Cyber Resilience Act gör cybersäkerhet till ett försäljningsargument
EU:s cyberresiliensförordning (Cyber Resilience Act, CRA) når längre än de flesta maskintillverkare tror. Att ligga steget före handlar inte bara om att undvika problem. De tillverkare som redan nu bygger säkra och kompatibla produkter blir de som kunderna litar på först.
Har din maskin en dataanslutning till en annan enhet eller ett nätverk omfattas den av CRA, oavsett vilken bransch ditt företag verkar i och oavsett om programvara ingår i erbjudandet eller inte. En PLC, en HMI eller en nätverksansluten sensor har nästan alltid en sådan anslutning, även när den är en intern del av produkten. Rapporteringsskyldigheten i CRA började gälla den 11 september 2026 och full tillämpning följer från december 2027. Det är den tidsfristen som för de flesta tillverkare ger utrymme att förbereda sig ordentligt.
Två principer att utgå från
Säkerhet i konstruktionen: Cybersäkerhet ska byggas in i produkten från första början, med hotbedömning och riskanalys som en självklar del av konstruktionsarbetet.
Säkerhet som standard: Produkten ska levereras med de säkraste inställningarna redan aktiverade, så att slutanvändaren slipper lista ut det själv.
Ditt ansvar slutar inte vid leverans
Tillverkare måste nu upprätthålla produktens cybersäkerhet under hela supportperioden. Den är minst fem år, och för de flesta industriella produkter betydligt längre. CRA kopplar perioden till hur länge produkten rimligen förväntas vara i bruk. Det innebär att man måste bevaka sårbarheter och ta fram uppdateringar under hela perioden.
Därtill kommer snabb rapportering. En sårbarhet som utnyttjas aktivt ska inom 24 timmar anmälas till det nationella CSIRT-teamet och ENISA som en tidig varning. Inom 72 timmar ska en fylligare anmälan lämnas, med uppgifter om vilka åtgärder som vidtagits eller som slutanvändaren kan vidta för att begränsa skadan. En slutrapport ska lämnas inom 14 dagar.
Allt detta kräver dokumentation: en riskbedömning, spårbarhetsunderlag och en programvaruförteckning (Software Bill of Materials, SBOM) över alla ingående programvarukomponenter. Efterlevnad är dessutom en förutsättning för CE-märkning.
Så fungerar CRA i praktiken
Reglerna ser inte likadana ut för alla produkter. De flesta tillhör standardkategorin och kan självbedömas av tillverkaren. För ett fåtal kritiska produkttyper krävs bedömning av tredje part eller fullständig certifiering enligt ett EU-system. Maskiner som redan finns på marknaden behöver i regel inte anpassas i efterhand, om de inte genomgår en väsentlig uppgradering. Felrättningar räknas inte dit. Reservdelar som lämnar produktens funktion oförändrad är undantagna. Vid driftsättning och underhåll är säker fjärråtkomst och tydliga rutiner för loggsparande viktigast.
Fem steg för att ligga steget före
Kartlägg din digitala yta
Gå igenom dina produkter och identifiera allt som har digitala element.
Granska leverantörskedjan
Be dina leverantörer om en SBOM och ett utlåtande om hur långt de kommit med CRA, så att du vet vad som ingår i det du köper.
Bygg in säkerhet i konstruktionen
Gör hotbedömning och riskanalys till en del av konstruktionsarbetet, inte något som läggs till i efterhand.
Planera för uppdateringar
Inför en rutin för att hantera sårbarheter som upptäcks efter leverans.
Utbilda medarbetarna
Utbilda ditt team. Konstruktion, projektledning och försäljning behöver alla veta vad som har förändrats.
Så hjälper Etteplan och Bosch Rexroth
Bosch Rexroth ansvarar för plattformen ctrlX, som är utvecklad enligt principen Secure by Design för att uppfylla CRA-kraven. Etteplan tar hand om integrationen: CRA-analys, säkerhetsrådgivning och stöd på vägen mot CE-märkning. Då kan du fokusera på din kärnverksamhet medan efterlevnadsarbetet blir gjort på rätt sätt.