Rapportering enligt Cyber Resilience Act är nu live: Vad små företag måste göra

Den 11 september 2026 började den första bindande delen av EU:s lag om cyberresiliens att gälla. Från och med det datumet måste tillverkare av uppkopplad hårdvara och mjukvara rapportera aktivt utnyttjade sårbarheter och allvarliga säkerhetsincidenter via en ny EU-kanal, under snäva tidsfrister som fastställts av Europeiska kommissionen. För många små mjukvaru- och enhetsföretag är rapporteringsskyldigheten enligt Cyber Resilience Act första gången EU:s produktlagstiftning kräver att de agerar inom några timmar snarare än månader.

Vad som förändrades med rapporteringen om cyberresilienslagen

Lagen om cybermotståndskraft (förordning (EU) 2024/2847) trädde i kraft den 10 december 2024, och de flesta av dess produktkrav gäller först från och med den 11 december 2027, enligt Kommissionens översikt över förordningen. Rapporteringsskyldigheterna i artikel 14 har avsiktligt tidigarelagts. Sedan den 11 september 2026 måste en tillverkare som blir medveten om en aktivt utnyttjad sårbarhet i en av dess produkter, eller en allvarlig incident som påverkar produktens säkerhet, anmäla detta.

Tidslinjen är strikt. Under Artikel 14 i förordningen, ska en tidig varning utfärdas inom 24 timmar efter att problemet blivit medvetet, en mer fullständig anmälan inom 72 timmar och en slutlig rapport senast 14 dagar efter att en åtgärd eller begränsning är tillgänglig för sårbarheter, eller inom en månad för allvarliga incidenter. Rapporter går via Enisas gemensamma rapporteringsplattform, som lanserades den 11 september 2026. Anmälan når den nationella CSIRT som agerar som samordnare i den medlemsstat där tillverkaren har sitt huvudsakliga verksamhetsställe, och ENISA informeras samtidigt. För ett företag med huvudkontor i Danmark innebär det den danska samordnande CSIRT:n.

Två detaljer är lätta att missa. För det första, eftersom Hogan Lovells Cadwalader-anteckningar, omfattar rapporteringsskyldigheten även produkter som släppts ut på EU-marknaden innan kreditvärderingsförordningen gäller fullt ut, och den fortsätter efter att en produkts supportperiod har löpt ut. För det andra måste tillverkare också informera berörda användare om en aktivt utnyttjad sårbarhet eller allvarlig incident och, i förekommande fall, alla användare.

Varför det är viktigt för ett litet företag

CRA omfattar “produkter med digitala element”, en bred kategori som kommissionen illustrerar med exempel som babyvakter, smarta klockor, appar och datorprogram. En dansk startup som säljer en uppkopplad enhet, en dator- eller mobilapp, eller programvara som kunder installerar kan vara en tillverkare i juridisk mening, oavsett storlek. Huruvida en specifik produkt, komponent eller molnelement faller inom ramen är inte alltid uppenbart, vilket är anledningen till att kommissionen publicerade ny vägledning den 27 juli 2026 som omfattar omfattning, väsentliga modifieringar, stödperioder, riskbedömning och rapportering, med vad den beskriver som särskilt fokus på mikroföretag och små och medelstora företag.

Strafframen är betydelsefull. Artikel 64(2) tillåter administrativa böter på upp till 15 miljoner euro eller 2,5% av den globala årsomsättningen, beroende på vilket som är högst, för brott mot de väsentliga kraven och skyldigheterna i artiklarna 13 och 14. Det finns viss lättnad för de minsta företagen: enligt Tekniktider och ISMS-copilot, Artikel 64(10)(a) innebär att mikroföretag och småföretag inte kan åläggas böter för att de missat tidsfristen på 24 timmar för tidig varning. Skyldigheten att rapportera gäller fortfarande för dem, och den lättnaden omfattar inte den senare anmälan och slutrapporten.

I praktiken är det svåraste för ett litet team sällan själva formuläret. Det är att med kort varsel veta att en sårbarhet utnyttjas aktivt, vem i företaget som bestämmer att klockan har startat och vem som har tillgång till rapporteringsplattformen när det händer på en fredagskväll.

Praktiska nästa steg

Börja med att kartlägga dina produkter. Lista vad du har släppt ut på EU-marknaden, inklusive äldre versioner som fortfarande används, och gör en första, dokumenterad bedömning av vilka artiklar som sannolikt är produkter med digitala element. Använd kommissionens vägledning som referenspunkt och sök juridisk rådgivning för din egen situation där svaret är oklart.

Bestäm sedan vem som äger 24-timmarsklockan. Utse en ansvarig person och en ställföreträdare, kom överens om hur en rapport om eventuell aktiv exploatering når dem och skapa åtkomst till den gemensamma rapporteringsplattformen i förväg. Förbered korta mallar för tidig varning, 72-timmarsmeddelande och användarkommunikation, så att ingen skriver från grunden under press.

Titta sedan på hur sårbarheter når dig. En publicerad kontaktpunkt för säkerhetsforskare, övervakning av tredjeparts- och öppen källkodskomponenter som din produkt är beroende av, och en tydlig intern väg från supportärenden till teknikteamet, förkortar alla tiden mellan att ett problem uppstår och att företaget blir medvetet om det. Lägg till aviseringsförväntningar i avtal med viktiga leverantörer, så att en brist i en komponent de levererar inte når dig veckor för sent.

Slutligen, betrakta rapporteringsskyldigheten som en repetition inför december 2027, då kreditvärderingsinstitutets krav på inbyggd säkerhet, dokumentation och överensstämmelse gäller fullt ut. Kommissionens Små och medelstora företagssida för kreditvärderingsföretaget punkter för stöd genom programmet för ett digitalt Europa och möjligheten till nationell utbildning, informationsaktiviteter och regulatoriska sandlådor för mindre tillverkare. Dessa är värda att följa när de blir tillgängliga i Danmark.

Brenvard Från s perspektiv

För Brenvard har CRA två sidor. Vi bygger webbplatser, webbapplikationer och appar, så vi måste vara tydliga, projekt för projekt, om vem som är tillverkare enligt CRA och vem som hanterar sårbarheter när en produkt väl är i bruk. Det innebär att man kommer överens om ansvar, supportperioder och rapporterar kontakter skriftligen i början av utvecklingsarbetet, inte efter att något har gått fel. Förordningen lägger till steg i vår leveransprocess och i varje produktteam vi stödjer, och det kan göra vissa små projekt dyrare. Vinsten är att designbaserad säkerhet och tydliga incidendrutiner blir en del av briefen från dag ett, vilket tenderar att ge bättre programvara och färre överraskningar för alla inblandade.

Ett uppmätt svar

Milstolpen den 11 september 2026 kräver inte ett stort efterlevnadsprogram över en natt, men det kräver en arbetsprocess som kan agera inom en dag. Små tillverkare som förtydligar sitt produktomfång, tilldelar ansvar och testar sin rapporteringsväg nu kommer att ha en mycket bättre position när den fullständiga regleringen gäller. Brenvard hjälper startups och mindre företag att införa den typen av processer som en del av sitt arbete med Cybersäkerhet och dataskydd, vid sidan av den juridiska och tekniska rådgivning som varje företag behöver för sina egna produkter.

Källor

Europeiska kommissionen – Lagen om cybermotståndskraft: Rapporteringsskyldigheter (hämtad 1 oktober 2026)
Europeiska kommissionen – Lagen om cybermotståndskraft (hämtad 1 oktober 2026)
Europeiska kommissionen – Kommissionen publicerar ny vägledning för att stödja företags genomförande av lagen om cybermotståndskraft (27 juli 2026)
Europeiska kommissionen – Lagen om cybermotståndskraft: Små och medelstora företag (uppdaterad 31 juli 2026)
EUR-Lex – Förordning (EU) 2024/2847 (lagen om cyberresiliens)
Hogan Lovells Cadwalader – EU:s cyberresilienslagstiftning: Skyldigheter att rapportera sårbarheter och incidenter gäller nu och Enisas gemensamma rapporteringsplattform är live (11 september 2026)
Tech Times – EU:s lag om cybermotståndskraft träder i kraft: Tillverkare har nu en 24-timmarsfrist för att rapportera utnyttjade brister (11 september 2026)
ISMS Copilot – Cyberresilienslagen: vad som gäller från och med 11 september 2026 (11 september 2026)