Säljer eller importerar ditt företag något som kopplas upp mot ett nätverk, har du fått en ny lagbok att förhålla dig till. EU:s Cyber Resilience Act, CRA, började rullas ut under hösten 2026 och ställer krav på cybersäkerhet genom hela livslängden på produkter med digitala element. Det gäller inte bara mjukvarubolag. En robotdammsugare, en larmkamera, en tv-box eller en uppkopplad kaffemaskin räknas som produkt med digitala element och den som sätter den på EU-marknaden bär ansvaret.
Det korta svaret på vad som förändras: tillverkare måste bygga in säkerhet från start, dokumentera det, rapportera aktivt utnyttjade sårbarheter inom 24 timmar och leverera säkerhetsuppdateringar under produktens supportperiod. Importörer och distributörer får ett kontrollansvar de inte hade förut.
Din kunds robotdammsugare kan skicka trafik mot en server i Frankfurt
Kapade konsumentprylar är inte ett teoretiskt hot. Så här går det till i praktiken: en uppkopplad enhet med fabriksinställt lösenord eller en okorrigerad sårbarhet skannas av automatiserade botar som letar över hela internet. När enheten svarar installeras skadlig kod som ansluter mot en styrserver. Ägaren märker ingenting. Kameran filmar som vanligt, dammsugaren dammsuger som vanligt och på baksidan ingår enheten i ett botnät som hyrs ut för överbelastningsattacker.
Det som gör IoT-prylar attraktiva för angripare är kombinationen av tre saker som sällan gäller en vanlig dator. De står påslagna dygnet runt och har fast uppkoppling, vilket gör dem tillgängliga när attacken ska genomföras. De uppdateras sällan eller aldrig, eftersom uppdatering kräver att ägaren aktivt gör något i en app hen sällan öppnar. Och de övervakas inte av något antivirusprogram, så en kapad enhet ger ingen varning alls till användaren.
Volymen är poängen. En enskild kamera betyder ingenting men hundratusentals gör att en attack mot en svensk bank, e-handel eller kommun kan pressa fram trafikvolymer som är svåra att filtrera bort. Ett litet e-handelsbolag som ligger nere en fredagseftermiddag i november förlorar dygnsomsättningen och en del av kundernas förtroende. Den som säljer prylarna som utförde attacken har hittills inte haft något ansvar alls. Det är precis den luckan CRA stänger.
Tillverkarens sex nya skyldigheter
Sitter du på tillverkarrollen, alltså den som utvecklar produkten eller säljer den under eget varumärke, är kraven mest omfattande. Även den som köper in en färdig produkt från en asiatisk fabrik och sätter sitt eget märke på den räknas som tillverkare enligt regelverket. Det överraskar en del bolag som ser sig själva som återförsäljare.
- Genomför en cybersäkerhetsriskbedömning för produkten och dokumentera den.
- Leverera produkten utan kända utnyttjbara sårbarheter vid marknadsföringstillfället.
- Sätt säkra standardinställningar, vilket i praktiken betyder slutet för produkter med samma fabrikslösenord i hela serien.
- Tillhandahåll säkerhetsuppdateringar kostnadsfritt under supportperioden, som utgångspunkt minst fem år.
- Upprätta en programvaruförteckning, SBOM, över komponenter och beroenden i produkten.
- Rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter till Enisa och nationell myndighet inom 24 timmar från upptäckt.
Punkt sex är den som kommer att göra ont i praktiken. Ett dygn är kort tid för ett bolag med tre anställda där ingen har en definierad säkerhetsroll. Du behöver bestämma i förväg vem som skriver rapporten, vilka kontaktvägar som gäller och var underlaget finns. Gör du det efteråt hinner du inte.
Importörer får ett kontrollansvar de inte kan lägga på leverantören
Importerar du uppkopplade produkter från länder utanför EU har du blivit grindvakt. Du måste kontrollera att tillverkaren gjort sin bedömning av överensstämmelse, att teknisk dokumentation finns, att CE-märkningen sitter där den ska och att produkten faktiskt har en angiven supportperiod. Hittar du en produkt som inte uppfyller kraven får du inte släppa den på marknaden och har du redan gjort det ska du vidta rättelse och informera marknadskontrollmyndigheten.
Distributörer, alltså de flesta återförsäljare och e-handlare i ledet efter importören, har ett lättare men inte obefintligt ansvar. Du ska kontrollera att märkning och dokumentation finns med och agera vid misstanke om brist.
En praktisk konsekvens: inköpsavtalen behöver skrivas om. Utan skrivningar om supportperiod, uppdateringsansvar och tillgång till teknisk dokumentation står du själv med problemet den dag en leverantör i Shenzhen slutar svara på mejl.
Böterna går upp till 15 miljoner euro
Sanktionsnivåerna följer samma logik som GDPR. Brott mot de grundläggande säkerhetskraven kan ge administrativa avgifter upp till 15 miljoner euro eller 2,5 procent av global årsomsättning, beroende på vilket som är högst. Övriga överträdelser ligger på 10 miljoner euro eller 2 procent och att lämna felaktig eller ofullständig information till myndighet på 5 miljoner euro eller 1 procent.
För ett litet svenskt bolag är det inte bötesbeloppet som är det verkliga hotet. Det är försäljningsförbud. En marknadskontrollmyndighet som bedömer att en produkt inte uppfyller kraven kan kräva att den dras tillbaka från marknaden och för ett bolag med en huvudprodukt är det ett existentiellt problem. Har du dessutom en cyberförsäkring bör du läsa villkoren, eftersom bristande efterlevnad av tillämplig lagstiftning ofta är ett undantag.
En produkt du designar under 2026 säljs 2028
Rapporteringskraven trädde i kraft först och de fulla produktkraven kommer senare, med december 2027 som riktmärke för när allt ska vara på plats. Men ledtiden i produktutveckling är lång.
Börja med en inventering av vad ni faktiskt sätter på marknaden. Vilka produkter innehåller programvara eller nätverksanslutning? Vilken roll har ni för var och en, tillverkare, importör eller distributör? Många bolag har flera roller samtidigt utan att ha tänkt på det.
Kartlägg sedan komponenterna. En SBOM byggs inte på en eftermiddag om produkten innehåller tredjepartsbibliotek som ingen dokumenterat sedan 2019.
Sist: räkna på kostnaden och lägg in den i budgeten. Supportperiod på fem år betyder att du binder utvecklingstid långt efter att produkten slutat säljas. Det är en löpande kostnad som måste in i kalkylen redan när du prissätter och den påverkar din likviditetsbudget under fler år än du är van vid. För bolag som överväger att anställa en säkerhetsansvarig kan det vara värt att göra en break-even-beräkning mot vad extern konsulthjälp skulle kosta.
Konsumenten får något att fråga efter i butiken
För privatpersoner blir den mest märkbara förändringen att supportperioden måste anges. I dag går det att köpa en övervakningskamera utan att veta om tillverkaren tänker skicka en enda säkerhetsuppdatering. Med CRA blir den informationen obligatorisk, vilket gör att en pryl som kostar 200 kronor mer men har fem års uppdateringar går att jämföra med en billigare utan.
Fram tills reglerna slår igenom fullt ut gäller det gamla rådet: byt fabrikslösenordet, stäng av fjärråtkomst du inte använder och sätt uppkopplade prylar på ett separat gästnätverk. MSB publicerar löpande vägledningar om informationssäkerhet som fungerar även för mindre verksamheter.
FAQ
Gäller Cyber Resilience Act även gratis programvara med öppen källkod?
Nej, inte för utvecklare som släpper öppen källkod utan kommersiellt syfte. Så snart programvaran ingår i en kommersiell produkt är det den som sätter produkten på marknaden som bär ansvaret.
Räknas min företagswebbplats som en produkt med digitala element?
Nej. Regelverket träffar produkter som sätts på marknaden, inte tjänster du själv driver. Molntjänster och SaaS regleras i huvudsak av NIS2 i stället.
Vad händer med produkter jag redan sålt?
Produkter som släppts på marknaden innan kraven började gälla omfattas som utgångspunkt inte retroaktivt. Men gör du en väsentlig ändring i produkten, till exempel en större funktionsuppdatering, kan den räknas som ny och då gäller kraven fullt ut.
Vem är marknadskontrollmyndighet i Sverige?
Det avgörs i den svenska genomförandelagstiftningen och kan skilja sig åt mellan produktkategorier. Kontrollera vilken myndighet som pekats ut för just din produkttyp innan du behöver rapportera skarpt, inte efter.
Magnus Bergström
Magnus Bergström är nyhetsredaktör på alltomforetagande.se. Ekonomijournalist med journalistexamen från JMG vid Göteborgs universitet. Tolv års erfarenhet av rapportering från svenska SME-bolag, kapitalmarknad och konjunkturläget, bland annat åtta år på en ledande ekonomidagstidning. Bevakar löpande skatteregler, bidragsändringar, politiska beslut och branschtrender som påverkar svenska företag.
