Svenska Dokumentmallar
CRA PSIRT – Sårbarhetsmottagning, 24/72h-rapportering och beviskedja | Word/PDF/Excel
CRA PSIRT – Sårbarhetsmottagning, 24/72h-rapportering och beviskedja | Word/PDF/Excel
- Filformat
- DOCX, PDF, XLSX
- Dokumentspråk
- Fem svenska arbetsdokument svensk användarguide och separat English User Guide; Excel på svenska.
- Antal filer
- 7
Digital nedladdning. Ingen fysisk produkt skickas.
Det gick inte att ladda hämtningstillgänglighet
Om dokumentmallen
Ta emot, bedöm och dokumentera en konkret säkerhetssårbarhet eller incident i en digital produkt – från första rapport till faktisk CRA-anmälan och kundinformation. Detta specialistpaket för tillverkare av produkter med digitala element fokuserar på CRA artikel 14 och ENISA:s Single Reporting Platform (SRP). Det ersätter inte en bred CRA-riskbedömning, SBOM eller faktisk myndighetsrapportering.
Snabbfakta: 5 svenska arbetsdokument, 1 svensk användarguide och 1 English User Guide, samtliga i redigerbar Word (DOCX) och sökbar utskrivbar PDF (inte interaktiva formulär), samt 1 svensk Excel-arbetsbok med 9 flikar. Totalt 15 kundfiler: sju självständiga dokument i två format plus en XLSX. Digital ZIP-leverans vid framtida aktivering.
Paketets innehåll
Fem fristående operativa Word-dokument, en svensk och en engelsk guide, sju motsvarande sökbara PDF-kopior samt en Excelarbetsbok. Totalt 7 dokumenttyper och 15 filer. Arbetsdokument och Excel är på svenska; endast den engelska guiden är på engelska.
Vad filerna innehåller
PSIRT-ansvar och behörighet, sårbarhetsintag, bevis och källkontroll, två olika rapporteringstriggers, awareness-tidpunkt, rapporteringsunderlag och verkliga SRP-ID/kvitton, säkerhetsuppdateringar, kundmeddelanden och efterkontroller. Excel ger en spårbar administrativ översikt – ingen automatisk myndighetsanmälan.
Vem ska välja mallen – och när?
För produktutvecklare och tillverkare som säljer programvara, uppkopplad utrustning eller andra produkter med digitala element på EU-marknaden och måste hantera en indikation på aktiv exploatering eller en allvarlig säkerhetsincident. Två typfall: en rapportör skickar belägg om attacker mot en specifik firmwareversion; eller en tillverkare får kännedom om en incident som allvarligt påverkar produktens säkerhet. Om du är vanlig återförsäljare, IT-driftleverantör eller hanterar enbart interna IT-incidenter kan andra dokument och andra regler vara rätt. Juridisk tillverkarroll och CRA-tillämpning måste först kontrolleras.
Fil för fil
| Dokument | Praktiskt syfte | Språk | Format |
|---|---|---|---|
| 1. PSIRT – ansvar och beredskap | Roller, behörig företrädare, CSIRT, eskalering och reservrutin. | Svenska | DOCX + sökbar PDF |
| 2. Mottagning av sårbarhetsrapport | Säkert intag, produkt-/versionskoppling, käll- och beviskontroll. | Svenska | DOCX + sökbar PDF |
| 3. CRA-rapportbarhetsbedömning | Separat bedömning av aktivt utnyttjad sårbarhet respektive allvarlig incident. | Svenska | DOCX + sökbar PDF |
| 4. SRP-rapporteringsunderlag | Underlag för 24h, 72h, AEV-/SI-slutrapport samt faktisk SRP-kvittens. | Svenska | DOCX + sökbar PDF |
| 5. Samordnad rättelse och kundinformation | Patch- och åtgärdshistorik, leverantörssamordning och kundbrev. | Svenska | DOCX + sökbar PDF |
| 6. Svensk användarguide | Färdigställande, datumlogik, avgränsningar, säker hantering och källor. | Svenska | DOCX + sökbar PDF |
| 7. English User Guide | English instructions for the Swedish templates; not translated legal forms. | Engelska | DOCX + sökbar PDF |
| 8. CRA PSIRT/SRP-register | 9 flikar: översikt, produkter, mottagning, triage, SRP-rapportering, åtgärder, kommunikation, bevisning och källor. | Svenska | XLSX |
Excelverktyget i praktiken
Workbooken har filtrerbara registreringar, statusfält, ID-kopplingar och en formelbaserad översikt. Vid faktiskt inmatat UTC-tidvärde för när tillverkaren blev medveten om en rapporteringspliktig händelse visar den indikativa 24h- och 72h-tidpunkter. Dessa är yttersta tekniska kontrollvärden, inte en rätt att vänta: rapportera utan onödigt dröjsmål. Slutrapportens datum anges manuellt eftersom utlösaren skiljer sig: när en åtgärd finns tillgänglig (AEV) respektive när 72h-anmälan verkligen lämnats (SI). Registret skiljer utkast, bedömning, skickad anmälan och faktisk kvittens.
Stegvis arbetsgång
- Identifiera juridisk tillverkare, produkt, version och behörig PSIRT-/SRP-roll.
- Registrera källor och bevis utan att lägga hemligheter eller exploateringskod i osäkrade kontorsfiler.
- Bedöm separat AEV och SI mot CRA artikel 14 och dokumentera awareness-tidpunkten.
- Vid skyldighet: förbered underlag och rapportera utan onödigt dröjsmål genom ENISA:s officiella SRP.
- Spara faktiska inlämnings-ID och tidsstämplar för 24h, 72h och tillämplig slutrapport.
- Dokumentera korrigerande åtgärd, berörda användare, kommunikation och efterkontroll.
Juridiska gränser och ansvar
CRA (EU) 2024/2847, artikel 14 började tillämpas på tillverkare den 11 september 2026. Rapporteringsplikt för aktivt utnyttjad sårbarhet kräver relevanta belägg för faktisk exploatering; ett CVE-nummer eller hög riskpoäng räcker inte automatiskt. Allvarlig incident ska prövas enligt artikel 14.5. Tidig varning ska lämnas inom 24h och anmälan inom 72h från relevant awareness, båda utan onödigt dröjsmål. För AEV lämnas slutrapport senast 14 dagar efter att korrigerande eller begränsande åtgärd är tillgänglig. För SI lämnas slutrapport inom en månad efter den faktiska 72h-anmälan. Artikel 14.8 behandlar information till berörda användare.
ENISA:s SRP-FAQ och fältglossarium ska kontrolleras direkt vid verklig rapportering eftersom fält och plattformsfunktioner uppdateras. En Word- eller Excelstatus räknas aldrig som inlämnad anmälan. De huvudsakliga övriga CRA-kraven börjar i regel tillämpas den 11 december 2027, och artikel 24.3 för open-source software stewards följer en annan starttidpunkt. Vid behov krävs särskild bedömning enligt exempelvis NIS2, GDPR och DORA.
Skillnaden mot våra andra dokument
Vårt bredare CRA Compliance-paket omfattar riskbedömning, SBOM, säkerhetskrav och övergripande CRA-rapportering. Det här nya paketet är i stället en specialiserad arbetskedja för en faktisk mottagen rapport eller incident, SRP-kvitton, bevisning och kundinformation.
Vanliga frågor
Måste varje säkerhetssårbarhet anmälas?
Nej. Artikel 14 har särskilda trösklar för aktivt utnyttjade sårbarheter och allvarliga incidenter. Andra sårbarheter kan kräva intern hantering, men är inte automatiskt obligatoriska SRP-anmälningar.
Skickar mallen anmälan till ENISA?
Nej. Underlagen förbereder och dokumenterar arbetet; en behörig företrädare måste skicka anmälan via den faktiska SRP-plattformen.
Är PDF-filerna redigerbara?
De är sökbara och utskrivbara, men inte interaktiva ifyllnadsformulär. Använd Word-filerna för redigering.
Är allt material översatt till engelska?
Nej. De fem arbetsdokumenten och Excel är svenska. Den engelska guiden förklarar hur de svenska handlingarna används.
Version, källor och transparens
Utgåva 1.0, 9 november 2026. AI-assisterad juridisk källgenomgång av CRA artikel 14, kommissionens rapporteringsinformation och ENISA:s SRP-material den 9 november 2026. Ingen extern oberoende juristgranskning, myndighetsprövning eller teknisk produktcertifiering har genomförts. Paketet är ett administrativt stöd, inte en garanti för efterlevnad.
