Cyber Resilience Act pålegger cybersikkerhetskrav til alle produkter med digitale elementer (maskinvare og programvare) som bringes i omsetning i Den europeiske union. SYAGA følger dere for å forstå forpliktelsene deres og bygge samsvarsdokumentasjonen, uten å improvisere.
Cyber Resilience Act (CRA) er en horisontal europeisk tekst om cybersikkerhet for digitale produkter
CRA dekker produkter med digitale elementer (tilkoblet maskinvare, programvare, fastvare) som skal bringes i omsetning i EU, med cybersikkerhetskrav gjennom hele produktets livssyklus.
Produsent, importør eller distributør: forordningen fordeler ulike forpliktelser avhengig av deres posisjon i omsetningskjeden, etter samme modell som allerede brukes i andre europeiske produktreguleringer.
Teksten trådte i kraft 10. desember 2024 og har en trinnvis anvendelse over tid. De nøyaktige fristene som gjelder for dere, må sjekkes mot den offisielle teksten for deres situasjon.
Som med de andre nylige europeiske cybertekstene, krever CRA-samsvar en metode (kartlegging av produkter, avviksanalyse, teknisk dokumentasjon) som de fleste programvareleverandører og produsenter ennå ikke har satt i gang, i mangel av dedikerte interne ressurser.
CRA retter seg mot økonomiske aktører som bringer digitale produkter i omsetning i EU
Virksomheter som utvikler eller lar utvikle produkter med digitale elementer (maskinvare, programvare, fastvare) som markedsføres under deres navn eller varemerke.
Virksomheter som bringer et digitalt produkt utviklet utenfor EU i omsetning i EU.
Virksomheter som gjør et produkt tilgjengelig på EU-markedet uten å være verken produsent eller importør.
En strukturert prosess for å kartlegge produktene deres, måle avvikene og bygge samsvarsplanen deres
Møte med ledelsen eller FoU-teamet for å identifisere produktene som potensielt er omfattet av CRA (tilkoblet maskinvare, innebygd programvare, fastvare) og deres rolle som økonomisk aktør (produsent, importør, distributør).
Kartlegging av de digitale produktene deres og deres nåværende cybersikkerhetselementer (sårbarhetshåndtering, sikkerhetsoppdateringer, eksisterende dokumentasjon), sammenlignet med kravene i forordningen.
Prioritert samsvarsplan: hva som må håndteres først, hva som kan vente til neste regulatoriske frister, og ressursene som må mobiliseres internt.
Bistand til å strukturere den tekniske dokumentasjonen som kreves av forordningen (produktbeskrivelse, styring av cybersikkerhetsrisiko, prosedyrer for håndtering av sårbarheter).
Presentasjon av diagnosen og handlingsplanen for ledelsen, med overlevering av redigerbare leveranser slik at teamene deres kan ta dem i eie.
En diagnose og et veikart for å styre CRA-samsvaret deres
Inventar over produktene deres med digitale elementer og vurdering av deres eksponering mot forordningen.
Sammendrag av avvikene mellom nåværende praksis og kravene i forordningen.
Prioritert veikart for å tette de identifiserte avvikene.
Bistand til å strukturere dokumentasjonen som kreves av forordningen.
Oppfølging av gjennomføringstekster og offisielle presiseringer publisert om CRA.
Alle dokumenter i formater dere kan endre og videreutvikle internt.
CRA erstatter ikke de andre samsvarsprosessene deres, den utfyller dem
NIS2 regulerer cyberrisikostyringen til vesentlige og viktige organisasjoner; CRA regulerer sikkerheten til de digitale produktene de bruker eller markedsfører. De to tekstene utfyller hverandre.
Et allerede etablert styringssystem for informasjonssikkerhet gjør det lettere å strukturere sårbarhetshåndteringsprosessene som kreves av CRA.
Dersom det digitale produktet deres behandler personopplysninger, overlapper sikkerhetskravene i CRA delvis med de tekniske og organisatoriske tiltakene som kreves av artikkel 32 i GDPR.
Dersom produktet deres inneholder kunstig intelligens-komponenter, kan CRA og AI Act gjelde samtidig avhengig av produktets art. Et punkt som bør avklares fra sak til sak med juridisk rådgiver.
Hvert produkt, hvert omfang er forskjellig: vi utarbeider et tilbud tilpasset situasjonen deres
Ett produkt, et begrenset omfang
Flere produkter, aktivt samsvarsarbeid
Produktserie, løpende samsvarssyklus
Det CRA-teksten faktisk sier, forklart enkelt. Hvert punkt viser til sin offisielle kilde (EUR-Lex eller EU-kommisjonen) slik at dere kan kontrollere selv.
Cyber Resilience Act er en europeisk forordning (Forordning EU 2024/2847) som
fastsetter cybersikkerhetsregler for digitale produkter - maskinvare og programvare -
solgt i Den europeiske union. Den trådte i kraft 10. desember 2024.
offisiell kilde ↗
Ethvert produkt med digitale elementer beregnet på å kobles til, direkte eller
indirekte, en enhet eller et nettverk. Unntatt er produkter som allerede reguleres av
andre europeiske tekster: medisinsk utstyr, kjøretøy, luftfart,
marineutstyr, identiske reservedeler, eller produkter utviklet utelukkende for
forsvar/nasjonal sikkerhet.
offisiell kilde (artikkel 2) ↗
10. desember 2024: teksten trådte i kraft.
11. juni 2026: myndighetene som skal håndheve den må være på plass.
11. september 2026: forpliktelsene til å melde sårbarheter og
hendelser starter. 11. desember 2027: hovedtyngden av forpliktelsene,
inkludert CE-merking, blir gjeldende.
offisiell kilde (artikkel 71) ↗
Dersom en aktivt utnyttet sårbarhet eller en alvorlig hendelse rammer produktet
deres, pålegger forordningen å varsle myndighetene: et første varsel innen
24 timer, en mer detaljert varsling innen 72 timer,
deretter en sluttrapport senest 14 dager etter at en rettelse er gjort
tilgjengelig.
offisiell kilde (artikkel 14) ↗
Teksten skiller ut produktkategorier som anses mer sensitive (for eksempel
antivirusprogrammer, VPN, passordbehandlere, operativsystemer, rutere,
hjemmesikkerhetsprodukter) og "kritiske" produkter (for eksempel smartkort,
gateway-er for smarte målere), underlagt strengere krav.
offisiell kilde (vedlegg III og IV) ↗
Inntil 15 millioner euro eller 2,5 % av global omsetning (det
høyeste beløpet) for de alvorligste bruddene på de grunnleggende sikkerhetskravene.
Inntil 10 millioner eller 2 % for andre forpliktelser, og inntil
5 millioner eller 1 % ved villedende opplysninger til myndighetene.
Mikro- og småbedrifter nyter godt av et spesifikt unntak ved forsinkelse i
24-timersfristen for varsling.
offisiell kilde (artikkel 64) ↗
CRA utfyller NIS2-direktivet og bygger på EUs cybersikkerhetsstrategi fra 2020. En
CE-merking vil være nødvendig for å attestere samsvar, og det er de nasjonale
markedstilsynsmyndighetene som vil kontrollere anvendelsen.
offisiell kilde (EU-kommisjonen) ↗
Forordningen fastsetter tre nivåer av bøter avhengig av hvor alvorlig bruddet er. Her er nøyaktig hva den offisielle teksten sier, uten avrunding eller tilnærming.
Manglende overholdelse av de grunnleggende cybersikkerhetskravene (vedlegg I) eller fabrikantenes forpliktelser (artikkel 13 og 14: sikker utforming, sårbarhetshåndtering, varsling av hendelser).
Brudd på forpliktelsene til autoriserte representanter, på EU-samsvarserklæringen (CE-merking), på kravene til meldte organer og på myndighetenes tilgang til data (artikkel 18 til 53, avhengig av tilfellet).
Fremleggelse av uriktige, ufullstendige eller villedende opplysninger til et meldt organ eller en markedstilsynsmyndighet som stiller spørsmål til dere.
offisiell kilde - Forordning (EU) 2024/2847, artikkel 64, nr. 2 til 4 ↗
Det er de nasjonale markedstilsynsmyndighetene i hver medlemsstat som håndhever disse bøtene (ikke EU-kommisjonen direkte). Avhengig av landets rettssystem kan boten også ilegges av en kompetent nasjonal domstol. Myndighetene i de ulike medlemsstatene underretter hverandre om bøter som er ilagt.
Teksten pålegger ikke et automatisk beløp: myndigheten må vurdere, fra sak til sak:
Teksten gir kun ett tallfestet unntak: fabrikanter som er mikro- eller småbedrifter er ikke eksponert for bøtene i nivå 2 og 3 dersom de kun overskrider fristen for hendelsesvarsling fastsatt i artikkel 14 (24t/72t/sluttrapport). For alt annet (sikkerhetskrav, CE-merking, villedende opplysninger …) gjelder de samme takene, uavhengig av foretakets størrelse. De som forvalter åpen kildekode-programvare ("open-source software stewards") nyter derimot godt av et bredere unntak.
Sanksjonsordningen (artikkel 64) følger forordningens generelle anvendelsesdato, altså 11. desember 2027 - den er ikke blant de få unntakene som gjelder tidligere (fabrikantenes varslingsplikter fra 11. september 2026, etablering av myndighetene fra 11. juni 2026). Konkret: per 18. juli 2026 er denne sanksjonsordningen ennå ikke i kraft, og ingen CRA-bot har derfor ennå kunnet ilegges. Det er også derfor vi ikke viser noe eksempel på en reell sanksjon her: det finnes ingen ennå, og vi finner ikke på et.
Ingen advokatsjargong: enkle svar, hvert av dem forankret i den offisielle teksten som begrunner det.
Forordningen trer ikke i kraft på én gang: den innføres trinnvis, over flere år. Her er datoene som virkelig teller, i rekkefølge, med hva de konkret betyr for dere. Hver dato viser til den offisielle teksten for kontroll.
Teksten til forordning (EU) 2024/2847 kunngjøres i Den europeiske unions tidende.
Dette er startpunktet for nedtellingen: alle påfølgende frister beregnes fra denne datoen.
offisiell kilde (EUR-Lex, kunngjøring) ↗
Forordningen trer i kraft tjue dager etter kunngjøringen (standardregel for
europeiske rettsakter). Teksten eksisterer altså rettslig fra denne datoen - men de aller
fleste konkrete forpliktelsene for foretak er ennå ikke gjeldende: de kommer trinnvis, se
resten av kalenderen.
offisiell kilde (artikkel 71 §1) ↗
Kapittelet i forordningen om organene som skal vurdere produktenes samsvar ("meldte
organer") gjelder fra denne datoen. Dette er et organiseringssteg på medlemsstatenes
side: det er ennå ikke en direkte frist for virksomheten deres.
offisiell kilde (artikkel 71 §2, kapittel IV) ↗
Dette er den første fristen som virkelig angår dere. Fra denne datoen skal enhver
aktivt utnyttet sårbarhet eller alvorlig hendelse som rammer et av de digitale produktene
deres, meldes til myndighetene innen strenge frister: et første varsel innen
24 timer, en detaljert varsling innen 72 timer, deretter
en sluttrapport (14 dager etter at en rettelse er tilgjengelig for en sårbarhet, 1 måned
etter varslingen for en hendelse).
offisiell kilde (artikkel 71 §2, artikkel 14) ↗
Medlemsstatene skal "bestrebe seg på" å ha etablert nok meldte organer for å unngå
administrative flaskehalser, ett år før den generelle anvendelsen begynner. Dette er
ingen bindende forpliktelse for foretakene, men en milepæl for organiseringen på
myndighetssiden.
offisiell kilde (artikkel 35 §2) ↗
Dette er DEN strukturerende datoen å huske. CE-merking, overholdelse av de
grunnleggende cybersikkerhetskravene (teknisk dokumentasjon, håndtering av
sårbarhetenes livssyklus, sikkerhetsoppdateringer …): nesten samtlige forpliktelser i CRA
blir gjeldende fra denne datoen for produkter som bringes i omsetning.
offisiell kilde (artikkel 71 §2) ↗
Dersom produktene deres allerede er dekket av et annet europeisk regelverk (for
eksempel radioutstyr eller maskiner) og allerede har et cybersikkerhetssertifikat utstedt
under dette regelverket, forblir det gyldig senest frem til denne datoen, med mindre det
utløper tidligere.
offisiell kilde (artikkel 69 §1) ↗
Utover de tre rollene (fabrikant, importør, distributør), her er nøyaktig hva teksten sier: kriteriet som utløser forordningen, hva som er unntatt, og konkrete eksempler på produkter for å vite om dere er omfattet, uten jargong.
Kriteriet forordningen bruker er ikke en liste over sektorer, det er et teknisk kriterium:
tilkobling. Teksten gjelder for ethvert "produkt med digitale elementer" hvis
tiltenkte eller rimelig forutsigbare bruk innebærer en direkte eller indirekte, logisk
eller fysisk tilkobling til en enhet eller et nettverk. Et objekt som aldri kobles til noe,
forblir utenfor virkeområdet; en programvare, en app, en innebygd komponent som kommuniserer med et
nettverk, omfattes, uansett størrelse eller sektor.
offisiell kilde, Forordning (EU) 2024/2847, artikkel 2 §1 ↗
Den som utvikler eller lar utvikle et digitalt produkt og markedsfører det under eget navn eller varemerke. Teksten presiserer uttrykkelig at fabrikantstatusen gjelder "enten mot betaling, ved monetarisering eller vederlagsfritt": å tilby et gratisprodukt er ikke nok til å falle utenfor virkeområdet.
Enhver person etablert i EU som bringer i omsetning på det europeiske markedet et produkt som bærer navnet eller varemerket til en person etablert utenfor Unionen. En SMB som videreselger i Frankrike, under eget navn, tilkoblet utstyr produsert utenfor EU, påtar seg denne rollen, med de tilhørende forpliktelsene.
Enhver person i forsyningskjeden, annen enn fabrikanten eller importøren, som gjør et produkt tilgjengelig på EU-markedet uten å endre egenskapene til det. Dette er standardrollen til en forhandler eller integrator som ikke rører produktet.
Allerede dekket av sitt eget sikkerhetsregelverk (forordning (EU) 2017/745 og 2017/746): CRA kommer ikke i tillegg.
Dekket av typegodkjenningsforordningen (EU) 2019/2144, som allerede regulerer kjøretøyenes cybersikkerhet.
Produkter sertifisert etter forordning (EU) 2018/1139 om sivil luftfart forblir under dette dedikerte sektorregelverket.
Utstyr underlagt direktiv 2014/90/EU om marint utstyr har sin egen ordning og unntas fra CRA.
En reservedel produsert etter samme spesifikasjoner som originalkomponenten den erstatter, er ikke et nytt produkt i henhold til CRA.
Produkter utviklet eller endret utelukkende for forsvar eller nasjonal sikkerhet, eller utformet for å behandle gradert informasjon, faller utenfor virkeområdet.
Forordningen lister selv opp produktkategorier ansett som "viktige" (skjerpet tilsyn) eller "kritiske" (det høyeste kravnivået). Dette er kun illustrerende eksempler blant alle de tilkoblede produktene som omfattes, men de gir et svært konkret bilde av sektorene som prioriteres.
fullstendig liste, offisiell kilde, vedlegg III og IV til forordningen ↗
Denne offisielle definisjonen er den forordningen bruker overalt hvor den nevner mikro-, små og mellomstore bedrifter (forenklet dokumentasjon, målrettede unntak fra bøtene beskrevet ovenfor). offisiell kilde, anbefaling 2003/361/EF, artikkel 2 i vedlegget ↗
I Europa har hvert land sine egne myndigheter. Her finner dere, for de 30 landene i Det europeiske økonomiske samarbeidsområdet, personvernmyndigheten (deres GDPR-kontakt) og den nasjonale cybersikkerhetsmyndigheten. Hvert navn lenker til det offisielle nettstedet.
Kilder: offisielle nettsteder til myndighetene og listen over EDPB-medlemmer (edpb.europa.eu), besøkt 18. juli 2026. Personvernmyndigheter bekreftet: 30/30. Cybersikkerhetsmyndigheter bekreftet: 28/30. Merknaden «à confirmer» i tabellen indikerer at ingen offisiell kilde er stabilisert på nåværende tidspunkt.
Kontakt oss for å motta et tilbud tilpasset produktene og situasjonen deres.
Gratis: din score + dine avvik. Den detaljerte rapporten og attesten: 499 EUR eks. mva, kun hvis du selv velger det.
contact@syaga.eu