CRA-rapportering av incidenter och sårbarheter

01Vad som måste rapporteras

Artikel 14 i Cyber Resilience Act skapar två rapporteringsskyldigheter för tillverkare av produkter med digitala element. De är snävare än de först verkar: rutinmässiga buggar och vanliga korrigeringar omfattas inte. Art. 14

• Aktivt utnyttjade sårbarheter; en sårbarhet i din produkt för vilken det finns tillförlitliga bevis för att en illvillig aktör har utnyttjat den i ett system utan ägarens tillstånd. En sårbarhet som du upptäcker och åtgärdar innan den utnyttjas hanteras genom din normala process för hantering av sårbarheter, inte denna rapporteringskanal.
• Allvarliga incidenter; en incident som negativt påverkar, eller kan komma att negativt påverka, produktens förmåga att skydda tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos data eller funktioner. Kriterierna för allvarlighetsgrad finns i artikel 14(5).

Skyldigheterna är inte begränsade till kommersiella tillverkare. Förvaltare av programvara med öppen källkod har egna rapporteringsskyldigheter i den mån de är involverade i produkter med digitala element. Art. 24(3)

02De tre tidsfristerna

Varje rapport genomförs i tre steg, mätt från det ögonblick du får kännedom av den utnyttjade sårbarheten eller den allvarliga incidenten. Tidsfönstren är snäva, och därför är beredskapen avgörande. Art. 14(2)–(4)

• Inom 24 timmarTidig varning. En första anmälan om att en aktivt utnyttjad sårbarhet eller en allvarlig incident har inträffat, inklusive, för incidenter, huruvida den misstänks vara orsakad av olagliga eller illvilliga handlingar.
• Inom 72 timmarAnmälan om sårbarhet / incident. En utförligare redogörelse: sårbarhetens och angreppets allmänna karaktär, en inledande bedömning samt de korrigerande eller begränsande åtgärder som vidtagits och de som användarna kan vidta.
• SlutrapportSlutrapport. För en sårbarhet, senast 14 dagar efter att en korrigerande eller begränsande åtgärd blivit tillgänglig. För en allvarlig incident, inom en månad från 72-timmarsanmälan. Den anger den fullständiga beskrivningen, allvarlighetsgraden, konsekvenserna och den avhjälpande åtgärd som tillämpats.

Notera asymmetrin i den sista raden: klockan för sårbarheter startar av att en åtgärd finns, klockan för incidenter av den tidigare anmälan. Det är olika mekanismer och värda att skrivas in var för sig i din rutinbeskrivning.

03När det börjar

Rapporteringsskyldigheterna är den tidigaste stora delen av CRA som träder i kraft. Medan de flesta bestämmelser gäller från den 11 december 2027 gäller artikel 14 från 11 september 2026; 21 månader efter att akten trädde i kraft. ENISA planerar att den gemensamma rapporteringsplattformen ska vara i drift senast samma datum. Art. 71

04Vem du rapporterar till

Rapporter skickas till ENISA och till CSIRT utsedd som samordnare, via en enda ingång i stället för separata inlämningar till varje nationell myndighet. Denna ingång är den gemensamma rapporteringsplattformen, som ENISA inrättar, förvaltar och underhåller enligt artikel 16. Art. 14 · 16

Vilken CSIRT som är din följer av ditt huvudsakliga verksamhetsställe i unionen eller, om du inte är etablerad i EU, det som gäller för din auktoriserade representant. Den mottagande CSIRT sprider anmälan vidare till CSIRT i de medlemsstater där produkten tillhandahålls, och till marknadskontrollmyndigheter vid behov. Art. 14(7) · 18

Stöd finns på båda sidor. ENISA driver en helpdesk, med särskild uppmärksamhet på små och medelstora företag, och de CSIRT som utsetts till samordnare är också skyldiga att erbjuda helpdesk-stöd om skyldigheterna i artikel 14. ENISA för också in åtgärdade sårbarheter i den europeiska sårbarhetsdatabasen, och publicerar vartannat år en teknisk trendrapport, där den första ska komma inom 24 månader från det att rapporteringsskyldigheterna börjar gälla. Art. 17(6)

Spridningen av en rapporterad sårbarhet kan pausas av CSIRT, men inte av dig

Den mottagande CSIRT får skjuta upp eller hålla inne den vidare spridningen på motiverade cybersäkerhetsgrunder, under en period som är strikt nödvändig; till exempel när en sårbarhet omfattas av ett förfarande för samordnat röjande. Kommissionen fastställde villkoren i en delegerad akt som antogs den 11 december 2025. När en CSIRT håller inne en anmälan måste den omedelbart underrätta ENISA, med en motivering och en uppgift om när spridning kommer att ske.

Separat kan du under särskilt exceptionella omständigheter markera ett av de snäva villkoren i artikel 16(2) i din 72-timmarsanmälan: att utnyttjandet är begränsat till din CSIRT:s medlemsstat, att ytterligare spridning skulle strida mot den medlemsstatens väsentliga intressen, eller att spridning innebär en överhängande hög cybersäkerhetsrisk. Om du gör det får ENISA endast begränsad information (att en anmälan har gjorts, allmän information om produkten, angreppets allmänna karaktär och att säkerhetsskäl har åberopats) tills CSIRT frisläpper den fullständiga anmälan.

05Registrering på plattformen

ENISA:s vägledning av den 31 juli 2026 är det första materialet som visar de faktiska skärmbilderna. Du kan inte registrera dig på själva plattformen förrän den tas i drift, men du kan redan nu bestämma vem som ska inneha kontona och förbereda deras inloggningsuppgifter, och du bör känna till flödet innan du möter det under en 24-timmarsklocka.

Utse två personer innan du behöver dem

Plattformen ger varje tillverkare två slags användarkonton, och du kan redan i dag bestämma vem som ska fylla dem. Den primära representanten registrerar sig först och skapar tillverkarens post på plattformen. Den personen bjuder sedan in den sekundära representanten, som har en reservroll för samma tillverkare och kan lämna in för dess räkning. Båda är namngivna personer på ditt företag. Eftersom inlämningen sker manuellt är en enda utsedd rapportör som är på semester, sover eller har slutat en verklig operativ risk, så betrakta den andra platsen som nödvändig snarare än valfri.

EU Login är inloggningsuppgiften, och båda personerna kan skapa den i dag

Plattformskonton autentiseras via EU Login, Europeiska kommissionens gemensamma inloggningstjänst som används i dess onlinesystem. ENISA uppger att kontot kan skapas i förväg, och detta är det enskilt mest användbara du kan göra just nu. Skapa ett för den primära representanten och ett för den sekundära på ecas.ec.europa.eu. Kommissionen förklarar vad EU Login är, och hur det passar in i dess bredare identitetsramverk, på sina sidor om betrodd digital identitet .

Registreringsflödet

Vid första åtkomsten till plattformen väljer du din roll, väljer din utsedda CSIRT i en rullgardinsmeny, autentiserar dig via EU Login, läser och godkänner det rättsliga avtalet, bekräftar dina förifyllda personuppgifter (förnamn, efternamn, e-post, juridiskt namn) och anger sedan tillverkarens namn, adress och ytterligare information. Om ett obligatoriskt tillverkarfält utelämnas stoppas flödet. När det är klart blir ditt konto aktivt i rollen "AR Active", du får ett bekräftelsemejl och tillverkarenheten skapas i plattformen.

Den sekundära representanten ansluter genom en e-postinbjudan från den primära, bekräftar de förifyllda person- och tillverkaruppgifterna och registreras som reservanvändare för samma tillverkare. Inbjudan upphör att gälla efter 7 dagar, varefter posten markeras "Invitation Expired" och en ny måste skickas. Sätt upp reserven vid samma tillfälle som den primära; en utgången inbjudan som upptäcks mitt under en incident är ett problem som går att undvika.

CSIRT kontrollerar din representant manuellt, men det hindrar dig inte från att lämna in

Någon måste bekräfta att en viss person verkligen får rapportera för en viss tillverkares räkning, och den kontrollen åligger den CSIRT som utsetts till samordnare. Det är ett manuellt steg, förfarandet varierar mellan olika CSIRTs och varje CSIRT bestämmer sitt eget tillvägagångssätt. Avgörande är att den sker efter din första åtkomst till plattformen och löper parallellt med din rapport: ENISA uppger att valideringen inte påverkar din möjlighet att lämna in anmälningar. Ett ovaliderat konto kan ändå lämna in inom 24-timmarsfönstret.

Det är också därför ENISA råder till att registrera sig och inleda valideringen först när du faktiskt behöver lämna in, i stället för att förregistrera hela marknaden och begrava CSIRTs i spekulativa kontroller. Den förberedelse du gör i förväg är EU Login-kontona och beslutet om vem som fyller de två platserna, inte själva registreringen på plattformen.

06Att lämna in en rapport

Rapporteringen sker från en instrumentpanel. Du skapar en anmälan och kompletterar sedan samma post i varje steg i stället för att lämna in tre separata saker. Varje steg har en egen flik och vart och ett kan först sparas som utkast; utkast är synliga endast för dig.

• Tidig varningStarta en ny anmälan från instrumentpanelen, fyll i de obligatoriska fälten och välj en befintlig tillverkare eller lägg till en. Vid inlämning skickas den till din utsedda CSIRT och, automatiskt, till ENISA. Bekräftelser via e-post och avisering går till dig, till CSIRT och till ENISA.
• 72-timmarsTillgänglig först när en tidig varning finns. Öppna samma anmälan och fyll i fliken för 72 timmar. ENISA får den automatiskt om du inte åberopar villkoren i artikel 16(2), i vilket fall posten flaggas och ENISA:s insyn begränsas tills CSIRT frisläpper den.
• SlutrapportTillgänglig först när båda de tidigare stegen finns. Andra berörda CSIRTs får slutrapporten först efter att din samordnande CSIRT sprider den manuellt.

Vad som är obligatoriskt, och när

ENISA har publicerat vilka fält som är obligatoriska i varje steg. Tabellen är en nyttig korrigering av ett utbrett antagande: den tidiga varningen inom 24 timmar är en varning, inte en utredning.

• Vid 24 timmar; anmälningstyp och nivå, tillverkarens eller förvaltarens namn, produkten och en rubrik. För incidenter, huruvida olagliga eller illvilliga handlingar misstänks. Uppgift om vilka medlemsstater produkten tillhandahålls i krävs endast om du redan har den.
• Vid 72 timmar; sårbarhetens och angreppets allmänna karaktär, vidtagna korrigerande eller begränsande åtgärder och åtgärder som användarna kan vidta. För incidenter, när den upptäcktes och när den inträffade, samt en inledande bedömning. Känslighet flaggas här.
• Vid slutrapporten; den fullständiga beskrivningen, allvarlighetsgraden och konsekvenserna, det datum då en korrigerande åtgärd blev tillgänglig och detaljer om säkerhetsuppdateringen. För incidenter, den sannolika grundorsaken och pågående begränsande åtgärder.

Valfria fält som ändå är värda att fylla i är CVE ID och den EUVD ID, som båda är tillgängliga från det första steget.

Redigering, och punkten utan återvändo

En inlämnad anmälan kan uppdateras, och plattformen aviserar automatiskt din CSIRT samt ENISA och de CSIRTs som redan mottagit den genom spridning. Två begränsningar gäller: en stängd anmälan kan inte uppdateras, och posten blir oredigerbar när slutrapporten har lämnats in.

07Vad du kan göra i dag

Att klara ett 24-timmarsfönster är ett operativt problem, inte ett pappersarbete, och nästan hela förberedelsen går att göra redan nu. Inget nedan är beroende av att plattformen är i drift.

• Skapa dina EU Login-konton. För den primära rapportören och minst en reserv. Det tar några minuter på ecas.ec.europa.eu och tar bort ett steg som du inte vill upptäcka mitt under en incident.
• Identifiera din utsedda CSIRT. Den följer ditt huvudsakliga verksamhetsställe i unionen, eller din auktoriserade representants om du är etablerad utanför EU. ENISA:s fullständiga förteckning över samordnare har ännu inte publicerats, så dokumentera ditt resonemang nu och stäm av det mot förteckningen när den kommer.
• Bygg 24-timmarsformuläret internt. En kort mall som motsvarar ENISA:s obligatoriska fält för tidig varning, så att din första skarpa inlämning blir en avskrift snarare än en uppsats.
• Namnge personerna, även utanför kontorstid. Bestäm vem som bedömer att en rapport ska lämnas, vem som skriver den och vem som lämnar in den. Eftersom det inte finns något API är det sista steget en namngiven människa vid ett tangentbord.
• Håll en korrekt SBOM. Du kan inte rapportera om en komponent som du inte visste att du levererade. Upprätthåll en programvaruförteckning och håll den aktuell när versionerna ändras.
• Övervaka den kontinuerligt. Matcha dina komponenter mot källor för kända sårbarheter så att en aktivt utnyttjad brist upptäcks på timmar, inte veckor. Vår SBOM och sårbarhetsanalysverktyg spårar din materialförteckning mot NVD och EU:s sårbarhetsdatabas (EUVD).
• Bekräfta vad som faktiskt omfattas. 72-timmarssteget frågar efter produkttyp och kategori enligt bilaga III eller IV, så avgör klassificeringen innan du behöver den. Klassificeringsverktyget besvarar det, och efterlevnadsmatris kopplar rapportering till de bredare skyldigheterna för hantering av sårbarheter i Bilaga I som den ingår i.
• Boka in webbinariet. ENISA avser att hålla ett sådant två veckor innan plattformen tas i drift, och att publicera korta instruktionsvideor närmare lanseringen.

08Följ det vid källan

Den här sidan återger läget den 6 augusti 2026. Plattformen är fortfarande i rörelse och ENISA redigerar sina sidor tyst i stället för att tillkännage varje ändring, så det är värt att kontrollera stämplarna "senast uppdaterad" på sidorna nedan direkt. Detta är primärkällorna; allt ovanstående är vår läsning av dem.

• ENISA · Gemensam rapporteringsplattform; navsidan, med faktabladet och en detaljerad FAQ som täcker rättslig grund, tidsfrister, vidarebefordran, fälttabellen och plattformens säkerhet. Här kommer den offentliga webbadressen att tillkännages.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
• ENISA · SRP vägledning för användarregistrering; det stegvisa registreringsflödet för primära användare och reservanvändare, med skärmbilder av gränssnittet.enisa.europa.eu/cra-srp-ar-user-registration
• ENISA · SRP vägledning för inlämning av anmälningar; hur den tidiga varningen, 72-timmarsanmälan och slutrapporten lämnas in och uppdateras, och vad varje status utlöser.enisa.europa.eu/cra-srp-ar-notification-submission-and-update
• Europeiska kommissionen · CRA:s rapporteringsskyldigheter; policysidan, inklusive FAQ om genomförandet av CRA vars avsnitt 5 behandlar rapportering.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Europeiska kommissionen · Vägledning om tillämpningen av CRA (27 juli 2026); punkt 9.1 anger rapporteringsskyldigheterna för tillverkare och förvaltare av öppen källkod. Vår sammanfattning av vägledningen täcker resten.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login; skapa kontot som plattformen kommer att använda. Gör det nu.ecas.ec.europa.eu/cas/login

För den bindande texten anger artiklarna 14–17 rapporteringsekosystemet och artikel 16 inrättar plattformen; läs dem i vår förordningsläsare. Milstolpsdatum följs på sidan läget just nu .

09Vanliga frågor