De flesta organisationer möter regelverken var för sig, i den ordning de dyker upp. Först cybersäkerhetslagen, sedan en fråga från en kund om AI-styrning, sedan ett krav från en distributör om produktsäkerhet. Resultatet blir ofta tre separata projekt som beskriver samma organisation tre gånger, med tre olika begreppsapparater och tre uppsättningar dokument som ingen läser tillsammans. Kapitlet argumenterar för att den ordningen är både dyrare och sämre än alternativet.
Kapitlet börjar i Cyber Resilience Act, alltså vad CRA är, vad som skiljer den från NIS2 och hur det svenska genomförandet ser ut. Skillnaden är principiell. Där cybersäkerhetslagen ställer krav på hur en verksamhet drivs ställer CRA krav på egenskaperna hos det som släpps ut på marknaden, vilket gör att en organisation kan träffas av båda i olika delar av sin verksamhet. Sedan följer AI-förordningen, dess riskbaserade uppbyggnad där skyldigheterna följer användningens risknivå, vem som utövar tillsyn i Sverige och hur förordningen hänger ihop med det övriga cybersäkerhetsarbetet. Här introduceras också den regulatoriska triaden av NIS2, AI-förordningen och ISO 42001, som visar hur styrningskraven konvergerar. Lagen om elektronisk kommunikation får ett eget avsnitt. Därefter kommer navigatorn, alltså den strukturerade genomgången som steg för steg svarar på vad som gäller för en given organisation. Kapitlet avslutas med ett genomarbetat exempel på en verksamhet som träffas av flera regelverk samtidigt och hur den kan svara på dem med ett arbete. Den grundläggande kartan finns i kapitel 3 om regelverkskartan, och AI-säkerheten i praktiken behandlas i kapitel 19.
Tidsaspekten är värd att notera. CRA når full tillämpning i december 2027 och AI-förordningens högriskkrav ligger också framåt i tiden. Det låter avlägset, men produktutvecklingscykler är långa, och den som börjar anpassa sig när kravet redan gäller har hunnit bygga fel i flera år. För den som utvecklar produkter är det designbesluten som fattas nu som avgör om kraven går att möta senare.
Sidan visar vad kapitlet omfattar och varför regelverken bör mötas som en helhet. Navigatorns fullständiga logik och exemplet i detalj finns i kapitel 4 i boken.
Regelverken är många, men kraven löper i samma riktning. Den som bygger rätt en gång svarar på flera.
Nyckelinsikter
- CRA träffar den som släpper ut produkter med digitala element på EU-marknaden, alltså tillverkare och distributörer snarare än användare.
- AI-förordningen är riskbaserad. Skyldigheterna följer användningens risknivå, inte tekniken i sig.
- Den regulatoriska triaden av NIS2, AI-förordningen och ISO 42001 pekar mot samma sak, alltså styrning som går att visa upp.
- Att bygga ett systematiskt arbete en gång är billigare än att svara på varje regelverk för sig.
Verktyg som hör till kapitlet
Mallarna och de interaktiva verktygen finns i Verktygsboxen, kostnadsfritt.
Regelverksnavigatorn
Den fullständiga navigatorn ur bilaga C, som interaktivt verktyg.
Läs vidare
Nästa steg
Var står din organisation?
Självskattningen ger dig en mognadsprofil mot cybersäkerhetslagens tio kravområden på några minuter, direkt på skärmen.