Rune Hillebo Wiinberg & Johan Callmyr

Cyber Resilience Act: var ska produktföretag börja?

Cyber Resilience Act (CRA) förändrar cybersäkerhetslandskapet för företag som utvecklar produkter med digitala komponenter för den europeiska marknaden. För många tillverkare är utmaningen inte att förstå att cybersäkerhet är viktigt. Det budskapet har redan gått fram. Den svårare frågan är mycket mer praktisk: Var börjar vi?

CRA readiness börjar med att förstå ert nuläge

Särskilt om ni redan har produkter på marknaden, etablerade utvecklingsprocesser och teknik som aldrig utformades utifrån dagens cybersäkerhetsförväntningar.

Tidslinjen gör förberedelser viktiga. CRA:s rapporteringskrav har gällt sedan 11 september 2026, medan de huvudsakliga cybersäkerhetskraven för produkter börjar gälla 11 december 2027. Det ger produktföretag en tydlig anledning att börja bedöma sitt nuläge redan nu – innan huvudkraven träder i kraft.

Svaret är inte nödvändigtvis att börja implementera nya säkerhetsfunktioner. Börja med att förstå var ni står.

Börja med gapet

En GAP-analys ger ett strukturerat sätt att jämföra era nuvarande produkter och arbetssätt med de krav ni behöver hantera. Det innebär att titta på själva enheten, men också bortom den.

Hur utvecklas produkten? Vilka programvaru- och hårdvarukomponenter innehåller den? Hur hanteras sårbarheter? Kan produkten uppdateras säkert? Vem ansvarar för cybersäkerheten efter lansering? Vilken dokumentation finns?

Att besvara dessa frågor skapar en nulägesbild. Vissa organisationer kommer att upptäcka att de redan har många av de nödvändiga processerna och teknikerna på plats. Andra kan hitta betydande luckor. Båda resultaten är användbara. Det går inte att skapa en meningsfull roadmap förrän ni vet var ni börjar.

Säker utveckling från början

Ett viktigt område är själva utvecklingsprocessen. Säkerhet behöver bli en del av hur produkter designas och utvecklas, snarare än något som kontrolleras strax före lansering. Secure coding, threat modelling och cybersäkerhetsriskbedömningar kan hjälpa team att identifiera potentiella problem tidigare.

Principen är enkel: det är generellt lättare att fatta bra säkerhetsbeslut när arkitekturen utformas än att kompensera för svagheter när arkitekturen redan är fastställd. Detta är grunden för security by design.

Ha koll på vad som finns i produkten

Moderna uppkopplade produkter innehåller ofta ett ekosystem av komponenter.

Vissa utvecklas internt. Andra kommer från leverantörer, open source-projekt eller etablerade programvaruramverk. Det gör komponentsäkerhet till en annan viktig del av bilden.

Team behöver förstå vad deras produkter är beroende av och hur dessa beroenden underhålls. Om en sårbarhet upptäcks i en komponent behöver ni veta om produkten påverkas och vad ni kan göra åt saken.

Det blir särskilt viktigt för produkter med långa livscykler. Programvara som ansågs säker när produkten lanserades kommer inte nödvändigtvis att förbli säker för alltid.

Förbered er för sårbarhet

Nya sårbarheter är oundvikliga. Frågan är hur väl förberedda ni är när en sårbarhet påverkar er produkt. En strukturerad process för sårbarhetshantering kan hjälpa team att identifiera, bedöma och hantera säkerhetsproblem under hela produktens livscykel.

CVE-monitorering (Common Vulnerabilities and Exposures) är en del av detta. Den ger information om kända sårbarheter som kan vara relevanta för den programvara som används i produkten.

Men övervakning är bara värdefull när den leder till handling. Vem bedömer larmet? Hur bedöms relevansen? Vad händer om en uppdatering krävs? Hur snabbt kan organisationen agera?

Cybersäkerhet blir mycket mer hanterbar när dessa frågor har besvarats innan en incident inträffar.

Uppdateringar behöver också en strategi

När ni identifierar en sårbarhet som kräver åtgärd kan ni behöva uppdatera produkter som redan är i drift. Det skapar ytterligare frågor.

Kan produkten uppdateras på distans? Hur verifierar ni att uppdateringen är äkta? Vad händer om en uppdatering misslyckas? Hur testas den nya programvaran före driftsättning? Kan ni kontrollera och förhindra nedgradering av programvara så att säkerhetspatchar faktiskt installeras?

Säkra programvaruuppdateringar, signering av firmware och lämplig nyckelhantering kan alla spela en roll. Testning är lika viktigt. En dedikerad testmiljö gör det möjligt att kvalificera säkerhetsuppdateringar och genomföra integrations- och prestandatester innan programvaran når produkter i drift.

Möjligheten att uppdatera säkert är därför något som bör byggas in i produkten från början.

Dokumentation är viktigt

Cybersäkerhet handlar inte bara om att göra rätt saker. Organisationer behöver också kunna visa vad de har gjort. Det ökar betydelsen av dokumentation och spårbarhet.

Säkerhetskrav, riskbedömningar, utvecklingsaktiviteter och beslut kan behöva bli en del av en strukturerad process. För vissa organisationer innebär detta en betydande kulturell förändring.

Informella utvecklingssätt som fungerade bra tidigare kan behöva bli dokumenterade processer med tydligare ansvar och ägarskap. Och det lyfter fram en viktig aspekt av CRA readiness.

Det här är inte bara ett utvecklingsprojekt

Teknik kan stå i centrum för cybersäkerhet, men förändringarna kan nå långt utanför utvecklingsavdelningen. FoU, produktledning, kvalitet, produktion och ledning kan alla påverkas.

Vi har genomfört kundprojekt där GAP-analyser gjordes för olika produkter som används på olika marknader och inom olika branscher. Arbetet visade att förbättrad cybersäkerhet inte bara handlade om produkterna, utan även om utvecklingsprocesser, underhåll och arbetssätt.

Prevas arbetade därför både som teknisk rådgivare och projektledare och hjälpte till att koppla ihop cybersäkerhetskraven med det bredare affärssammanhanget.

Den kombinationen är viktig. En tekniskt korrekt lösning är bara användbar om organisationen kan implementera, underhålla och arbeta med den.

Cyber Resilience Act - omvandla kraven till en roadmap

Cyber Resilience Act (CRA) kan till en början kännas som en stor och komplex utmaning. Genom att bryta ner den blir den mer hanterbar.

Kartlägg era produkter. Förstå era risker. Gå igenom utvecklings- och underhållsprocesserna. Identifiera gapen. Prioritera det som är viktigast. Bygg sedan en roadmap som kopplar cybersäkerhetskraven till teknik- och affärsprioriteringar.

Målet bör inte bara vara compliance. Om arbetet görs rätt kan samma insatser skapa robustare produkter, tydligare utvecklingsprocesser och bättre kontroll över hela produktens livscykel.

Och det är en bra plats att börja på.

utforska

Insikter inom cybersäkerhet

Se alla våra case och insikter

Om författarna

Rune Hillebo Wiinberg är Head of Cybersecurity på Prevas och har arbetat professionellt med embedded och säkra, uppkopplade produkter sedan 2007. Med erfarenhet från energi, medicinteknik och försvar hjälper han kunder på alla nivåer i organisationen och skapar en brygga mellan affärsprioriteringar, regulatoriska krav och teknisk produktutveckling.

Johan Callmyr är Software Architect med mer än 20 års erfarenhet av C++ och embedded-programvara. Han kombinerar teknisk kompetens med erfarenhet av mjukvaruarkitektur, tekniskt ledarskap, cybersäkerhet och utveckling i reglerade miljöer som medicinteknik. Som Software Architect och Software Lead hjälper han kunder att utveckla robusta, säkra och trygga mjukvarulösningar för komplexa produkter.