
EU:s Cyber Resilience Act (CRA) ställer nya krav på cybersäkerheten i inbyggda system. Men vem ansvarar egentligen för säkerheten när en produkt består av hårdvara och mjukvara från flera olika leverantörer? Ansvarsfördelningen måste vara tydlig redan från början, skriver Yvonne Jockovic Schröder på Hectronic.
En inbyggd produkt består ofta av hårdvara och mjukvara från flera olika leverantörer. Det kan exempelvis handla om en Computer-on-Module (CoM), ett bärarkort, tillhörande systemmjukvara och kundens egen applikation. En sårbarhet kan uppstå i någon av dessa delar och påverka den färdiga produkten. Frågan är då vem som ansvarar för att upptäcka, rapportera och åtgärda problemet.
EU:s Cyber Resilience Act (CRA) ställer gemensamma krav på cybersäkerhet för produkter med digitala element som säljs på EU-marknaden. Sedan den 11 september 2026 måste tillverkare rapportera aktivt utnyttjade sårbarheter och allvarliga säkerhetsincidenter som påverkar deras produkter. Rapporteringen sker via EU:s gemensamma plattform, CRA Single Reporting Platform (SRP). De huvudsakliga kraven i förordningen börjar tillämpas den 11 december 2027.
Regelverket omfattar hårdvaru- och mjukvaruprodukter som kan ha en direkt eller indirekt dataförbindelse med andra enheter eller nätverk. För utvecklare av inbyggda system innebär det att kraven kan beröra både färdiga produkter och enskilda komponenter som säljs separat.
Säkerhetsarbetet behöver därför omfatta hela utvecklingskedjan, från hårdvara och Board Support Package (BSP) till övrig mjukvara och den färdiga applikationen. Tillverkare måste också kunna identifiera och hantera sårbarheter, bedöma säkerhetsrisker och tillhandahålla säkerhetsuppdateringar under produktens fastställda supportperiod.
Säkerhetsansvaret kan finnas på flera nivåer
Varje tillverkare ansvarar för att de produkter den själv släpper ut på marknaden uppfyller tillämpliga krav enligt CRA. Därför kan flera aktörer i leverantörskedjan ha egna skyldigheter kopplade till samma sårbarhet.
Det gör informationsutbytet mellan leverantörer och tillverkare särskilt viktigt. Om en sårbarhet upptäcks i en komponent eller mjukvara behöver berörda parter kunna få information om den, bedöma konsekvenserna för sina respektive produkter och vidta nödvändiga åtgärder.
– Många kunder hör av sig till oss och har frågor kring CRA och vad det innebär i praktiken. Det är lätt att fokusera på de tekniska säkerhetskraven, men minst lika viktigt är att förstå vilket ansvar som finns kvar efter att produkten har levererats, säger Magnus Wingmark, Head of Business Department på Hectronic.
Ansvarsfördelningen behöver vara tydlig från början
Vem som bevakar sårbarheter, underhåller mjukvaran, tar fram säkerhetsuppdateringar och ansvarar för kommunikationen behöver vara tydligt överenskommet mellan parterna. Om en sårbarhet upptäcks i en del av lösningen kan information behöva föras vidare genom leverantörskedjan, så att berörda parter kan bedöma konsekvenserna för sina respektive produkter.
För att tydliggöra ansvarsfördelningen kan ett särskilt avtal, exempelvis ett Cyber Security Sub-Supplier Agreement (CSSA), användas. Där kan leverantör och kund dokumentera vilka delar av säkerhetsarbetet respektive part åtar sig att hantera, även efter att produkten har levererats.
Med de huvudsakliga CRA-kraven som börjar tillämpas i december 2027 blir det därför viktigt att inte bara se över den tekniska säkerheten, utan också hur säkerhetsarbetet ska hanteras och följas upp under produktens livscykel.
Läs mera på Hectronics websida.
Text: Yvonne Jockovic Schröder, Hectronic
Teknisk expert: Andreas Renberg, Development Manager, Hectronic




