Cyber Resilience Act

Innebörd, konsekvenser och tidplan för förordningsförslaget Cyber Resilience Act.

Senast uppdaterad: 10 januari 2024.

Innebörd

Cyber Resilience Act är ett förslag till förordning som syftar till att öka säkerheten och motståndskraften mot cyberattacker inom EU. Lagen innehåller bestämmelser om hur företag och organisationer ska hantera cybersäkerhet, inklusive att förebygga, upptäcka och hantera cyberattacker.

Konsekvenser

Förslaget innehåller regler för produkter med digitala komponenter och förslaget kan även till del tolkas som att främst rikta sig mot det som kallas IoT-produkter (Internet Of Things). Den ska även täcka andra typer av produkter, exempelvis ”kritiska system” eller operativsystem. Vilka dessa är beskrivs i Annex III till förordningen.

Förordningen innehåller krav på att:

• Tillverkarna skall säkerställa att deras produkter (under hela deras livslängd) uppfyller ett antal cybersäkerhetskrav och hanterar sårbarheter på ett korrekt sätt.
• Tillverkaren skall på begäran av tillsynsmyndighet förse denne med all information och dokumentation som behövs för att visa att produkten uppfyller säkerhetskraven.
• Tillverkaren omfattas av rapporteringsplikt och skall Inom 24 timmar notifiera relevant nationell myndighet om identifierade sårbarheter i deras produkt. Även säkerhetsincidenter som påverkar produktens säkerhet skall rapporteras. Förordningen innehåller även krav på att rapportera till användaren av produkten.
• Regler för importörens ansvar vid import av produkter med digitala element
  

Cyber Resilience Act kommer att få mycket stor betydelse för tillverkare av produkter som omger oss i vardagen, men förordningen är också specifikt riktad mot högriskprodukter där angrepp kan medföra stora konsekvenser. I denna grupp kan exempelvis sjukvårdsutrustning inbegripas.
Regleringarna i förordningen kommer i många fall att tangera andra EU-förslag som exempelvis NIS 2.

Detta gör SKR

SKR följer utvecklingen och kommer uppdatera här när det finns nyheter av värde för kommuner och regioner.

Tidplan, status

Trilogen är nu avslutad, Europaparlamentet och Europeiska kommissionen enades den 30 november 2023 om ett gemensamt förslag. Detta förslaget ska nu upp för beslut i parlamentet och av kommissionen. Detta antas ske tidigt 2024.

Det gemensamma förslaget är i nuläget inte publicerat men i en pressrelease den 2:a december 2023 så skriver kommissionen att vi kan förvänta oss:

• En enklare metod för att klassificera produkter.
• Att tillverkaren själva avgör hur lång livslängd deras produkter skall anses ha.
• Sårbarhetsrapportering sker inte längre till ENISA utan enbart till nationella myndigheter.
• Utökad stöd till SMEs, både i form av utbildning och även praktiskt stöd.
• Förordningen börjar gälla efter 3 år, vilket troligtvis innebär att det förslag på stegvist införandet nu är slopat.

Council and Parliament strike a deal on security requirements for digital products

Efter att förordningen trätt i kraft har leverantörerna 3 år på sig att efterleva kraven. Det innebär att de skall ske senast tidigt 2027 om arbetet fortsätter enligt plan.

Cyber Resilience Act, förslag till förordning, EUR-Lex