Ordet tillverkare betyder nu dig
EU:s Cyber Resilience Act trädde i kraft i december 2024, och dess definition av en tillverkare är bredare än de flesta styrelser antar. Den omfattar varje produkt med digitala element som släpps ut på den europeiska marknaden: en uppkopplad maskin, en industriell styrenhet, en medicinteknisk produkt, en konsumentpryl eller en fristående mjukvara. Om din produkt talar med ett nätverk faller den inom tillämpningsområdet, och det gör också de importörer och distributörer som släpper ut den på marknaden.
För ett family office eller en ägare inom Mittelstand är det den obekväma omklassificeringen. Ett företag som har byggt precisionsmaskiner i tre generationer, och aldrig kallat sig en mjukvaruverksamhet, är nu en reglerad mjukvaruleverantör i EU-rättens ögon. Regeln når också bortom unionen. En tillverkare baserad var som helst i världen som säljer in på den europeiska marknaden bär samma plikter som en baserad i Frankfurt.
En 24-timmarsklocka du inte styr över
Den första hårda deadlinen är nära. Från och med den 11 september 2026 startar en aktivt utnyttjad sårbarhet eller en allvarlig säkerhetsincident en fast rapporteringskaskad genom en enda europeisk plattform. En tidig varning ska lämnas inom 24 timmar, en fylligare anmälan inom 72 timmar och en slutrapport inom 14 dagar efter att en åtgärd eller tillfällig lösning utfärdats. Klockan väntar inte på din juridiska granskning eller din kommunikationsplan.
Den tidsramen är den operativa chocken. 24-timmarsfönstret öppnas under det värsta ögonblicket av en incident, när informationen är ofullständig och instinkten är att inte säga något förrän fakta är klara. Akten tar bort det alternativet. En organisation som inte kan upptäcka, prioritera och rapportera en brist inom ett dygn kommer att missa deadlinen, inte för att den saknar god vilja, utan för att den aldrig byggde maskineriet för att röra sig så snabbt.
CE-märkning, och en bot anpassad till din omsättning
De bredare skyldigheterna följer den 11 december 2027. Från det datumet behöver en produkt med digitala element en CE-märkning som intygar att den byggdes med säkerhet i designen, levereras utan kända utnyttjbara defekter och kommer att få säkerhetsuppdateringar under en definierad supportperiod. Efterlevnad är inte ett engångstest före lanseringen, det är en plikt som gäller under den stödda livslängden för varje enhet du har sålt.
Tillsynen bär tyngd. Nationella marknadskontrollmyndigheter övervakar reglerna, och Tyskland har redan lagt fram ett första utkast till lagen för att namnge sin behöriga myndighet. Böter för att inte uppfylla kärnkraven når 15 miljoner euro eller 2,5 procent av den globala årsomsättningen, beroende på vilket som är högst. För en lönsam medelstor tillverkare är omsättningssiffran den som bör fånga rummets uppmärksamhet.
Läs vidare: Är ert cyberförsvar redo för attacker i maskinhastighet? · Din kryptering har ett utgångsdatum