CRA-guide för programvaruutvecklare
Hur cyberresiliensförordningen tillämpas på programvaruprodukter; från säker utveckling till sårbarhetshantering, SBOM och CE-märkning.
Steg för efterlevnad
Bekräfta tillämpningsområde och klass
Art. 2 · 6Den mesta programvara med dataanslutning som släpps ut på EU-marknaden omfattas av tillämpningsområdet, och många utvecklarverktyg faller inom kategorin viktiga produkter i bilaga III.
- ✓Kör CRA Fast Check för att bekräfta tillämpningsområdet
- ✓Fastställ om din produkt är en standardprodukt, en viktig produkt eller en kritisk produkt
- ✓Dokumentera resonemanget i er dokumentation
Bygg in säkerhet genom inbyggd design
Annex I · IKonstruera och utveckla produkten så att den uppfyller de väsentliga säkerhetsegenskaperna under hela sin livscykel.
- ✓Leverera en säker konfiguration som standard
- ✓Tillämpa autentisering och åtkomstkontroller
- ✓Skydda data med kryptering under överföring och i vila
- ✓Minimera attackytan och exponerade gränssnitt
Att lämna felsökningsgränssnitt, standardinloggningsuppgifter eller utförlig felutmatning aktiverade i produktionsbyggen.
Inrätta hantering av sårbarheter
Annex I · IIDriv en dokumenterad process för att upptäcka, åtgärda och offentliggöra sårbarheter under hela stödperioden.
- ✓Offentliggör en policy för samordnat röjande av sårbarheter
- ✓Tillhandahåll en kontaktpunkt för rapportering av problem
- ✓Åtgärda sårbarheter utan onödigt dröjsmål
- ✓Offentliggör åtgärdade sårbarheter när en uppdatering finns tillgänglig
Upprätthåll en programvaruförteckning (SBOM)
Bilaga I · II(1)Håll en aktuell SBOM som omfattar minst produktens beroenden på toppnivå.
- ✓Generera en SBOM i ett maskinläsbart format
- ✓Spåra komponenter och deras kända sårbarheter
- ✓Håll den uppdaterad vid varje release
Leverera kostnadsfria säkerhetsuppdateringar i tid
Annex I · I(2)Tillhandahåll säkerhetsuppdateringar separat från funktionsuppdateringar, gratis, under den angivna stödperioden.
- ✓Fastställ och offentliggör stödperioden
- ✓Leverera säkerhetsuppdateringar utan dröjsmål
- ✓Distribuera korrigeringar via en säker mekanism
Sammanställ teknisk dokumentation
Bilaga VIISammanställ den dokumentation som visar överensstämmelse och håll den tillgänglig för marknadskontroll.
- ✓Produktbeskrivning och avsedd användning
- ✓Riskbedömning av cybersäkerhet
- ✓Register över tillämpade standarder
Bedöm överensstämmelse och anbringa CE-märkning
Art. 32 · 36Genomför det förfarande för bedömning av överensstämmelse som gäller för er klass och upprätta EU-försäkran om överensstämmelse.
- ✓Egenbedömning (standard) eller anlita ett anmält organ (viktig/kritisk)
- ✓Upprätta och underteckna EU-försäkran om överensstämmelse
- ✓Anbringa CE-märkningen
Uppfyll rapporteringsskyldigheterna och underhåll produkten
Art. 13(8) · 14Från september 2026 ska du anmäla aktivt utnyttjade sårbarheter och allvarliga incidenter, och fortsätta underhålla produkten under hela dess stödperiod.
- ✓Lämna in en tidig varning till ENISA och CSIRT-enheten inom 24 timmar
- ✓Följ upp med en anmälan och en slutrapport
- ✓Informera berörda användare när det är lämpligt
Stödperioden ska återspegla hur länge produkten förväntas vara i bruk, räknat från det att produkten släpps ut på EU-marknaden: fem år som standard, kortare om den förväntade användningen är kortare och längre om den är längre. Under hela perioden ska ni hantera sårbarheter och tillhandahålla gratis säkerhetsuppdateringar; varje uppdatering ska därefter förbli tillgänglig i 10 år efter att den utfärdats eller till stödets slut om det infaller senare, och den tekniska dokumentationen och EU-försäkran ska bevaras i 10 år eller till stödets slut om det infaller senare.
Varje verktyg nedan är gratis att använda och öppnas här i en sidopanel, så att du inte förlorar din plats.
Bekräfta om förordningen är tillämplig och vilken klass produkten sannolikt tillhör.
Öppna här →GratisEfterlevnadsmatrisKoppla varje skyldighet i bilaga I och VII och följ upp den tills den är slutförd.
Öppna här →GratisKostnadskalkylatorUppskatta engångskostnaden och den årliga kostnaden för efterlevnad.
Öppna här →GratisSårbarhetsanalysverktygKorsreferera din SBOM mot NVD och EUVD, och håll koll på komponenter som når slutet av sin livscykel.
Öppna här →GratisDoC-generatorGenerera en EU-försäkran om överensstämmelse (bilaga V) för din produkt.
Öppna här →GratisKlassificeringsverktygFastställ med namn om er produkt är standard, viktig eller kritisk.
Öppna här →GratisPlanerare för stödperiodAnge er minsta stödperiod och flagga komponenter som når End-of-Life för tidigt.
Öppna här →GratisSjälvskattning av mognadBedöm era produktsäkerhetsrutiner inom fem områden och få en skräddarsydd checklista för förbättringar (ENISA-modell).
Öppna här →Andra vägledningar för intressenter
Tillverkare
De skyldigheter som cyberresiliensakten ålägger producenter av produkter med digitala element; från riskbedömning till CE-märkning och skyldigheter efter att produkten släppts ut på marknaden.
Importörer och distributörer
Vad ekonomiska aktörer måste kontrollera innan; och efter; en produkt med digitala element tillhandahålls på EU-marknaden.
Så erhåller du en CE-märkning
Stegen för att försäkra om överensstämmelse och anbringa CE-märkning på en produkt med digitala element.