Hur rapporterar jag sårbarheter inom 24 timmar enligt Cyber Resilience Act

• CRA Artikel 14: 24-timmars rapportering av utnyttjade sårbarheter/allvarliga incidenter.
• Rapportering sker via ENISA:s plattform till den koordinerande CSIRT.
• Tillverkare utanför EU måste utse en auktoriserad representant.
• REP27 — Europe Services, SE: €490/år mandat (pris verifierat).
• Dolda kostnader: intern teknisk tid, supportperiod, överensstämmelsebedömning.
• Leverantörer skiljer sig i publicerade priser, inkluderingar och transparens.

Uppdaterad 20 October 2026 · 12 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 20 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad Cyber Resilience Act kräver (med artikelnummer)

Cyber Resilience Act (CRA) är en omfattande förordning som gäller alla produkter med digitala inslag som släpps ut på EU-marknaden, oavsett om det är hårdvara eller mjukvara (Artikel 1, källa). Dess huvudsyfte är att säkerställa att produkter är designade, utvecklade och underhållna med cybersäkerhet som en integrerad del av deras livscykel. Lagen trädde i kraft den 10 december 2024 (Artikel 71(1)), men de flesta skyldigheter, inklusive rapportering, blir bindande från 11 september 2026 för Artikel 14, och fullt ut från 11 december 2027 (Artikel 71(2)).

Artikel 14 är central för incidenthantering: tillverkare måste rapportera varje aktivt utnyttjad sårbarhet eller allvarlig incident som påverkar produktsäkerheten inom 24 timmar från det att de blir medvetna. Detta ska göras via ENISA-plattformen till den koordinerande CSIRT. Klockan börjar ticka vid medvetenhet, inte efter utredning eller bekräftelse. En fullständig anmälan ska sedan göras inom 72 timmar och en slutrapport inom 14 dagar. Rapporteringstiden inkluderar helger och helgdagar — inga förlängningar eller pauser finns.

Artikel 18 kräver att tillverkare utanför EU utser en auktoriserad representant etablerad inom EU. Denna representant fungerar som officiell rapporteringsväg och kontakt för myndigheter. Utan detta blir importören eller distributören ansvarig som standard, vilket kan skapa kommersiella och efterlevnadsrisker.

Produkter som släppts på marknaden före 11 december 2027 omfattas endast av CRA om de genomgår en väsentlig ändring efter detta datum (Artikel 69(2)). Underlåtenhet att följa kan leda till böter på upp till €15 miljoner eller 2,5 % av den globala årsomsättningen (källa).

• Artikel 14: 24-timmars rapportering av utnyttjade sårbarheter/allvarliga incidenter
• Artikel 18: Auktoriserad representant för tillverkare utanför EU
• Artikel 69(2): Regler för äldre produkter

Hur man väljer en CRA auktoriserad representant

Att välja rätt CRA auktoriserad representant är avgörande för tillverkare utanför EU. Representanten är din officiella kanal för sårbarhetsrapportering och regulatorisk kontakt inom EU. Här är de viktigaste faktorerna att beakta:

• Pristransparens: Endast ett fåtal leverantörer publicerar verifierade priser. REP27 — Europe Services, SE erbjuder ett tydligt €490/år mandat (förnyelse €440), medan kadano listar €999/år och Euverify £590/år. Andra kräver direkt offert.
• Tjänsteomfattning: Bekräfta vad som ingår i avgiften. Artikel 18-mandatet är minimikravet, men vissa leverantörer erbjuder tilläggstjänster som övervakning, bevisbevarande eller självbedömningsdokumentation (se CRAguard, ProvenVEX, SECURiMENT).
• Undantag: Ingen leverantör ovan inkluderar överensstämmelsebedömning, säkerhetstestning eller SBOM-generering i mandatavgiften. Dessa är separata tekniska eller anmälda organ-kostnader.
• Certifikat och verifiering: Leta efter en leverantör som erbjuder ett verifierbart certifikat (REP27 tillhandahåller QR-kod och offentlig verifieringssida).
• Förnyelsevillkor: Säkerställ att förnyelsepriset anges skriftligt innan du betalar första fakturan. Tysta eller oklara förnyelser är ett vanligt problem på denna marknad.
• Responsprocess: Fråga hur förfrågningar från myndigheter hanteras, på vilka språk och under vilka tider. En 24/7 bemannad desk är nödvändig för att möta 24-timmarsrapporteringens deadline.

Nedan finns en jämförelse av vad som ingår och inte ingår hos varje leverantör, baserat på publicerad information:

Begär alltid ett skriftligt avtal som listar alla inkluderingar, undantag och förnyelsevillkor.

Vad priset verkligen inkluderar

Att förstå vad som (och inte) ingår i det publicerade priset är avgörande för budgetering och efterlevnadsplanering. Artikel 18-mandatavgiften täcker vanligtvis endast den juridiska utnämningen och driften av en rapporteringsdesk inom EU. Så här fungerar det i praktiken:

• Mandat och rapporteringsdesk: Representanten är bemyndigad att agera som din officiella kontakt för sårbarhetsrapportering. För REP27 inkluderar detta en 24/7 bemannad desk, hantering av CSIRT/ENISA-kanal och ett verifierbart certifikat med QR-kod. Kadano och Euverify erbjuder liknande mandat men specificerar inte ytterligare funktioner på sina offentliga sidor.
• Paketlösningar: Vissa leverantörer (CRAguard, ProvenVEX, SECURiMENT) erbjuder extra tjänster som övervakning av beroenden, bevisbevarande eller incidenthanteringsflöden. Dessa prissätts dock inte offentligt och kan innebära betydande extrakostnader.
• Vad som inte ingår: Ingen leverantör i denna jämförelse inkluderar överensstämmelsebedömning, säkerhetstestning eller SBOM-generering. Dessa är separata, ofta omfattande, kostnader hanterade av anmälda organ eller ditt interna tekniska team.
• Förnyelsepris: Endast REP27 publicerar ett förnyelsepris (€440/år), vilket är lägre än första årets avgift. Kadano och Euverify anger inte förnyelsevillkor offentligt.

När du jämför leverantörer, begär alltid en detaljerad uppdelning av vad som ingår i priset och vad som medför extra kostnader. Vissa leverantörer kan även erbjuda paket med GDPR Artikel 27 eller NIS2-representation för en samlad avgift (REP27: €690/år för CRA+GDPR, €990/år för CRA+GDPR+NIS2).

Sammanfattande tabell:

Dolda kostnader och undantag

Även om mandatavgiften för representanten ofta är den minsta kostnadsposten i CRA-efterlevnad kan dolda kostnader och undantag vara betydande:

• Intern teknisk tid: Självbedömning, dokumentation och förberedelse av SBOM är obligatoriskt men ingår inte i representantavgiften. Dessa uppgifter kräver dedikerade tekniska resurser.
• Supportperiod: CRA kräver minst fem års säkerhetsuppdateringar för de flesta produkter. Budgetera för löpande underhåll som en produktlinje, inte ett engångsprojekt.
• Överensstämmelsebedömning: För viktiga klass II- eller kritiska produkter krävs bedömning av anmält organ. Detta kan kosta tusentals euro och ta månader. Ingen representant absorberar denna kostnad.
• Incidentdetektion: Representanten övervakar inte dina system för sårbarheter. Ditt säkerhetsteam ansvarar för upptäckt och initial triage.
• Avgifter per incident eller förfrågan: Medan REP27 anger inga extra avgifter för förfrågningar kan andra leverantörer ta betalt för tilläggstjänster eller incidenthantering. Klargör alltid detta skriftligt.
• Ansvarsbegränsningar: Leverantörer begränsar vanligtvis sitt ansvar till mandatets omfattning. De ansvarar inte för missade rapporter på grund av interna fel.
• Uppsägningstider och förnyelsevillkor: Tysta eller oklara förnyelser kan leda till oväntade kostnader eller avbrott i täckning. REP27 publicerar förnyelsepriser och villkor; andra kanske inte gör det.

Vad leverantörer vanligtvis inte säger:

• Mandatet täcker inte sårbarhetsdetektion, patchning eller användarnotifiering — detta är ditt ansvar.
• Dokumentationsförfrågningar från myndigheter kan försenas om din runbook är ofullständig eller ditt team inte är förberett.
• Byte av leverantör kan vara komplicerat om ditt mandat inte tydligt är begränsat till Artikel 18(3).

Begär alltid en lista över undantag och bekräfta alla villkor skriftligt innan du undertecknar.

Så fungerar utnämningen: steg för steg

Att utse en CRA auktoriserad representant är en strukturerad process. Så här fungerar det i praktiken, med konkreta steg och tips:

1. Bestäm din status: Är du tillverkare av en produkt med digitala inslag som släpps ut på EU-marknaden? Om ja, fortsätt. Om du bara är importör eller distributör, kontrollera om du släpper produkten under eget namn.
2. Kontrollera din etablering: Om du saknar juridisk enhet inom EU måste du utse en auktoriserad representant. Om du har ett EU-dotterbolag som agerar tillverkare rapporterar du direkt.
3. Välj leverantör: Jämför leverantörer baserat på publicerade priser, omfattning och transparens. REP27, kadano och Euverify publicerar priser; andra ger detaljer på begäran.
4. Skriv under ett skriftligt mandat: Leverantören (t.ex. REP27) utfärdar ett undertecknat utnämningsbrev, vanligtvis med eIDAS elektronisk signatur och ett verifierbart certifikat. Bekräfta att mandatet är begränsat till Artikel 18(3)-uppgifter.
5. Uppdatera din efterlevnadsdokumentation: Lägg till representantens uppgifter i dina tekniska filer, runbook och eventuell produktdokumentation som krävs av CRA.
6. Upprätta rapporteringsprocessen: Namnge minst två rapportörer med tillgång till ENISA:s rapporteringsplattform. Förbered mallar för tidiga varningar och anmälningar i förväg.
7. Definiera triggers och intern process: Dokumentera vad som utgör medvetenhet om en utnyttjad sårbarhet eller allvarlig incident. Bestäm vem som kan deklarera det och vilka bevis som krävs (t.ex. observerad exploatering, trovärdig kundrapport).
8. Dokumentation: Spara tidsstämplar för medvetenhet, inlämning och uppdateringar. Detta är ditt bevis om deadline ifrågasätts.
9. Löpande beredskap: Träna ditt team, testa rapporteringsprocessen och granska runbook regelbundet.

Denna process säkerställer att du är redo att möta 24-timmarsrapporteringens deadline och undvika efterlevnadsgap.

Risker och böter

Riskerna med att inte följa CRA är betydande, både ekonomiskt och operativt:

• Böter: Underlåtenhet kan leda till administrativa böter på upp till €15 miljoner eller 2,5 % av global årsomsättning, beroende på vilket som är högst. Dessa påföljder gäller för missade rapporteringsdeadlines, utebliven representant eller otillräcklig incidenthantering (källa).
• Operativa risker: Förseningar i rapportering kan leda till regulatoriska utredningar, produktåterkallelser eller marknadstillträdesförbud. Upphandling och distribution kan blockeras om du inte kan visa giltig EU-representant.
• Rykte: Underlåtenhet att snabbt meddela användare eller myndigheter kan resultera i negativ publicitet och förlorat kundförtroende.
• Intern störning: Utan tydlig rapporteringsprocess kan värdefulla timmar gå förlorade vid en incident, vilket ökar både risk och kostnad.

Exempel på vad som kan gå fel:

• Att spendera de första timmarna av en incident på att försöka identifiera rätt CSIRT eller rapporteringsväg, vilket slösar dyrbar tid.
• Dokumentationsförfrågningar som når ett kontor i en annan tidszon, vilket försenar svar.
• En distributör som behandlas som din rapporteringsväg som standard, vilket leder till förlorad kontroll över incidenthantering.
• Tysta luckor i mandatets täckning på grund av oklara förnyelsevillkor.

Minska dessa risker genom att utse en transparent, lyhörd representant och upprätthålla en robust intern process.

Beslutsmatris: Behöver du en CRA-representant?

Använd matrisen nedan för att avgöra om du behöver en CRA auktoriserad representant baserat på din affärsmodell och plats:

Verifiera alltid din status och skyldigheter innan du utser en representant.

Checklista: Steg till CRA 24-timmars rapporterings-efterlevnad

1. Identifiera om din produkt omfattas av CRA (digitalt inslag, EU-marknad).
2. Bekräfta om du är tillverkare (inte bara importör/distributör).
3. Om du är utanför EU, utse en CRA auktoriserad representant och få ett undertecknat mandat.
4. Dokumentera representantens uppgifter i dina tekniska filer och efterlevnadsregister.
5. Upprätta en 24/7 mottagningskanal för sårbarhetsrapporter (internt eller via representant).
6. Namnge minst två rapportörer med tillgång till ENISA:s rapporteringsplattform.
7. Förbered mallar för tidiga varningar och anmälningar för snabb ifyllnad.
8. Träna personal på vad som utlöser rapport och hur man svarar inom 24 timmar.
9. Definiera och dokumentera vilka bevis som krävs för att "bli medveten" om en sårbarhet eller incident.
10. Dokumentera alla relevanta tidsstämplar för efterlevnadsbevis och revision.
11. Granska och uppdatera din runbook och rapporteringsprocess regelbundet.

Att följa denna checklista hjälper dig att undvika de vanligaste efterlevnadsbristerna.

Realistiska scenarier: Vilket krav gäller?

• Amerikanskt SaaS-företag som säljer till EU: Som tillverkare utanför EU måste du utse en CRA auktoriserad representant (t.ex. REP27) som agerar din rapporteringsväg. Upprätta en 24/7 mottagningskanal och säkerställ att minst två anställda kan skicka rapporter via ENISA-plattformen. Förbered mallar för tidiga varningar och dokumentera din process för att avgöra när en sårbarhet är aktivt utnyttjad.
• Kinesisk Amazon-säljare (eget varumärke): Om du tillverkar och säljer egna digitala produkter till EU-kunder behöver du en CRA-representant. Om du endast återförsäljer tredjepartsmärken behöver du inte det. Utse en representant, uppdatera dina efterlevnadsfiler och förbered för 24-timmars rapportering.
• Brittisk webbutik med egen IoT-enhet: Om du säljer direkt till EU-konsumenter är du tillverkare och måste utse en CRA-representant. Om du endast säljer i Storbritannien gäller inte CRA. Om du använder en EU-distributör som släpper produkten på marknaden under sitt eget namn tar de över ansvaret.

I alla fall är den enklaste och mest efterlevnadssäkra vägen att utse en transparent, fastprisad representant, dokumentera din rapporteringsprocess och träna ditt team innan lagens ikraftträdande.