation förberedd i förväg.
Ett fullt utvecklat team för hantering av produktsäkerhetsincidenter kan stödja detta arbete, men artikel 14 föreskriver ingen särskild organisationsmodell. Det viktiga är att tillverkaren kan känna igen en utlösande faktor, agera inom tidsfristerna och nå berörda användare.
En CVE är ett underlag, inte rapporteringströskeln
En CVE-identifierare hjälper människor att identifiera och katalogisera en offentliggjord sårbarhet. Den är användbar samordningsinfrastruktur, men den är inte CRA:s allmänna rapporteringströskel och inte ett allmänt villkor för efterlevnad.
Den juridiska tröskeln är aktivt utnyttjande i tillverkarens produkt eller en allvarlig produktsäkerhetsincident. ENISA:s aktuella rapporteringsvägledning anger ett CVE-ID som valfritt i mallen för 24-timmarsrapporten. Det betyder inte att CVE-information aldrig kommer att vara användbar eller efterfrågas senare; det betyder att en CVE-identifierare inte ersätter bedömningen av de produktspecifika omständigheterna.
ENISA:s roller i CVE-programmet och dess drift av EU:s sårbarhetsdatabas kan stödja upptäckt och samordning. De avgör inte om ett komponentproblem gäller en viss produkt eller om en rapport enligt artikel 14 krävs.
Bedöm komponentsårbarheter i sitt sammanhang
CRA kräver att tillverkare identifierar och dokumenterar sårbarheter och komponenter, bland annat genom att upprätta en programvaruförteckning över ingående komponenter. Den kräver också att de hanterar och åtgärdar sårbarheter utan dröjsmål i förhållande till de risker som produkten medför.
En träff i en databas är bara början på analysen. En tillverkare behöver fastställa om:
- den berörda komponenten och versionen finns i produkten;
- sårbarheten påverkar hur den komponenten används i produkten;
- en angripare effektivt skulle kunna utnyttja den under praktiska driftsförhållanden; och
- den därav följande risken kräver åtgärdande, riskbegränsning eller en annan dokumenterad åtgärd.
CRA definierar en sårbarhet som kan utnyttjas som en sårbarhet som kan användas effektivt av en angripare under praktiska driftsförhållanden. Det kräver en produktspecifik bedömning, inte en automatisk slutsats från ett skanningsresultat.
| Bedömningsutfall | Lämpligt nästa steg |
|---|---|
| Komponenten saknas eller versionen är opåverkad | Dokumentera bedömningen och dess grund |
| Komponenten finns men problemet är inte utnyttjbart under praktiska driftsförhållanden | Dokumentera resonemanget, överväg tillämpliga skyldigheter att rapportera komponenter och fortsätt övervaka relevanta förändringar |
| Komponentproblemet är tillämpligt och utnyttjbart | Hantera och åtgärda det utan dröjsmål i förhållande till risken, dokumentera beslutet och kommunicera relevant korrigerande information |
| Det finns tillförlitliga bevis på illvilligt utnyttjande i produkten | Vidta åtgärderna för sårbarhetshantering och lämna rapporterna enligt artikel 14; informera användare enligt kraven |
Ett fynd som inte är utnyttjbart bör inte bara försvinna ur sikte. Artikel 13 kräver systematisk och proportionerlig dokumentation av relevanta cybersäkerhetsaspekter, inklusive kända sårbarheter. En tydlig dokumentation av varför ett fynd påverkar eller inte påverkar produkten är ofta lika viktig som det tekniska resultatet.
Bygg den bredare processen för december 2027
Från det allmänna tillämpningsdatumet blir sårbarhetshantering en bredare operativ disciplin. CRA kräver riskbedömning, processer för sårbarhetshantering, regelbunden och effektiv säkerhetstestning, åtgärder för samordnat offentliggörande av sårbarheter och en kontaktadress för rapportering av sårbarheter. Tillverkare behöver också en SBOM som hjälper dem att koppla extern information till sina egna produkter.
Användbara underlag omfattar offentliga sårbarhetsdatabaser, information om komponenter och leverantörer, intern testning och rapporter från externa parter. Inget av dessa underlag avgör ensamt den rättsliga frågan. Tillverkaren måste relatera dem till sin produkt, dess driftsförhållanden och de relevanta riskerna.
Verktyg för analys av programvarusammansättning, SBOM-hantering och matchning av sårbarheter kan hjälpa till att identifiera möjlig exponering i stor skala. De fastställer vanligtvis inte om en sårbar funktion kan nås, om utnyttjande är praktiskt i produktens driftsmiljö eller vilken risk som följer. Definiera först processen för bedömning och dokumentation och automatisera sedan de delar som kan upprepas.
Fokusera på rätt skyldighet vid rätt tidpunkt
För den 11 september 2026 är den omedelbara prioriteringen en fungerande process för rapportering och användarkommunikation. Tillverkare bör kunna känna igen aktivt utnyttjade sårbarheter och allvarliga incidenter, lämna stegvisa rapporter i tid och underrätta användare när det krävs.
För den 11 december 2027 breddas fokus till kontinuerlig sårbarhetshantering: upptäckt, bedömning, riskbaserat åtgärdande, dokumentation, testning, rutiner för offentliggörande och komponentöversikt.
Kort sagt: rapportera det som uppfyller tröskeln i artikel 14. Bedöm varje känd sårbarhet i produktens sammanhang. Åtgärda sårbarheter i förhållande till risken och behåll underlaget som styrker beslutet. Detta är allmän regulatorisk information, inte juridisk rådgivning.