{"product_id":"cra-open-source-steward-2027-cybersakerhetspolicy-artikel-24","title":"CRA Open Source Steward 2027 – cybersäkerhetspolicy, sårbarhetsrutiner och myndighetsbevis | Word\/PDF\/Excel","description":"\u003csection lang=\"sv\" style=\"color:#183A55;line-height:1.7\"\u003e\n\u003cp\u003e\u003cstrong\u003eDriver er stiftelse, förening eller organisation utveckling och långsiktig förvaltning av öppna källkodsprojekt som används kommersiellt?\u003c\/strong\u003e Då kan er roll vara en \u003cstrong\u003eopen-source software steward\u003c\/strong\u003e enligt \u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eEU:s Cyber Resilience Act – förordning (EU) 2024\/2847\u003c\/a\u003e. Artikel 24 kräver bland annat en \u003cstrong\u003everifierbart dokumenterad cybersäkerhetspolicy\u003c\/strong\u003e som stödjer säker utveckling, dokumentation och rättelse av sårbarheter samt frivillig rapportering och samordnad informationsdelning med open source-communityn.\u003c\/p\u003e\n\u003cp\u003e\u003cstrong\u003eViktig skillnad mot vanliga CRA-mallar:\u003c\/strong\u003e En steward är en \u003cstrong\u003ejuridisk person, annan än tillverkaren\u003c\/strong\u003e, som systematiskt och varaktigt stöder utvecklingen och spelar en huvudroll för fortlevnaden hos vissa öppna källkodsprodukter avsedda för kommersiell verksamhet. Att vara maintainer, skriva kod på fritiden eller driva en förening innebär inte automatiskt att man omfattas. En organisation kan vara \u003cstrong\u003esteward i ett projekt och tillverkare i ett annat\u003c\/strong\u003e. Rollen måste kontrolleras för varje produkt\/version.\u003c\/p\u003e\n\u003cp\u003e\u003cstrong\u003eDatum:\u003c\/strong\u003e Tillverkarnas artikel 14-rapportering började gälla \u003cstrong\u003e11 september 2026\u003c\/strong\u003e. Stewardens särskilda, villkorade anmälningsskyldigheter enligt \u003cstrong\u003eartikel 24.3 börjar 11 december 2027\u003c\/strong\u003e. ENISA har verifierat denna skillnad. Det här paketet är därför särskilt utformat för rätt förberedelse – inte för att påstå att alla stewards måste anmäla incidenter redan 2026.\u003c\/p\u003e\n\u003csection style=\"border:2px solid #BBD9E6;border-left:6px solid #246D93;background:#EAF6FB;border-radius:10px;padding:17px 20px;margin:20px 0\"\u003e\u003ch2 style=\"margin:0 0 8px;color:#174F70\"\u003e01 · Paketets innehåll\u003c\/h2\u003e\n\u003cp style=\"margin:0\"\u003eFem svenska operativa arbetsmallar med egna uppgifter och bevisreferenser, en svensk användarguide och en separat English User Guide. Alla sju som redigerbar Word (DOCX) och sökbar PDF. Dessutom ett svenskt Excelregister med nio flikar. \u003cstrong\u003eTotalt 7 DOCX + 7 PDF + 1 XLSX = 15 kundfiler\u003c\/strong\u003e i en ZIP utan makron.\u003c\/p\u003e\u003c\/section\u003e\n\u003csection style=\"border:2px solid #BBD9E6;border-left:6px solid #246D93;background:#EAF6FB;border-radius:10px;padding:17px 20px;margin:20px 0\"\u003e\u003ch2 style=\"margin:0 0 8px;color:#174F70\"\u003e02 · Vad filerna innehåller\u003c\/h2\u003e\n\u003cp style=\"margin:0\"\u003eRollprövning (steward eller tillverkare), antagande av en verifierbar säkerhetspolicy, sårbarhetsmottagning och patchrutiner, exakt avgränsning av artikel 24.3, svar på motiverad myndighetsbegäran och en spårbar bevis- och åtgärdskedja. \u003cstrong\u003eExcel räknar administrativa poster – inga CE-intyg, SBOM-godkännanden eller automatiska myndighetsanmälningar.\u003c\/strong\u003e\u003c\/p\u003e\u003c\/section\u003e\n\u003ch2\u003eVilka verksamheter har verklig nytta av produkten?\u003c\/h2\u003e\n\u003cp\u003eMålgruppen är \u003cstrong\u003eopen source-stiftelser, branschföreningar, ideella eller kommersiella juridiska personer\u003c\/strong\u003e som driver repo-\/utvecklingsinfrastruktur, tillhandahåller långsiktig organisatorisk eller teknisk hjälp och säkerställer fortlevnaden för en relevant FOSS-produkt. Exempel är en stiftelse som förvaltar flera bibliotek och upprätthåller en dokumenterad säkerhets- och disclosureprocess.\u003c\/p\u003e\n\u003cp\u003e**Produkten skiljer sig från våra befintliga mallar:** \u003ca href=\"\/pl\/products\/cyber-resilience-act-cra-compliance-2026-2027-svenska-english-riskbedomning-sbom-incidentrapportering-word-pdf-excel\"\u003eCRA Compliance för tillverkare, riskbedömning och SBOM\u003c\/a\u003e fokuserar på produkters allmänna skyldigheter, och \u003ca href=\"\/pl\/products\/cra-psirt-sarbarhetsrapportering-artikel14\"\u003eCRA PSIRT – 24\/72h och sårbarhetsrapportering\u003c\/a\u003e stödjer tillverkarens faktiska incidenthantering. Denna produkt är särskilt för \u003cstrong\u003estewardens artikel 24-policy, styrningsroll och begränsade rapporterings- och myndighetssvar\u003c\/strong\u003e.\u003c\/p\u003e\n\u003ch2\u003eVad kräver artikel 24.1 av en open-source software steward?\u003c\/h2\u003e\n\u003cp\u003e\u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eArtikel 24.1\u003c\/a\u003e kräver en dokumenterad och \u003cstrong\u003everifierbar cybersäkerhetspolicy\u003c\/strong\u003e som främjar säker utveckling och att utvecklarna effektivt hanterar sårbarheter. Policyn ska särskilt täcka upptäckt, dokumentering, bedömning, hantering och rättelse samt främja frivillig rapportering enligt artikel 15 och informationsutbyte inom open source-communityn. Den ska anpassas efter organisationens faktiska juridiska och organisatoriska struktur. Att skriva ”vi följer CRA” räcker inte – ange ansvar, säker kontakt, process, versionsnummer och faktiska bevis.\u003c\/p\u003e\n\u003ch2\u003eVad gäller vid myndighetsbegäran?\u003c\/h2\u003e\n\u003cp\u003eEnligt artikel 24.2 ska en steward samarbeta med marknadskontrollmyndigheter för att minska säkerhetsrisker. Vid en \u003cstrong\u003emotiverad begäran\u003c\/strong\u003e ska stewarden kunna lämna den dokumenterade policyn från punkt 1 på papper eller elektroniskt, på ett språk som myndigheten enkelt kan förstå. Paketet innehåller underlag för att verifiera avsändaren, samla rätt dokument, skydda känsliga uppgifter och spara en verklig svarskvittens.\u003c\/p\u003e\n\u003ch2\u003eRapportering enligt artikel 24.3 – två olika situationer\u003c\/h2\u003e\n\u003cp\u003e\u003cstrong\u003eAktivt exploaterad sårbarhet:\u003c\/strong\u003e Hänvisningen till artikel 14.1 gäller en steward i den utsträckning organisationen faktiskt deltar i utvecklingen av den berörda digitala produkten. \u003cstrong\u003eAllvarlig incident:\u003c\/strong\u003e Hänvisningarna till artikel 14.3 och 14.8 gäller inom den avgränsade situation där incidenten påverkar nät- och informationssystem som stewarden själv tillhandahåller för utvecklingen av produkterna. Alla tänkbara buggar, angrepp mot en tredje part eller interna IT-störningar blir därför inte automatiskt art. 24.3-anmälningsplikt.\u003c\/p\u003e\n\u003cp\u003eDen ansvariga måste dokumentera kännedomstid, exakt roll, händelse, rättslig bedömning och faktisk rapporteringskanal. \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/vulnerability-services\/eu-incident-response-and-cyber-crisis-management\/single-reporting-platform-srp\/frequently-asked-questions\"\u003eENISA:s Single Reporting Platform (SRP)\u003c\/a\u003e är den officiella ingången för tillämpliga anmälningar. Mallarna kan inte skicka några meddelanden åt kunden och skapar inga riktiga SRP-kvitton. Planera för gällande tidsfrister och verifiera den aktuella rättsliga tillämpningen med ENISA innan anmälan.\u003c\/p\u003e\n\u003ch2\u003eVilka krav gäller inte automatiskt för en steward?\u003c\/h2\u003e\n\u003cp\u003eSteward-kategorin är ett separat, proportionerligt regelverk. Organisationen måste \u003cstrong\u003einte enbart för att den är steward\u003c\/strong\u003e utfärda tillverkarens CE-försäkran, skapa en tillverkar-SBOM eller följa samtliga produkttekniska skyldigheter i CRA:s bilaga I. \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-open-source\"\u003eEU-kommissionens vägledning\u003c\/a\u003e skiljer uttryckligen stewardens skyldigheter från tillverkarens. En separat tillverkarroll i ett annat projekt ändrar dock situationen.\u003c\/p\u003e\n\u003ch2\u003eKomplett filförteckning\u003c\/h2\u003e\n\u003cdiv style=\"overflow-x:auto\"\u003e\u003ctable style=\"width:100%;min-width:640px;border-collapse:collapse\"\u003e\n\u003cthead\u003e\u003ctr style=\"background:#DDEEF5\"\u003e\n\u003cth style=\"padding:9px;text-align:left\"\u003eFil\u003c\/th\u003e\n\u003cth style=\"padding:9px;text-align:left\"\u003eSyfte\u003c\/th\u003e\n\u003cth style=\"padding:9px;text-align:left\"\u003eFormat\u003c\/th\u003e\n\u003c\/tr\u003e\u003c\/thead\u003e\n\u003ctbody\u003e\n\u003ctr\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e01. Rollprövning – steward\/tillverkare\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDokumentera rättssubjekt, faktiskt stöd till FOSS-projektet, marknadsplacering, release och rollbeslut.\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\u003c\/tr\u003e\n\u003ctr\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e02. Verifierbar cybersäkerhetspolicy\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eArt. 24.1: säker utveckling, säkerhetskontakt, ansvar, patchning, frivillig rapportering och community-delning.\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\u003c\/tr\u003e\n\u003ctr\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e03. Sårbarhetsintag och samordnad disclosure\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eMottagning, ärende-ID, triage, säker kommunikationskanal, patch\/release och rättelsebevis.\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\u003c\/tr\u003e\n\u003ctr\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e04. Art. 24.3 – rapporteringsprövning\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eSkilj aktiva exploateringar där steward deltar i utvecklingen från allvarlig incident i dess utvecklingsinfrastruktur.\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\u003c\/tr\u003e\n\u003ctr\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e05. Myndighetsbegäran och bevis\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eBegärans äkthet, den verifierbara policyn, faktiska evidensreferenser och dokumenterat myndighetssvar.\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\u003c\/tr\u003e\n\u003ctr\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e06. Svensk användarguide\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eSju praktiska steg med datum och juridiska gränsdragningar.\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\u003c\/tr\u003e\n\u003ctr\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e07. English User Guide\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eInstruction guide in English for the Swedish working forms; not five English form translations.\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\u003c\/tr\u003e\n\u003ctr\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e08. Excel-register\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eNio flikar och åtta formelbaserade administrativa KPI:er.\u003c\/td\u003e\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eXLSX\u003c\/td\u003e\n\u003c\/tr\u003e\n\u003c\/tbody\u003e\n\u003c\/table\u003e\u003c\/div\u003e\n\u003ch2\u003eExcel med nio flikar och åtta administrativt testade mått\u003c\/h2\u003e\n\u003cp\u003eFlikarna heter \u003cstrong\u003eÖversikt, Projekt och roller, Policys, Sårbarheter, Incidenter, Rapportering, Myndighetsärenden, Åtgärder samt Källor och guide\u003c\/strong\u003e. Översikten räknar registrerade projekt, oklara rollbedömningar, saknade policys, öppna sårbarheter, incidenter som kräver utredning, oklara rapporteringsärenden, obesvarade myndighetsärenden och öppna åtgärder.\u003c\/p\u003e\n\u003cp\u003eSamtliga åtta värden är \u003cstrong\u003e0 i originalfilen\u003c\/strong\u003e. Separata syntetiska testposter gav förväntat \u003cstrong\u003e1\u003c\/strong\u003e för alla åtta mått. Testuppgifterna är inte med i kundversionen. Ingen automatisk juridisk klassning, extern verifiering, rapportering eller myndighetsgodkännande sker.\u003c\/p\u003e\n\u003ch2\u003eSå använder du dokumenten\u003c\/h2\u003e\n\u003col\u003e\n\u003cli\u003eInventera varje FOSS-projekt, utgivare, stödorganisation, licens- och kommersiell verksamhetskontext.\u003c\/li\u003e\n\u003cli\u003ePröva om varje faktisk relation är \u003cstrong\u003esteward, tillverkare eller inte omfattas\u003c\/strong\u003e. Spara grund och källa.\u003c\/li\u003e\n\u003cli\u003eAnpassa, anta och versionera cybersäkerhetspolicyn med konkret säkerhetskanal och kod-\/releasebevis.\u003c\/li\u003e\n\u003cli\u003eInför privat sårbarhetsmottagning, triage, patchning, regressionsprovning och säker disclosure till communityn.\u003c\/li\u003e\n\u003cli\u003eFörbered rapporteringsbedömningen inför \u003cstrong\u003e11 december 2027\u003c\/strong\u003e. Skilj aktiv exploatering från allvarliga incidenter i stewardens utvecklingsinfrastruktur.\u003c\/li\u003e\n\u003cli\u003eSkapa process för motiverade myndighetsbegäranden och samla verifierbara, dataskyddade bevis.\u003c\/li\u003e\n\u003cli\u003eUppdatera Excel, följ upp åtgärder och låt rätt person fatta manuellt godkännande om varje ärende.\u003c\/li\u003e\n\u003c\/ol\u003e\n\u003ch2\u003eVanliga frågor om CRA och open source stewards\u003c\/h2\u003e\n\u003ch3\u003eÄr en ideell förening automatiskt undantagen från CRA?\u003c\/h3\u003e\n\u003cp\u003eNej. Den juridiska rollen och verksamheten avgör. En juridisk person som systematiskt stödjer relevanta OSS-projekt kan vara en steward även utan eget vinstsyfte, men det krävs individuell bedömning per projekt.\u003c\/p\u003e\n\u003ch3\u003eGäller samma CE-krav för stewards och produkttillverkare?\u003c\/h3\u003e\n\u003cp\u003eNej. Artikeln 24 omfattar separata skyldigheter. En steward måste inte automatiskt uppfylla alla tillverkarens CE-, SBOM- och produktkrav. Om organisationen också är tillverkare för en annan produkt kan andra krav gälla där.\u003c\/p\u003e\n\u003ch3\u003eNär börjar stewardens skyldighet att anmäla till ENISA?\u003c\/h3\u003e\n\u003cp\u003eArtikel 24.3 börjar tillämpas \u003cstrong\u003e11 december 2027\u003c\/strong\u003e. Tillverkarnas artikel 14 började gälla redan \u003cstrong\u003e11 september 2026\u003c\/strong\u003e. De två datumgrupperna får inte blandas ihop.\u003c\/p\u003e\n\u003ch3\u003eMåste alla säkerhetsbuggar skickas till ENISA?\u003c\/h3\u003e\n\u003cp\u003eNej. Det krävs en rättslig bedömning av bland annat faktisk aktiv exploatering, stewardens delaktighet eller en särskild allvarlig incident i stewardens utvecklingsinfrastruktur.\u003c\/p\u003e\n\u003ch3\u003eRäcker en generisk säkerhetspolicy?\u003c\/h3\u003e\n\u003cp\u003eNej, om den inte dokumenterar de faktiska säkerhets- och sårbarhetsprocesser som artikel 24.1 kräver, och inte kan styrkas genom verkliga ansvar, versioner och arbetsbevis. Mallen ska anpassas till organisationen.\u003c\/p\u003e\n\u003ch3\u003eSkapar paketet en faktisk ENISA-rapport?\u003c\/h3\u003e\n\u003cp\u003eNej. Dokument 04 ger intern rättslig och teknisk beredskap. Faktisk rapportering måste ske i rätt officiell kanal av behörig person, och bara verkliga kvittenser förs in.\u003c\/p\u003e\n\u003ch3\u003eVad händer om myndigheten kräver vår policy?\u003c\/h3\u003e\n\u003cp\u003eVerifiera myndighetens identitet och vilken rättslig begäran som gjorts. Använd dokument 05 för att samla antagen policy, faktisk beviskedja, svarsbeslut och kvittens enligt artikel 24.2.\u003c\/p\u003e\n\u003ch3\u003eFinns alla fem arbetsmallar på engelska?\u003c\/h3\u003e\n\u003cp\u003eNej. De fem arbetsmallarna och Excel är svenska. En svensk användarguide och en separat \u003cstrong\u003eEnglish User Guide\u003c\/strong\u003e ingår, inte fullständig översättning av alla arbetsdokument.\u003c\/p\u003e\n\u003ch2\u003eRättskällor, transparens och juridisk kontroll\u003c\/h2\u003e\n\u003cp\u003e\u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eEU-förordning 2024\/2847 – originaltext, artikel 3.14\/24\/71\u003c\/a\u003e · \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-open-source\"\u003eEU-kommissionen: CRA och öppen källkod\u003c\/a\u003e · \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-reporting\"\u003eEU-kommissionen: CRA-rapportering\u003c\/a\u003e · \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/vulnerability-services\/eu-incident-response-and-cyber-crisis-management\/single-reporting-platform-srp\/frequently-asked-questions\"\u003eENISA SRP – datum och anmälan\u003c\/a\u003e · \u003ca href=\"https:\/\/policy.openssf.org\/CRA\/stewards-playbook.html\"\u003eLinux Foundation\/OpenSSF – praktiskt steward-arbete (icke-bindande)\u003c\/a\u003e.\u003c\/p\u003e\n\u003cp\u003e\u003cstrong\u003eVersion 1.0, AI-assisterad juridisk källkontroll 11 november 2026.\u003c\/strong\u003e Ingen extern juristgranskning, faktisk klassning av en organisation, penetrationstest, cyberaudit, CE-intyg eller verklig myndighetsanmälan har utförts. Revidera källorna vid senare vägledningar och rättsliga ändringar. Leverans som ZIP först när utkastet eventuellt publiceras och Shopify Digital Products-filer kopplats separat.\u003c\/p\u003e\n\u003c\/section\u003e","brand":"Svenska Dokumentmallar","offers":[{"title":"Default Title","offer_id":56581000626518,"sku":"CRA-OSS-STEWARD-2027-V1","price":79.0,"currency_code":"SEK","in_stock":true}],"thumbnail_url":"\/\/cdn.shopify.com\/s\/files\/1\/0827\/2373\/3846\/files\/01_CRA_OSS_Steward_Huvudbild_1600.png?v=1794396447","url":"https:\/\/mallbutiken.se\/pl\/products\/cra-open-source-steward-2027-cybersakerhetspolicy-artikel-24","provider":"Mallbutiken","version":"1.0","type":"link"}