CRA har gått från förberedelse till skyldighet
Sedan den 11 september måste tillverkare av produkter med direkt eller indirekt dataförbindelse mot andra enheter eller nätverk rapportera aktivt utnyttjade sårbarheter enligt EU:s Cyber Resilience Act. För bolag som utvecklar inbyggda system är det första kravet som börjar gälla, men inte det sista. Hectronic förklarar hur ansvaret fördelas i leverantörskedjan.
Cyber Resilience Act (CRA) ställer krav på cybersäkerhet för alla produkter med så kallade ”digitala element” som säljs på EU-marknaden. Förordningen trädde i kraft redan i december 2024, men sedan den 11 september 2026 gäller den första skarpa skyldigheten. Tillverkare måste nu rapportera aktivt utnyttjade sårbarheter och allvarliga säkerhetsincidenter som påverkar deras produkter. Rapporterna lämnas via EU:s gemensamma rapporteringsplattform, CRA Single Reporting Platform (SRP). Resten av kraven börjar gälla fullt ut i december 2027.
Kraven omfattar i princip alla produkter som innehåller hårdvara eller mjukvara med en direkt eller indirekt dataförbindelse till en annan enhet eller ett nätverk. För inbyggda system kan de gälla inte bara slutprodukten utan också hårdvaru- och mjukvarukomponenter som säljs separat. Det förklarar Hectronic, som utvecklar inbyggda datorplattformar, i en genomgång av vad förordningen innebär för branschen.
Det finns undantag. Produkter som redan omfattas av särskild EU-lagstiftning, som medicintekniska produkter, fordon, certifierade flygprodukter och marin utrustning, faller utanför CRA. Det gör även produkter som utvecklas uteslutande för nationell säkerhet eller försvar.
Cybersäkerheten måste finnas med genom hela utvecklingskedjan, från hårdvara till BSP (Board Support Package), mjukvara och den färdiga applikationen. Även riskerna med komponenter från tredje part måste bedömas under utvecklingen. Det är också viktigt att tidigt planera för mjukvaruunderhåll, säkerhetsuppdateringar, sårbarhetshantering och hur länge produkten ska få support, så att cybersäkerheten kan upprätthållas under hela produktens livscykel.
– Många kunder hör av sig till oss och har frågor kring CRA och vad det innebär i praktiken. Det är lätt att fokusera på de tekniska säkerhetskraven, men minst lika viktigt är att förstå vilket ansvar som finns kvar efter att produkten har levererats, säger Magnus Wingmark, Head of business department på Hectronic.
En sårbarhet i en inbyggd produkt kan uppstå på flera nivåer, i en enskild komponent, i plattformen, i BSP:t eller i kundens applikation. Varje tillverkare ansvarar för de produkter den själv släpper ut på marknaden, och därför kan ansvaret finnas på flera ställen i leverantörskedjan samtidigt.
Hectronic löser det genom att ta ansvar för överenskomna delar av den inbyggda plattformen, medan kunden ansvarar för slutprodukten och den mjukvara, applikation och funktionalitet som den själv lägger till. Vem som bevakar sårbarheter, underhåller mjukvaran, tar fram säkerhetsuppdateringar och sköter kommunikationen behöver vara tydligt fastslaget mellan parterna. Upptäcks en sårbarhet i en del av lösningen kan informationen behöva föras vidare genom kedjan, så att alla berörda parter kan bedöma konsekvenserna. För att tydliggöra ansvarsfördelningen mellan parterna kan ett särskilt avtal, ett så kallat Cyber Security Sub-Supplier Agreement (CSSA), användas. Det gör det möjligt att klargöra vem som ansvarar för olika delar av säkerhetsarbetet även efter att produkten har levererats.
