Förbered CRA-rapporteringen före 11 september

Varför det här spelar roll

Vad behöver du göra

• Avgör om ni är tillverkare av en produkt med digitala element.
• Lär er skilja en aktivt utnyttjad sårbarhet från en allvarlig incident.
• Utse vem som får skicka den tidiga varningen, och en ersättare.
• Skriv underlaget i förväg, så att dygnet inte går åt till formuleringar.

Så förbereder ni rapporteringen

1. Avgör om ni är tillverkare

   Skyldigheten träffar tillverkare av produkter med digitala element som släpps ut på EU-marknaden. Det gäller hårdvara med programvara i, fristående programvara och uppkopplade produkter. Säljer ni en produkt under eget namn eller varumärke räknas ni som tillverkare, även om någon annan byggt den. Bakgrunden finns i kapitlet om produkter, AI och regelverk.

2. Skilj på sårbarhet och incident

   Två olika saker ska rapporteras. Den ena är en aktivt utnyttjad sårbarhet i produkten, alltså en svaghet som någon faktiskt utnyttjar. Den andra är en allvarlig incident som påverkar produktens säkerhet. En sårbarhet ni själva hittar och rättar innan någon utnyttjat den utlöser ingen rapport.

3. Lär er de tre stegen

   Kedjan har tre steg. En tidig varning inom 24 timmar från att ni fick kännedom, en fullständig anmälan inom 72 timmar, och en slutrapport. För en sårbarhet ska slutrapporten in senast 14 dagar efter att en rättning finns tillgänglig. För en allvarlig incident är fristen en månad.

4. Ta reda på vart rapporten går

   Rapporten skickas en enda gång, via den gemensamma rapporteringsplattformen som Enisa driver. Därifrån går den vidare till den CSIRT som hör till landet där ni har ert huvudsakliga verksamhetsställe. Har ni det i Sverige är det CERT-SE. Ni behöver alltså inte rapportera till flera länder var för sig.

5. Utse vem som larmar

   En namngiven person och minst en ersättare, med telefonnummer. Klockan startar när någon i verksamheten fått kännedom, inte när beslutet fattas. Det är därför ersättaren är lika viktig som den ordinarie.

6. Skriv underlaget nu

   Den tidiga varningen är avsiktligt kort och kräver inte att ni förstått vad som hänt. Skriv mallen i lugn och ro. Den ska rymma vilken produkt det gäller, vad ni sett, när ni såg det, och vem som svarar i telefon.

7. Koppla ihop med den nationella rapporteringen

   Omfattas ni även av cybersäkerhetslagen har ni två kedjor att hålla isär, en för verksamheten och en för produkten. De kan utlösas av samma händelse. Hur den nationella kedjan ser ut står i guiden om att rapportera inom 24 timmar.

Nästa steg

• Rapportera en incident inom 24 timmar enligt lagen Tar 75 min
• Anmäl er verksamhet enligt cybersäkerhetslagen Tar 60 min