De flesta CRA-projekt börjar på fel ställe: med en riskbedömning, en standard eller en mall. Det första steget är enklare och avgör allt som följer. Tre frågor, i den här ordningen:
- Tillämpningsområde. Omfattas produkten över huvud taget av CRA?
- Roll. Vilken roll har vi för den här produkten: tillverkare, importör, distributör?
- Klass. Hur riskfylld är produkttypen, och måste ett externt organ bedöma den?
Besvara dem för varje produkt, skriv ner motiveringen och spara den. Ett svar utan motivering går inte att försvara i efterhand.
1. Tillämpningsområde: är det en produkt med digitala element?
CRA gäller produkter med digitala element som tillhandahålls på EU-marknaden (artikel 2). Tre villkor ska alla vara uppfyllda.
Det är programvara eller maskinvara. Det inkluderar komponenter som släpps ut på marknaden separat: en firmwareavbild, en mikrokontroller, ett programbibliotek som säljs som produkt (artikel 3.1).
Den har en dataanslutning. Direkt eller indirekt, logisk eller fysisk. Wifi, Bluetooth, en kabel, en fältbuss, en app, en molnkoppling eller en USB-port till en dator. En sensor som bara pratar med en gateway har ändå en dataanslutning, eftersom gatewayen skickar vidare.
Den tillhandahålls i kommersiell verksamhet. Mot betalning eller gratis. En gratisapp som tjänar pengar på annonser, data, prenumerationer eller betald support är kommersiell. Öppen källkod hamnar utanför CRA bara när de som tillhandahåller den inte tjänar pengar på den.
Backend räknas. Om er produkt behöver en moln- eller apptjänst som ni har utformat, eller låtit utforma, för att fungera, är tjänsten en del av produkten (databehandling på distans, artikel 3.2). Er riskbedömning och sårbarhetshantering ska täcka den. En webbplats som bara marknadsför produkten räknas inte. En ren programvarutjänst som inte hör till en produkt ni tillhandahåller är i regel ingen produkt med digitala element; den kan i stället omfattas av NIS2.
Vad som är undantaget
Produkter som redan har egna sektorsregler: medicintekniska produkter, fordon med EU-typgodkännande, certifierade luftfartsprodukter och marin utrustning. Reservdelar som ersätter identiska komponenter tillverkade enligt samma specifikation. Produkter som utvecklats uteslutande för nationell säkerhet eller försvar (artikel 2).
Läs fordonsundantaget noga. Typgodkända fordon och deras system är undantagna. Eftermarknadstillbehör, diagnosdonglar, bilkameror och många laddstationer är inte typgodkända och kan därför omfattas. Här missar många fordonsleverantörer.
2. Roll: vem är ni för den här produkten?
Er roll avgör era skyldigheter. Ett företag kan ha flera roller för samma produkt.
| Roll | Vem det är | Exempel |
|---|---|---|
| Tillverkare | Utvecklar eller låter tillverka produkten och saluför den under eget namn eller varumärke. | Ett företag i Bursa utvecklar en smart termostat och säljer den i Tyskland under eget varumärke. |
| Importör | Etablerad i EU, släpper ut en produkt med en tillverkares namn från ett land utanför EU på EU-marknaden. | Ett tyskt företag importerar termostaten. |
| Distributör | Tillhandahåller produkten utan att ändra den och är varken tillverkare eller importör. | En elektronikkedja i Nederländerna. |
| Tillverkarens representant | Etablerad i EU, har en skriftlig fullmakt från tillverkaren för vissa uppgifter. | En tjänsteleverantör som håller den tekniska dokumentationen tillgänglig för myndigheterna. |
Två regler överraskar många. Eget varumärke gör er till tillverkare: en importör eller distributör som säljer en produkt under eget namn bär alla tillverkarens skyldigheter (artikel 21). Att sätta egen etikett på en produkt är inget sätt att slippa CRA. En väsentlig ändring gör er till tillverkare av den ändrade produkten (artiklarna 21 och 22).
Tillverkare utanför EU har samma fulla skyldigheter som tillverkare i EU. När en importör för in deras produkter i EU måste importören kontrollera deras arbete innan produkten säljs (artikel 19).
3. Klass: hur riskfylld är produkttypen?
| Klass | Vad det är | Exempel | Förfarande för bedömning av överensstämmelse |
|---|---|---|---|
| Standard | De flesta produkter | Smart kontakt, skrivare, uppkopplad kaffemaskin, industrisensor, de flesta appar | Egenbedömning (modul A) |
| Viktig, klass I | Förtecknad i bilaga III, klass I | Router, operativsystem, VPN, lösenordshanterare, smart dörrlås, övervakningskamera, babyvakt | Egenbedömning bara om harmoniserade standarder, gemensamma specifikationer eller certifiering tillämpas fullt ut; annars ett anmält organ |
| Viktig, klass II | Förtecknad i bilaga III, klass II | Brandväggsenhet, intrångsdetekteringssystem, hypervisor, manipuleringsskyddad mikrokontroller | Anmält organ, eller certifiering på nivån "betydande" |
| Kritisk | Förtecknad i bilaga IV | Smartkort, säkert element, gateway för smarta mätare | Europeisk certifiering där det krävs; annars som klass II |
Klassen följer kärnfunktionen (artikel 7.1). En produkt hör till en kategori bara om kategorin beskriver vad produkten huvudsakligen är till för. En hemrouter med brandväggsfunktion är en router, inte en brandväggsenhet. En termostat med ett säkert element inbyggt stannar i standardklassen. Det säkra elementets egen tillverkare hanterar det säkra elementets klass. Att bygga in en viktig komponent gör inte er produkt viktig. Kommissionens genomförandeförordning (EU) 2025/2392 beskriver varje kategori i tekniska termer; använd den i gränsfall.
Varför klass I är viktig just nu. Egenbedömning för klass I förutsätter att en harmoniserad standard, en gemensam specifikation eller ett certifieringssystem tillämpas fullt ut (artikel 32.2). Hösten 2026 har ingen harmoniserad standard för CRA offentliggjorts i Europeiska unionens officiella tidning. Om det inte ändras innan ni släpper ut produkten på marknaden behöver en klass I-produkt ett anmält organ, och kapaciteten hos de anmälda organen är begränsad. Ta kontakt tidigt.
De vanligaste misstagen
- "Det är bara en komponent." Komponenter som släpps ut på marknaden separat är produkter med digitala element.
- "Den ansluts bara via USB." En fysisk dataanslutning är en dataanslutning.
- "Vår app är gratis." Gratis med intäkter är kommersiellt.
- "Vi är bara distributör", samtidigt som ni säljer under eget varumärke. Då är ni tillverkare.
- Att välja klass efter en funktion i stället för kärnfunktionen.
- Att glömma backend som enheten behöver för att fungera.
- Att inte skriva ner motiveringen.
Om svaret är ja
Två datum gäller. Rapporteringen enligt artikel 14 gäller redan, sedan den 11 september 2026, för alla produkter som omfattas och finns på marknaden, oavsett klass och oavsett när de såldes. Allt annat gäller från den 11 december 2027: de väsentliga kraven i bilaga I, sårbarhetshantering, teknisk dokumentation, EU-försäkran om överensstämmelse och CE-märkning. Enheter som släppts ut på marknaden före det datumet omfattas inte av produktkraven om de inte ändras väsentligt efteråt (artikel 69.2), men rapporteringen gäller för dem.
Om svaret är nej, spara dokumentationen ändå. Produkter förändras. Att lägga till Bluetooth i nästa års modell kan föra in den under CRA.
Artikeln förklarar förordning (EU) 2024/2847 med enkla ord. Den är inte juridisk rådgivning.