Läser in
CyberKlar CRA · Cyber Resilience Act
Från sårbarhet till rapportering, innan tiden går ut.
CyberKlar kopplar era produkter och SBOM:er till sårbarheter, hjälper er bedöma rapporteringsskyldigheten och samlar underlaget ni behöver för CRA.
Rapporteringsskyldigheterna för aktivt utnyttjade sårbarheter och allvarliga incidenter gäller sedan 11 september 2026.
EU 2024/2847 (CRA)Art. 14 · 24 h · 72 hSBOM · SPDX · CycloneDXHash-låsta rapportversionerData i EU · Irland
Så fungerar det
Från produkt till bevis, i samma register.
- 01 · Era produkter
Produktregistret listar era produkter med digitala element, med CRA-tillämplighet och en namngiven ägare per produkt.
- 02 · SBOM
Ni importerar SBOM som SPDX, CycloneDX eller manuell komponentlista och registret visar om den är aktuell eller saknas. CyberKlar analyserar inte beroendena.
- 03 · Sårbarhet
Sårbarheter registreras manuellt eller via API från de verktyg ni redan använder och kopplas till rätt SBOM-komponent.
- 04 · CRA-bedömning
CyberKlar föreslår om sårbarheten sannolikt är rapporteringspliktig, med skäl. Beslutet fattar ni, med motivering, och det sparas skilt från förslaget.
- 05 · Rapportering
Fristerna enligt Art. 14 räknas från kännedomstidpunkten: 24 timmar till tidig varning, 72 timmar till anmälan och därefter slutrapport. Rapportversionen förifylls och markeras klar för inlämning. Inlämningen gör ni själva; CyberKlar lämnar aldrig in.
- 06 · Bevis
Varje rapportversion hash-låses, varje beslut sparas med motivering och händelseloggen kan inte ändras i efterhand. CRA-övningen testar hela kedjan innan det är skarpt.
Översikten
Läget på fem sekunder.
Vilka produkter saknar SBOM, vilka sårbarheter är kritiska och hur lång tid som är kvar till nästa frist. Klockan räknar från den kännedomstidpunkt ni själva satte, inte från när posten skapades.
Illustration · fiktivt exempel
CRA-översikt
Exempelbolag
- 12
- produkter
- 9
- SBOM aktuella
- 3
- saknar SBOM
- 4
- kritiska sårbarheter
- 1
- potentiellt rapporteringspliktig
- 0
- försenade rapporter
Tidig varning23 h 14 min kvar
CyberKlar-bedömning: rapporteringsskyldighet sannolik, granskning krävs.
Arbetsytan
Så ser CyberKlar CRA ut inifrån.
Sårbarhet · aktivt utnyttjad
Klockan går från er kännedom.
Illustration med fiktiv produkt, komponent och sårbarhet. Frister enligt Art. 14: 24 h · 72 h.
Styrenhet G2 · firmware 4.1 SBOM-komponent: libexempel
| Steg | Frist | Status |
|---|---|---|
| Tidig varning | inom 24 h | Utkast klart |
| Anmälan | inom 72 h | Förifylls |
| Slutrapport | 14 dagar efter åtgärd | Väntar på åtgärd |
CyberKlar-bedömning: rapporteringsskyldighet sannolik, granskning krävs. Inlämningen gör ni själva.
Utforska CRA i demonIllustration med fiktiva data. Ingen riktig produkt eller sårbarhet.
Samma flöde i demokontot: översikten visar det som kräver handling nu, och sårbarheten visar fristerna bredvid CyberKlars förslag och det mänskliga beslutet.
Beredskap
Beredskap, inte checklista.
En rapport inom 24 timmar går inte att improvisera. Det som avgör är vad som redan finns på plats när ni får kännedom om sårbarheten.
SBOM per produkt
En aktuell komponentlista per produkt, importerad som SPDX, CycloneDX eller inmatad för hand. Utan den kan en sårbarhet inte kopplas till rätt produkt.
Ägare
En namngiven person per produkt som får larmet när en sårbarhet registreras och som ansvarar för beslutet om rapportering.
Rapporteringsprocess
Vem sätter kännedomstidpunkten, vem granskar bedömningen och vem lämnar in. Stegen finns i plattformen innan de behövs.
Teknisk dokumentation
Produktens CRA-tillämplighet, kravbild och tekniska underlag samlade på ett ställe, kopplade till produkten i registret.
Sårbarhetshantering
Sårbarheter registrerade mot SBOM-komponent, med status, bedömning och beslut. Manuellt eller via API från de verktyg ni redan använder.
Bevis
Hash-låsta rapportversioner, beslut med motivering och en händelselogg som inte kan ändras i efterhand. Det som visas upp när någon frågar.
Ingår i Komplett
Så köps det.
CyberKlar CRA säljs inte separat utan ingår i Komplett (132 000 kr per år exklusive moms, mellanbandet) tillsammans med NIS2-samordnaren, AI-systemregistret, övriga register- och regelverksmoduler och CyberKlar Control. Organisation, användare, bevis och händelselogg delas mellan modulerna, så AI-styrningen och CRA-arbetet sker i samma plattform.
Läs vidare
- CRA tidslinje
11 september 2026 för rapportering, 11 december 2027 för huvuddelen av kraven.
- CRA för tillverkare
Skyldigheter för tillverkare, importörer och distributörer.
Vanliga frågor
De vi får oftast.
01Lämnar CyberKlar in rapporten?
Lämnar CyberKlar in rapporten?
Nej. CyberKlar förbereder rapportversionen ur produkt, SBOM och sårbarhet och markerar den som klar för inlämning. Själva inlämningen till den gemensamma rapporteringsplattformen gör ni själva, och plattformen visar aldrig status inlämnad eftersom den inte kan veta det.
02Skannar CyberKlar våra produkter?
Skannar CyberKlar våra produkter?
Nej. CyberKlar har ingen sårbarhetsskanner och analyserar inte beroenden i er kod. Sårbarheter registreras manuellt eller via API från de verktyg ni redan använder, och kopplas sedan till rätt SBOM-komponent i registret.
03Vad räknas fristerna från?
Vad räknas fristerna från?
Från kännedomstidpunkten, alltså när ni fick kännedom om att sårbarheten utnyttjas aktivt eller att incidenten inträffat. Därifrån räknar CyberKlar 24 timmar till tidig varning och 72 timmar till anmälan enligt Art. 14, plus fristen för slutrapport. Tidpunkten sätts av er och loggas.
04Vad är skillnaden mellan CyberKlars bedömning och vårt beslut?
Vad är skillnaden mellan CyberKlars bedömning och vårt beslut?
CyberKlar-bedömningen är ett förslag med skäl: sannolikt rapporteringspliktig, sannolikt inte, eller granskning krävs. Beslutet fattar ni, med motivering, och det sparas separat i händelseloggen. Bedömningen kan aldrig ersätta beslutet.
05Vad händer med AI-kunder?
Vad händer med AI-kunder?
CRA och AI-förordningen (AI Act) är två separata produktupplevelser i samma plattform. Produkter, SBOM:er och sårbarheter lever i CRA-delen, AI-system och agenter i AI-styrningen, men organisation, användare, bevis och händelselogg delas. En tillverkare av en AI-driven ansluten produkt kan arbeta i båda utan dubbel administration.