CRA supportperiod 2027 – säkerhetsuppdateringar, kundinformation och livscykelregister | Word/PDF/Excel

Hur länge måste en tillverkare hålla sin digitala produkt säker, och hur visas supportslut tydligt för kunden? Med detta specialistpaket dokumenterar ni förväntad användningstid, supportperiod, sårbarhetsbehandling, säkerhetsuppdateringar, kundinformation och fortsatt tillgänglighet till redan släppta patchar. Utformat för svenska tillverkare, produktägare, utvecklingschefer, PSIRT och företag som säljer programvara eller uppkopplad hårdvara i EU.

Snabbfakta: 15 kundfiler: sju redigerbara Worddokument (DOCX), sju motsvarande sökbara och utskrivbara PDF-filer samt ett Excelregister (XLSX) med nio flikar. Fem arbetsmallar på svenska, svensk användarguide och en separat engelsk användarguide till de svenska mallarna. PDF-filerna är inte interaktivt ifyllningsbara.

För vem passar paketet?

Exempelvis en svensk leverantör av uppkopplade sensorer, ett bolag som tillhandahåller programvara, en tillverkare med inbyggda tredjepartskomponenter eller ett produktteam som måste dokumentera sin supportpolicy inför CRA:s huvudsakliga tillämpning i december 2027.

Passar inte ensamt om ni behöver en faktisk SBOM-generator, kodanalys, säkerhetscertifiering, penetrationstest, CE-försäkran eller en utförd obligatorisk rapportering till myndighet. Mallen kan inte avgöra produktens tillämplighet automatiskt eller garantera rättslig efterlevnad.

Filöversikt – vad får kunden?

Excel med nio flikar

Översikt, Produkter, Periodbeslut, Komponenter, Sårbarheter, Uppdateringar, Kundinformation, Åtgärder och Läs mig. Registrera till exempel vilka produkter som saknar färdigt supportbeslut, korta supportperioder som behöver prövas, komponentgap, öppna sårbarheter, patchar med ej verifierad åtkomst och utebliven kundinformation. Översikten använder testade statusformler och innehåller inga fiktiva testuppgifter.

Varning: Noll öppna ärenden kan bero på att inga ärenden registrerats. Excel är ingen juridisk bedömningsmotor, ingen sårbarhetsskanner och inte ett automatiskt godkännande.

Så använder du dokumenten

1. Fastställ om tillverkaren och produkten omfattas av CRA och om andra sektorsregler är relevanta.
2. Dokumentera produktens förväntade användningstid, kundförväntningar och beroendekomponenter.
3. Motivera supportperioden – normalt minst fem år men längre där produktens förväntade användning kräver det; kortare kräver motiverad kortare användningstid.
4. Godkänn ansvar, resurser, sårbarhetsmottagning, patchning, provning och säker distribution.
5. Visa produktens supportslut tydligt vid köp, minst med månad och år, och lämna relevant säkerhetsinformation.
6. Registrera varje uppdaterings utgivningsdatum och kontrollera fortsatt åtkomst i rätt period.
7. Dokumentera tekniska underlag, informationsbevis och omprövning vid förändrade förhållanden.

Juridisk grund och viktiga datum

Förordning (EU) 2024/2847 – Cyber Resilience Act är huvudkällan. Enligt artikel 13.8 ska tillverkaren välja en supportperiod som motsvarar produktens förväntade användningstid. Som huvudregel gäller minst fem år, men en kortare period är möjlig om produktens förväntade användning faktiskt understiger fem år. Om användningstiden är längre kan fem år vara för kort. Bedömningens underlag ska ingå i den tekniska dokumentationen.

Artikel 13.9: En säkerhetsuppdatering som gjorts tillgänglig under supportperioden ska finnas tillgänglig i minst tio år efter att den släppts, eller längre om återstoden av supportperioden är längre. Detta är en regel om tillgänglighet till just uppdateringen – inte ett generellt krav på tio års aktiv support.

Artikel 13.19 kräver att slutdatumet för supportperioden, minst månad och år, anges tydligt vid köp. Bilaga II punkt 7 och 8 behandlar bland annat typen av support, uppdateringsinstruktioner, säker installation och säker avveckling. Bilaga I del II gäller sårbarhetshantering och uppdateringar, bland annat säker distribution och användarinformation.

Datum: De huvudsakliga CRA-produktkraven börjar tillämpas 11 december 2027. Rapporteringsskyldigheter enligt artikel 14 för vissa aktivt utnyttjade sårbarheter och allvarliga säkerhetsincidenter gäller redan sedan 11 september 2026. Produkter, roller, övergångsregler, tillämplighet och kompletterande vägledning ska prövas för den aktuella tillverkaren. EU-kommissionens CRA-översikt och vägledning från 27 juli 2026 ger ytterligare stöd.

Skillnad mot Mallbutikens övriga CRA-produkter

Det befintliga CRA Compliance-paketet har bred inriktning på riskbedömning, SBOM och incidentkrav. Denna specialistprodukt är fokuserad på supportperiodens juridiska och tekniska beslutsmotivering, kundupplysning och fortsatta patchåtkomst. PSIRT-incidentrapportering sker separat. För generell driftuppdatering och ändringsplanering krävs också den berörda organisationens egna tekniska processer.

Vanliga frågor

Måste alla produkter stödjas i exakt fem år?

Nej. Supportperioden ska följa förväntad användningstid och ofta vara längre än fem år. En kortare period kräver konkret stöd för att produkten verkligen väntas användas kortare tid.

Innebär tioårskravet att vi måste släppa nya patchar i tio år?

Nej. Artikel 13.9 avser fortsatt åtkomst till patchar som faktiskt släppts under supportperioden. Det är en annan fråga än den aktiva supportperiodens längd.

Vad behöver kunden se vid köp?

Bland annat typen av teknisk säkerhetssupport och supportslut, tydligt och begripligt med minst månad och år.

Kan Excel avgöra om en patch uppfyller CRA?

Nej. Excel summerar de manuella fält som organisationen själv fyller i och innehåller ingen teknisk skanner eller regulatorisk certifiering.

Ingår verkliga säkerhetsuppdateringar eller en maskinläsbar SBOM?

Nej. Det ingår arbetsmallar för dokumentation och säkra referenser. Faktiskt utvecklingsarbete, tester och SBOM-generering måste göras separat.

Kan PDF:erna fyllas i digitalt?

De är sökbara och utskrivbara men inte interaktiva PDF-formulär. Redigera dokumenten i Word och Excel.

Är alla dokument översatta till engelska?

Nej. Fem svenska arbetsmallar och Excel är på svenska; en engelsk användarguide ingår för att förklara arbetsgången.

Källor, granskningsnivå och version

Officiella källor: EU 2024/2847, EU-kommissionens sammanfattning, genomförandetidslinje och vägledning 2026.

Produktversion: 1.0, 12 november 2026. Juridisk källkontroll: AI-assisterad med stöd av officiella källor. Ingen oberoende extern juristgranskning, verklig produktsecurity-testning, myndighetskontroll eller CE-certifiering. Filerna är en anpassningsbar arbetsprodukt och får inte marknadsföras som verifierad efterlevnad. Leverans via digital ZIP kräver separat aktivering av butikens nedladdningsfunktion före publicering.