En säkerhetsbrist i en uppkopplad produkt stannar sällan hos företaget som byggde den. Den kan spridas till kunder, underleverantörer, offentlig verksamhet och samhällsviktiga system. Därför är cybersäkerhet inte längre bara en fråga om företagsrisk. Det är ett samhällsansvar.
EU:s Cyber Resilience Act, CRA, är ett försök att göra det ansvaret konkret. Förordningen har redan trätt i kraft, men det betyder inte att alla krav gäller i dag. Rapporteringsskyldigheterna börjar tillämpas den 11 september 2026, medan de centrala produktkraven som huvudregel blir tillämpliga den 11 december 2027.
Den tidslinjen är viktig. Vi kan ännu inte slå fast att reglerna får företag att mörka säkerhetsproblem eller lämna den europeiska marknaden. Men vi kan redan nu se den styrningsrisk som Sverige måste ta på allvar: Om rapportering främst förknippas med straff, skam och svårbegriplig administration kan företag bli mer rädda för att hitta fel än motiverade att åtgärda dem.
Det är produkten som står i centrum
CRA gäller produkter med digitala delar, exempelvis hårdvara och mjukvara som direkt eller indirekt kan anslutas till en enhet eller ett nätverk. Förordningen riktar sig framför allt till tillverkare, men innehåller också skyldigheter för importörer och distributörer. Den ska inte blandas ihop med NIS2, som huvudsakligen reglerar cybersäkerhetsrisker och incidentrapportering i vissa utpekade verksamheter.
Tillverkare ska arbeta systematiskt med riskbedömningar, sårbarhetshantering och säkerhetsuppdateringar. Supportperioden ska normalt vara minst fem år, om produktens förväntade användningstid inte är kortare. Det är i grunden rimligt. Den som säljer en router, kamera, industrienhet eller programvarukomponent bör inte kunna betrakta sitt säkerhetsansvar som avslutat i samma ögonblick som fakturan är betald.
Från september 2026 ska tillverkare också rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter som påverkar produktens säkerhet. En tidig varning ska normalt lämnas inom 24 timmar efter att tillverkaren blivit medveten om händelsen, följd av en rapport inom 72 timmar och senare en slutrapport.
Det handlar alltså inte om att varje bugg, mindre driftstörning eller intern felrapport ska anmälas. Det handlar inte heller om att alla uppgifter om en sårbarhet omedelbart ska offentliggöras. Rapporteringen går till ENISA och berörda nationella aktörer och ska hanteras med hänsyn till bland annat konfidentialitet och risken för nya angrepp.
Sanktioner behövs – men de räcker inte
Det vore naivt att tro att frivillighet alltid räcker. Företag kan ha starka incitament att prioritera en snabb lansering framför långsiktigt underhåll, särskilt när kostnaden för en osäker produkt i slutänden hamnar hos kunder eller andra delar av samhället. CRA:s sanktioner behövs därför som en yttersta gräns.
För de allvarligaste överträdelserna kan de administrativa sanktionsavgifterna uppgå till högst 15 miljoner euro eller 2,5 procent av den globala årsomsättningen, beroende på vilket belopp som är högst. Det är taknivåer, inte automatiska böter. Sanktionerna ska bestämmas utifrån omständigheterna och vara effektiva, proportionerliga och avskräckande.
Men hotet om sanktioner skapar inte i sig kompetens, fungerande processer eller bättre kod. Det hjälper inte ett litet teknikföretag att reda ut en komplicerad leveranskedja, bygga upp sårbarhetshantering eller avgöra exakt när rapporteringsplikten har utlösts.
Kommissionens konsekvensbedömning pekar på kostnader för bland annat riskbedömningar, dokumentation, uppdateringar, sårbarhetshantering och bedömning av överensstämmelse. Bördan kan bli särskilt kännbar för små och medelstora företag. CRA innehåller proportionalitetshänsyn, men inget generellt undantag från produktkraven för mindre bolag.
Det finns ett viktigt motargument: Små företag tillverkar inte automatiskt mindre farliga produkter. Ett brett undantag skulle kunna innebära att kundens säkerhet avgörs av leverantörens storlek. Kostnaderna för efterlevnad måste dessutom vägas mot de kostnader som osäkra och övergivna produkter orsakar användare och samhälle.
Just därför bör lösningen vara stöd, inte sänkta säkerhetskrav.
Sverige måste göra det lätt att göra rätt
CRA är en direkt tillämplig EU-förordning, men den svenska organiseringen av tillsyn, sanktioner, kontaktvägar och företagsstöd kommer att påverka hur reglerna fungerar i praktiken. Företag behöver tydlig vägledning, användbara mallar och samordnade rapporteringskanaler. Mindre aktörer behöver kunna få kvalificerad hjälp innan en osäker situation utvecklas till en administrativ och teknisk kris.
Stödet kan inte trolla bort alla kostnader. Kraven är materiella och kan vara tekniskt svåra, särskilt i globala leveranskedjor. Men begripliga besked och fungerande kontaktvägar minskar risken att resurser går till att tolka myndighetsstrukturen i stället för att åtgärda själva sårbarheten.
ENISA beskriver sårbarheter, ransomware och angrepp mot leveranskedjor som centrala delar av Europas cyberhotbild. En bättre gemensam lägesbild kan därför ge stora samhällsvinster. Snabb rapportering kan göra det möjligt att varna andra och samordna skyddsåtgärder, även om det inte går att lova att varje rapport automatiskt leder till en snabb och praktiskt användbar varning.
Cyber Resilience Act kan höja säkerheten i hela Europas digitala marknad. Men framgången kommer inte bara att mätas i antalet rapporter eller utdömda sanktionsavgifter. Den bör mätas i hur många brister som upptäcks, åtgärdas och förhindras från att skada andra.
Sverige bör därför bygga ett system där det är farligt att strunta i säkerheten men tryggt att ta ansvar för den. Annars riskerar rapporteringsplikten att bli ännu en kontrollruta. Rätt utformad kan den i stället bli det skyddsnät som ett alltmer uppkopplat samhälle behöver.
