CRA-Forum 2026

Moderator hälsar välkommen

Sina Mindus Amini
Advokat
Snellman Advokatbyrå

En genomgång av Cyberresiliensakten (CRA) och de mest centrala delarna i regelverket – krav, roller och ansvar i praktiken

CRA ställer nya krav på hur produkter med digitala element utvecklas, tillhandahålls och förvaltas. För att kunna agera rätt krävs en tydlig förståelse för vad regelverket faktiskt innebär i praktiken. Detta pass ger en koncentrerad genomgång av de delar som är avgörande för fortsatt arbete.

• Hur CRA är uppbyggt och vilka grundläggande krav som följer av förordningen, bortom de juridiska formuleringarna
• Vilket ansvar som följer av olika roller i värdekedjan – och hur dessa i praktiken kan överlappa
• Hur produktkategorisering påverkar kravbild, granskningsnivå och ansvar
• Tidslinjen och vad som redan nu förväntas av organisationer
• Hur CRA förhåller sig till närliggande regelverk och hur arbete kan återanvändas

Thomas Wallander
Senior rådgivare
Huvudsekreterare i Cyberresiliensutredningen

Bedömningsorganens roll i CRA – från krav till CE-märkning, certifieringar och harmoniserade standarder

CRA konkretiseras i stor utsträckning genom standarder och CE-märkning. Samtidigt är många av dessa standarder fortfarande under utveckling, vilket skapar osäkerhet kring hur organisationer ska agera i nuläget. Detta pass fokuserar på hur standardisering fungerar i praktiken och hur organisationer kan arbeta strukturerat redan innan allt är på plats.

• Vilken roll bedömnings- och certifieringsorgan spelar i CRA – och hur de kan stödja företag i kravtolkning och förberedelse inför CE-märkning
• Hur CE-märkning enligt CRA är tänkt att fungera i praktiken och vad som krävs för att kunna sätta produkter på marknaden
• Hur harmoniserade standarder används för att visa efterlevnad – och vad det innebär när dessa ännu inte är fullt tillgängliga
• Hur organisationer kan arbeta med befintliga standarder och ramverk för att komma vidare i sitt CRA-arbete
• Vad som skiljer egenbedömning från tredjepartsgranskning, och hur detta påverkar olika produktkategorier
• Hur man praktiskt kan börja bygga upp dokumentation, riskhantering och processer som stödjer framtida CE-märkning

Ted Strandberg
Cybersecurity and Functional Safety Expert
RISE

CRA i praktiken – var går gränsen för ansvar och omfattning?

Många organisationer påverkas av CRA – men hur och i vilken utsträckning är ofta en tolkningsfråga. Små skillnader i roll eller affärsmodell kan få betydande konsekvenser. Passet fokuserar på hur regelverket tillämpas i praktiken.

• Hur direkt och indirekt påverkan uppstår, särskilt i komplexa leverantörs- och distributionskedjor
• Situationer där organisationer blir tillverkare “i praktiken”, trots att det inte är deras primära roll
• Hur produktens funktion, användning och kontext påverkar klassificering och krav
• Typiska gränsdragningsproblem som uppstår i verkliga verksamheter
• Hur organisationer kan resonera och dokumentera sina bedömningar

Linnéa Sundström
Senior rådgivare, EU‑standardisering & cybersäkerhet
ENISA AHWG, CEN-CENELEC

Att komma igång med CRA – hur prioriterar man rätt insatser?

Många organisationer har identifierat att de påverkas av Cyber Resilience Act men är osäkra på hur arbetet ska organiseras. Detta pass fokuserar på de första konkreta stegen och hur man bygger ett realistiskt införandeprogram utan att skapa onödig komplexitet. Genom ett praktiskt exempel följer vi ett fiktivt företag från första analys till vägen mot CRA-efterlevnad och CE-märkning.

• Hur man genomför en initial CRA-gap-analys – vad bör ingå och hur undviker man typiska misstag
• Hur produkter, produktfamiljer och digitala komponenter kartläggs – praktiska tips och metoder
• Hur man identifierar största riskerna och prioriterar insatser – riskanalysmetoder och kostnadseffektivitet
• Hur ansvar fördelas mellan produkt, utveckling, säkerhet, juridik och ledning – hur bör en arbetsgrupp se ut?
• Hur man etablerar arbetssätt för Secure by Design 

Jibbril Berbres
Cybersecurity Consultant
Knowit Cybersecurity & Law

Pass på Engelska

Experiences, Choices, Challenges and Lessons Learned: Implementing CRA in a large organisation

Large organisations benefit from larger resources and scale, but these advantages come with considerable complexity. Applying a broad and multifaceted regulation such as the CRA across such an organisation brings its challenges and learnings. Tara O’Neill and Isabel Pehrman from Ericsson will share practical experiences from working with CRA in the telecommunications industry, including the choices made, challenges encountered, and lessons learned along the way.

• Understanding the existing organisational, product security and compliance foundation.
• Translating regulatory requirements into practical implementation, governance and ways of working – and engaging in standardisation.
• Navigating complexity, dependencies and interpretation, and finding workable solutions across a large organisation.
• Identifying the capabilities and skills organisations need, and exploring how security can become an embedded part of organisational culture.
• Reflections and practical takeaways for organisations starting or advancing their own CRA journey.

Tara Suzanne O’Neill
Policy Officer
Ericsson

CRA i leverantörskedjan – hur ställer man krav och följer upp efterlevnad?

CRA ställer krav på informationsutbyte och ansvarsfördelning genom hela leverantörskedjan. För många organisationer är den största utmaningen inte de egna produkterna utan beroenden till externa leverantörer, open source-komponenter och tredjepartsutvecklad mjukvara.

• Hur man kartlägger leverantörer som påverkar CRA-efterlevnaden
• Hur man ställer rimliga CRA-relaterade krav i avtal
• Hur man följer upp att leverantörer faktiskt uppfyller kraven
• Vilken information som bör begäras kring sårbarheter, uppdateringar och säkerhetsprocesser
• Exempel på avtalskrav och uppföljningsmodeller som används idag
• Praktiska utmaningar vid kravställning och uppföljning – samt lärdomar från arbetet med CRA i leverantörskedjan

Sara Hedblom
Senior Legal Counsel – Strategic Initiatives & Projects
Dustin

Paneldiskussion

Att fatta beslut i ett föränderligt regelverk

CRA införs i ett läge där kraven är beslutade, men där standarder och vägledning fortfarande utvecklas. Organisationer behöver därför agera utan fullständig klarhet. Panelen samlar olika perspektiv kring hur man bör förhålla sig till detta.

Diskussionspunkter:

• Hur organisationer bör förhålla sig till avsaknaden av färdiga standarder i nuvarande läge
• Vad som i praktiken kan anses vara en rimlig och proportionerlig ambitionsnivå
• Riskerna med att avvakta jämfört med att agera för tidigt
• Hur ansvar och kostnader kan komma att fördelas i värdekedjan
• Vilka konkreta åtgärder organisationer bör prioritera det närmaste året

Thomas Wallander
Senior rådgivare
Huvudsekreterare i Cyberresiliensutredningen

Anders Jonsson
Cyber Sec & NIS2 Expert Member
ENISA AHWG EUCS

Ted Strandberg
Cybersecurity and Functional Safety Expert
RISE