EU:s cyberkrav: tillverkarna får ansvaret

EU:s cyberresiliensförordning, CRA, innebär nya cybersäkerhetskrav för uppkopplade produkter och programvara. Enligt Svenskt Näringsliv krävs CE-märkning för att nätverksanslutna produkter ska få säljas på den europeiska marknaden. Syftet är att öka motståndskraften mot cyberattacker och göra säkerhetsegenskaper mer transparenta.

Från användare till tillverkare

Förordningen trädde i kraft den 10 december 2024 och ska tillämpas fullt ut från december 2027. Enligt Dagens PS måste allt med mjukvara och internetuppkoppling uppfylla de nya säkerhetskraven från slutet av 2027. Produkter som inte klarar kraven får inte säljas, inte CE-märkas och riskerar att dras från marknaden.

Ansvaret flyttas därmed från användaren till tillverkaren. Produkterna ska vara säkra redan från start, så kallat secure by design. Dagens PS nämner exempel som Wi-Fi-routrar, smarta TV-apparater, babymonitorer, industriell programvara och appar. Svenskt Näringsliv lyfter fram att kraven framför allt påverkar tillverkare av uppkopplade konsumentprodukter, men även importörer och distributörer berörs.

Böter inom EU för den som ligger efter

För svenska tillverkare och importörer innebär CRA en omställning som redan borde ha startat, enligt Dagens PS. Tidningen anger i sin rubrik att böter på upp till 15 miljoner euro kan bli aktuella inom EU. Beloppet nämns endast i rubriken och specificeras inte närmare i artikeltexten, och det finns inte heller stöd i underlaget för att just detta belopp gäller i den svenska kontexten.

Samtidigt pågår arbetet med hur reglerna ska genomföras i Sverige. Den svenska Cyberresiliensutredningen föreslog i slutet av förra året hur lagen ska implementeras, enligt Dagens PS. I förslaget pekas Post- och telestyrelsen ut som marknadskontrollmyndighet med ansvar för att produkter uppfyller kraven. Myndigheten för samhällsskydd och beredskap föreslås ta emot rapporter om säkerhetsbrister och incidenter.

Stegvis anpassning kräver överblick

Dagens PS beskriver hur anpassningen kan gå till i praktiken. Marco Spielmann, vd för det estniska mjukvaruföretaget Proekspert, beskriver processen i tre steg. Först görs en gapanalys där produkten, mjukvarukomponenterna och processerna bakom granskas. Därefter följer teknisk implementering så att produkten kan certifieras.

För ett mindre företag innebär det att inventera vilka produkter som omfattas, vilka komponenter som används och vilka rutiner som finns för att hantera säkerhetsbrister. Dagens PS skriver att omställningen redan borde ha startat, vilket talar för att gå igenom verksamheten i god tid före december 2027.

Avtalen blir en del av arbetet

För företag som inte själva tillverkar produkterna flyttar kraven in i avtalen. Importörer och distributörer måste kunna visa att produkterna uppfyller kraven, och leverantörsledet blir därför en avtalsfråga. Det gäller att tidigt klargöra vem som ansvarar för att produkten är säker vid leverans, hur uppdateringar hanteras och vad som gäller om en brist upptäcks.

Enligt Svenskt Näringsliv är syftet med förordningen att öka motståndskraften mot cyberattacker och öka transparensen kring säkerhetsegenskaper. För den enskilde företagaren innebär det att säkerhet blir en del av produktkravet, inte en separat fråga för it-avdelningen. Nästa steg är att gå igenom produktportföljen, stämma av leverantörsavtalen och ta reda på vilka krav som gäller för just de produkter man säljer eller använder.

Så påverkas svenska företag

Kraven kommer samtidigt som cyberhoten mot svenska verksamheter uppmärksammas. Enligt DNV Cybers rapport How Cyber Resilient is Sweden? registrerade Sverige 60 cyberincidenter mot kritisk infrastruktur under 2025, fler än något annat nordiskt land. Rapporten visar enligt DNV att problemet lika mycket handlar om bristande ledarskapsansvar som om teknisk exponering.

För små och medelstora företag är CRA framför allt en fråga om förberedelse. De som säljer uppkopplade produkter behöver kunna visa att kraven är uppfyllda, och de som använder dem behöver ställa frågor till sina leverantörer. Enligt Dagens PS flyttas ansvaret från användaren till tillverkaren, och det är tillverkaren som bär ansvaret för att produkterna uppfyller kraven när reglerna tillämpas fullt ut.