Cyberresiliensförordningen, avklarad.
Om du släpper ut en produkt med digitala element på EU-marknaden gäller CRA dig. Med Reglyze gör du självbedömningen av överensstämmelsen på ett begripligt språk och genererar din tekniska dokumentation enligt bilaga VII och din EU-försäkran om överensstämmelse: de flesta produkter kan självcertifieras enligt modul A.
Se hur det fungerar: från produkt till undertecknad försäkran
En genomgång på två minuter: avgränsa en produkt, gör självbedömningen på ett begripligt språk och generera den tekniska dokumentationen enligt bilaga VII och EU-försäkran om överensstämmelse.
Från ”gäller detta?” till en undertecknad försäkran
1 · Avgränsa och klassificera
Fyra frågor visar om CRA gäller, vilken klass enligt bilaga III/IV produkten har och vilket förfarande för bedömning av överensstämmelse som gäller. Kostnadsfritt, inget konto krävs.
2 · Gör självbedömningen
Svara på ett tjugotal enkla frågor om din produkt. Assistenten föreslår en mognadsnivå 0–3 för varje väsentligt krav (bilaga I), förankrad i IEC 62443.
3 · Generera dokumentationen
Teknisk dokumentation enligt bilaga VII och din EU-försäkran om överensstämmelse, sammanställda utifrån dina svar, med hänsyn till programvaruförteckningen (SBOM) och på ditt språk.
Det här får du
- Teknisk dokumentation enligt bilaga VII
- EU-försäkran om överensstämmelse (spärrad tills alla krav är uppfyllda)
- Gaprapport mot bilaga I med de öppna punkter som återstår
- Import av programvaruförteckning (CycloneDX / SPDX), som listas i den tekniska dokumentationen
Grund: IEC 62443-4-1 (säker utveckling) och 62443-4-2 (krav på komponenter). CRA-texten är offentlig EU-rätt; IEC-hänvisningarna återges med egna ord och aldrig ordagrant.
Priser
CRA prissätts separat från NIS2-plattformen.
Cyberresiliensförordningen: vanliga frågor
Gäller EU:s cyberresiliensförordning (CRA) min produkt?
CRA gäller alla produkter med digitala element, det vill säga hårdvara med programvara eller fast programvara samt fristående programvara, som tillhandahålls på EU-marknaden. Om du släpper ut en uppkopplad enhet, en IoT-produkt eller installerbar programvara på EU-marknaden omfattas du. Reglyzes kostnadsfria omfattningskontroll bekräftar det med fyra frågor.
När börjar cyberresiliensförordningen gälla?
Två datum är viktiga: skyldigheterna att rapportera sårbarheter och incidenter gäller från den 11 september 2026, och full överensstämmelse inklusive CE-märkning krävs från den 11 december 2027. CRA är förordning (EU) 2024/2847.
Vad är självbedömning enligt modul A i CRA?
Modul A är det förfarande där tillverkaren själv bedömer produkten mot de väsentliga kraven och själv utfärdar EU-försäkran om överensstämmelse, utan att något anmält organ medverkar. Ungefär 90 % av produkterna, den så kallade standardkategorin, kan använda modul A.
Behöver jag ett anmält organ för CRA?
Endast för viktiga produkter i klass II och för kritiska produkter (bilaga III klass II och bilaga IV till CRA). Produkter i standardkategorin och de flesta viktiga produkter i klass I kan självcertifieras enligt modul A, särskilt när harmoniserade standarder tillämpas.
Vad är den tekniska dokumentationen enligt bilaga VII?
Bilaga VII anger den tekniska dokumentation som en tillverkare måste sammanställa och hålla tillgänglig för marknadskontrollmyndigheterna: produktbeskrivning, riskbedömning, bevis mot de väsentliga kraven och programvaruförteckningen (SBOM). Reglyze sammanställer den utifrån din självbedömning.
Vad är en EU-försäkran om överensstämmelse enligt CRA?
Det är den undertecknade försäkran om att din produkt uppfyller CRA:s väsentliga cybersäkerhetskrav. Den är obligatorisk innan produkten CE-märks och släpps ut på marknaden. Reglyze utfärdar den när alla väsentliga krav är uppfyllda.
Vilka produkter är viktiga eller kritiska enligt CRA?
Bilaga III till CRA listar viktiga produkter (klass I och II), till exempel lösenordshanterare, VPN-lösningar, brandväggar och operativsystem; bilaga IV listar kritiska produkter som gateways för smarta mätare och säkra element. Allt som inte listas hör till standardkategorin och kan självcertifieras enligt modul A.
Vilka sanktioner gäller om CRA inte efterlevs?
Överträdelser av de väsentliga cybersäkerhetskraven och av tillverkarens centrala skyldigheter kan leda till sanktionsavgifter på upp till 15 miljoner euro eller 2,5 % av den totala globala årsomsättningen, beroende på vilket belopp som är högst, och dessutom till föreläggande om att dra tillbaka produkten från marknaden. Lägre nivåer gäller för andra överträdelser.
Hur skiljer sig CRA från NIS2?
NIS2 reglerar organisationers cybersäkerhet (väsentliga och viktiga entiteter); CRA reglerar cybersäkerheten hos produkter med digitala element som släpps ut på EU-marknaden. En tillverkare kan omfattas av båda: NIS2 för hur den bedriver sin verksamhet och CRA för det den levererar.
Omfattar CRA programvara och öppen källkod?
Ja. Fristående programvara är en produkt med digitala element. Programvara med öppen källkod som tillhandahålls i samband med en kommersiell verksamhet omfattas, med lättare skyldigheter för icke-kommersiella förvaltare av öppen källkod. Fristående SaaS-tjänster som körs i molnet faller i regel utanför CRA, om de inte är en lösning för fjärrbehandling av data som är en integrerad del av en produkt.