Cyber Resilience Act (CRA) – vad EU:s nya cyberkrav betyder för industrins nätverk

Vad är Cyber Resilience Act?

CRA är den första EU-lagen som ställer cybersäkerhetskrav direkt på produkter, på samma sätt som lågspännings- och EMC-direktiven ställer krav på elsäkerhet och störningar. Förordningen trädde i kraft 10 december 2024 och gäller i hela EU utan att länderna behöver skriva egna lagar.

Den omfattar allt med ”digitala element” som kan anslutas till ett nätverk eller en annan enhet: switchar, routrar, gateways, industridatorer, operatörspaneler, uppkopplade givare och den mjukvara som följer med dem. Undantag finns för områden som redan har egna regler, till exempel medicintekniska produkter, fordon, civil luftfart och marin utrustning.

Tidslinjen

Produkter som släppts ut på marknaden före 11 december 2027 får säljas och användas vidare. Tillverkarens rapporteringsplikt gäller däremot redan nu, även för dem.

Vad kräver CRA av tillverkaren?

• Säker från början: riskbedömning, inga kända sårbarheter vid leverans, säkra grundinställningar utan standardlösenord och skydd av data och åtkomst.
• Hantering av sårbarheter under hela supportperioden: säkerhetsuppdateringar utan dröjsmål, en kontaktväg för att rapportera sårbarheter och en förteckning över mjukvarukomponenterna (SBOM).
• Supportperiod: tillverkaren ska ange hur länge produkten får säkerhetsuppdateringar. Den ska motsvara förväntad användningstid och är normalt minst fem år.
• Rapportering: aktivt utnyttjade sårbarheter och allvarliga incidenter rapporteras till ENISA – förvarning inom 24 timmar, anmälan inom 72 timmar och slutrapport därefter.
• Dokumentation: teknisk dokumentation, EU-försäkran om överensstämmelse och CE-märkning.

Böterna kan uppgå till 15 miljoner euro eller 2,5 procent av den globala omsättningen.

Klass I, klass II och kritiska produkter

De flesta produkter ligger i standardkategorin, där tillverkaren själv bedömer att kraven är uppfyllda. Produkter med större betydelse för säkerheten listas som ”viktiga produkter”.

Var en viss produkt hamnar beror på dess huvudfunktion. En säker router med brandvägg kan alltså bedömas annorlunda än en enkel switch. Fråga tillverkaren hur de har klassat produkten.

Vad har IEC 62443 med saken att göra?

IEC 62443 är den etablerade standardserien för cybersäkerhet i industriella automationssystem. Två delar är särskilt intressanta för den som köper komponenter:

• IEC 62443-4-1 beskriver en säker utvecklingsprocess hos tillverkaren: hur produkter designas, testas och underhålls.
• IEC 62443-4-2 ställer tekniska säkerhetskrav på själva komponenten, i fyra säkerhetsnivåer (SL 1–4).

IEC 62443 är inte samma sak som CRA, och EU tar fram egna harmoniserade standarder för förordningen. Men kraven överlappar i stor utsträckning. En tillverkare som redan är certifierad enligt IEC 62443-4-1 och har produkter certifierade enligt 62443-4-2 har kommit långt.

Vad ska du fråga leverantören?

Om du bygger maskiner eller anläggningar

Bygger du in en switch eller industridator i en maskin du säljer i EU blir maskinen inte automatiskt en CRA-produkt – det är komponenterna som ska uppfylla förordningen. Men du ansvarar för maskinens säkerhet som helhet. Den nya maskinförordningen (EU) 2023/1230, som gäller från 20 januari 2027, kräver bland annat skydd mot manipulation som kan leda till farliga situationer. Välj därför komponenter med lång supportperiod och dokumenterad sårbarhetshantering, och planera för hur uppdateringar ska göras ute hos slutkunden.

Säljer du mjukvara eller en produkt med digitala element under eget namn räknas du själv som tillverkare.

Vanliga misstag

1. Att vänta till 2027. Rapporteringsplikten gäller redan, och projekt som levereras efter december 2027 bör planeras med CRA-märkta komponenter nu.
2. Att förväxla CE-märkning med cybersäkerhet. Dagens CE-märkning omfattar inte cybersäkerhet. Det gör den först med CRA.
3. Att glömma supportperioden. En switch som ska sitta i en anläggning i 15 år behöver uppdateringar längre än en kontorsswitch. Jämför supportperiod, inte bara pris.
4. Att lämna standardinställningar. Även en CRA-märkt produkt måste konfigureras rätt: byt lösenord, stäng oanvända portar och tjänster och dela upp nätet i zoner.

Nätverksprodukter hos SCN

Våra tillverkare av switchar, routrar och industridatorer förbereder sig för CRA. Moxa är till exempel certifierat enligt IEC 62443-4-1 och har produkter certifierade enligt IEC 62443-4-2. Som distributör kontrollerar vi att produkterna har rätt CE-märkning och dokumentation, och vi förmedlar säkerhetsinformation från tillverkarna till dig. Fråga oss om supportperiod och CRA-status för en viss produkt.

Exempel ur vårt sortiment

Vanliga frågor

Gäller CRA produkter som vi redan har installerade?

Nej, kraven gäller produkter som släpps ut på marknaden från 11 december 2027. Installerad utrustning behöver inte bytas. Tillverkarna måste dock redan nu rapportera aktivt utnyttjade sårbarheter även i äldre produkter.

Kan vi köpa switchar utan CRA-märkning efter december 2027?

Produkter som släppts ut på marknaden före datumet får fortsätta säljas, till exempel från lager. Produkter som släpps ut efter datumet måste uppfylla CRA.

Vilken CRA-klass hamnar en industriell switch i?

Klass I. Routrar, modem och switchar räknas som viktiga produkter, vilket innebär strängare krav på hur tillverkaren visar att produkten uppfyller kraven. En router med brandväggsfunktion kan hamna i klass II.

Räcker det att produkten är certifierad enligt IEC 62443?

Inte automatiskt. IEC 62443 täcker mycket av samma krav och är ett starkt tecken på att tillverkaren tar säkerheten på allvar, men det är CE-märkningen enligt CRA som gäller formellt.

Gäller CRA i Storbritannien och Norge?

CRA är en EU-förordning och gäller direkt i EU-länderna. Den är märkt som EES-relevant och väntas bli en del av EES-avtalet, men i november 2026 var den ännu inte införd i norsk rätt. Storbritannien har egna regler. Den som säljer till EU måste i alla fall uppfylla CRA.

Det här är en allmän vägledning och inte juridisk rådgivning. Förordningen i sin helhet finns hos EUR-Lex: förordning (EU) 2024/2847.