Vad som faktiskt ändras den 11 september 2026
EU:s Cyber Resilience Act inför en fast rapporteringsskyldighet som börjar gälla den 11 september 2026. När en tillverkare har en rimlig grad av visshet om att en sårbarhet i en av dess produkter aktivt utnyttjas, eller att en allvarlig incident har drabbat säkerheten i den produkten, startar klockan. En tidig varning måste nå EU:s cybersäkerhetsbyrå ENISA och den relevanta nationella CSIRT-enheten inom 24 timmar, kanaliserad via en enda rapporteringsplattform som underrättar båda samtidigt.
24-timmarsvarningen är inte slutet på det. En fylligare underrättelse ska lämnas inom 72 timmar, och en slutrapport inom 14 dagar när en korrigerande eller begränsande åtgärd finns tillgänglig. Utlösaren är inte fullständigt forensiskt bevis. En pågående utredning stoppar inte klockan, så den praktiska frågan för en ägare är enkel: skulle ditt team kunna upptäcka signalen, avgöra att den kvalificerar sig, och rapportera inom en arbetsdag?
Varför detta når produkter du redan salt
Den punkt som överraskar många verksamhetsansvariga är omfattningen. Skyldigheten är inte begränsad till produkter som lanseras efter tidsfristen. Så länge en produkt med digitala element finns kvar på EU-marknaden på eller efter den 11 september 2026, omfattas dess sårbarheter och allvarliga incidenter av rapporteringsskyldigheten, inklusive äldre enheter och äldre serier som fortfarande säljs. En uppkopplad sensor, en maskinstyrenhet, eller en programvarukomponent som levererades för flera år sedan kan dra in dig i en 24-timmarsrapportering.
Det är här exponeringen ligger för en typisk Mittelstand-tillverkare. Konstruktionen godkändes för länge sedan, produkten är mogen, och ingen äger en spelbok för 24-timmarsrapportering för den. Kommissionens aktuella vägledning från mars 2026 är den mest auktoritativa tolkningen som finns, men den är fortfarande ett utkast och inte formellt antagen, så vissa detaljer kan ändras. De centrala tidslinjerna och räckvidden in i befintliga produkter är redan tillräckligt tydliga för att planera efter.
Vad en ägare rimligen kan kontrollera nu
Börja med en ärlig kartläggning av vad du faktiskt säljer som har digitala element, inklusive inbäddad programvara och uppkopplade funktioner i äldre serier. Fråga sedan vem inom företaget som först skulle få höra att en av dessa produkter utnyttjas, och hur det når en beslutsfattare som kan godkänna en rapportering. Om det ärliga svaret är att meddelandet skulle ligga kvar i en inkorg över en helg, har du hittat gapet. En utsedd ägare, en definierad väg, och en inövad 24-timmarsövning betyder mer här än ett tjockt policydokument.
Inget av detta är juridisk rådgivning, och den slutliga utformningen av vägledningen är ännu inte fastslagen. Men riktningen är satt, och tidsfristen är nära. Att behandla rapporteringsskyldigheten som en fråga om operativ beredskap nu, snarare än ett efterlevnadsmemo senare, är det som skiljer de företag som rapporterar lugnt från dem som stressar. Arbetet är mestadels process och ägarskap, inte ny teknik.
Läs vidare: En amerikansk kvantdeadline når er leveranskedja · Ert cybersäkerhetsansvar är nu personligt