DORA befriade er från NIS2. Från CRA befriar den er inte.

TL;DR. Den 11 september startar CRA en 24-timmarsfrist för rapportering. Skyldigheten hänger på produkten, så DORA-undantaget från NIS2 når den aldrig.

Viktiga slutsatser

Vad som faktiskt börjar den 11 september. CRA trädde i kraft den 10 december 2024 med ett stegvis tillämpningsschema, och det är just stegvisheten som går förlorad på vägen.
Varför DORA-undantaget inte når den. Här spelar precision större roll än vanligt, eftersom resonemanget som ger fel svar är ett genuint bra resonemang — bara buret en förordning för långt.
Är ni tillverkare? Ingen har besvarat det åt er. Den ärliga positionen här är att frågan är öppen snarare än avgjord, och att en bank som väntar på att den avgörs kommer att vänta förbi datumet.
Klockornas kollision. Anta för ett ögonblick att analysen leder till att minst en artefakt omfattas.

Om trettionio dagar startar cyberresiliensförordningen en tjugofyratimmarsklocka för rapportering, och undantaget som varje bank sträcker sig efter stoppar den inte. Fråga ett finansinstitut om NIS2 är tillämplig och svaret kommer utan att hacka: DORA är lex specialis, artikel 4 i NIS2 träder tillbaka där en sektorsrättsakt täcker samma mark, och banken rapporterar IKT-incidenter till sin behöriga myndighet i stället för till en CSIRT. Svaret är korrekt. Det är också på väg att ges, felaktigt, på en fråga om en helt annan förordning. CRA reglerar inte entiteter. Den reglerar produkter och lägger sina skyldigheter på den som tillverkar dem. I dess tillämpningsartikel finns inget undantag för finansiella tjänster, eftersom ett undantag skrivet för entitetsrätt inte har något att haka i inom produkträtten. Från och med den 11 september 2026 är en bank som tillhandahåller programvara på marknaden skyldig ENISA en tidig varning inom tjugofyra timmar — och den är skyldig den vid sidan av DORA, inte i stället för.

Sammanfattning för ledningen

Ett datum i drift, inte en horisont. Artikel 14 tillämpas från den 11 september 2026. Resten av CRA väntar till den 11 december 2027, och planeringsfelet bor i avståndet mellan dessa två fakta.

Tillämpningsområdet avgörs av vad ni levererar, inte av vad ni är. CRA:s undantag är andra produktregimer — medicintekniska produkter, fordon, luftfart, marin utrustning. Bankverksamhet finns inte med, och skulle aldrig ha gjort det.

Utlösaren är utnyttjande, inte allvarlighetsgrad. En aktivt utnyttjad sårbarhet startar klockan även om ingen kund berörs och även om ingenting skulle utgöra en allvarlig incident enligt DORA.

I dag äger ingen detta. DORA-rapporteringen bor i operativ motståndskraft. CRA-rapporteringen bor hos den som anses vara tillverkare — en roll de flesta banker aldrig har tilldelat.

Vad som faktiskt börjar den 11 september

CRA trädde i kraft den 10 december 2024 med ett stegvis tillämpningsschema, och det är just stegvisheten som går förlorad på vägen.

Full tillämpning — de väsentliga cybersäkerhetskraven i bilaga I, bedömning av överensstämmelse, CE-märkning, teknisk dokumentation — infaller den 11 december 2027. Anmälan av organ för bedömning av överensstämmelse öppnade den 11 juni 2026. Mellan dem ligger det datum som betyder något detta kvartal: den 11 september 2026, då rapporteringsskyldigheterna enligt artikel 14 börjar.

Rapporteringsstrukturen har tre steg och är stramare än den läses vid första anblicken.

Tidig varning inom 24 timmar från att tillverkaren fått kännedom om en aktivt utnyttjad sårbarhet, eller om en allvarlig incident som påverkar produktens säkerhet.
Fullständig anmälan inom 72 timmar, med de tekniska detaljerna och de korrigerande eller begränsande åtgärder som vidtagits.
Slutrapport inom 14 dagar efter att en korrigerande åtgärd blivit tillgänglig för en aktivt utnyttjad sårbarhet, eller inom en månad från anmälan vid en allvarlig incident.

Rapporterna går via CRA:s gemensamma rapporteringsplattform som drivs av ENISA. Tillverkaren lämnar in en gång, till den CSIRT som utsetts till samordnare i medlemsstaten för dess huvudsakliga verksamhetsställe; plattformen gör anmälan tillgänglig för ENISA samtidigt, och mottagande CSIRT sprider den vidare till andra CSIRT i de territorier där produkten distribueras. Denna konstruktion med en enda inlämning tar bort en administrativ ursäkt, men mjukar inte upp fristen.

Lägg märke till utlösaren. Inte allvarlighetsgrad, inte kundpåverkan — utnyttjande. En sårbarhet som aktivt utnyttjas i skarp miljö öppnar en 24-timmarsskyldighet oavsett om någon lidit skada, och oavsett om samma omständigheter skulle klassificeras som en allvarlig incident någon annanstans.

Varför DORA-undantaget inte når den

Här spelar precision större roll än vanligt, eftersom resonemanget som ger fel svar är ett genuint bra resonemang — bara buret en förordning för långt.

Artikel 4 i NIS2 innehåller en tillbakaträdandemekanism: om en sektorsrättsakt i unionen kräver att entiteter vidtar riskhanteringsåtgärder för cybersäkerhet eller anmäler betydande incidenter, och dessa krav är minst likvärdiga i verkan, ska motsvarande bestämmelser i NIS2 inte tillämpas. DORA är precis en sådan rättsakt. Ett kreditinstitut hanterar därför IKT-risk och anmäler allvarliga incidenter enligt DORA, och NIS2:s parallella skyldigheter träder tillbaka. Varje regelefterlevnadsfunktion kan rabbla detta.

Tre saker bryter analogin så snart den bärs över till CRA.

Mekanismen bor inuti NIS2. Artikel 4 är en bestämmelse i direktiv (EU) 2022/2555 som sätter bestämmelser i direktiv (EU) 2022/2555 ur spel. Den är inte en allmän princip enligt vilken en finansiell entitets sektorsregim tränger undan allt annat. Den kan inte sträcka sig in i förordning (EU) 2024/2847 och stänga av något där, eftersom ingenting i CRA är underkastat den.

CRA reglerar produkter, inte entiteter. DORA och NIS2 frågar båda vad slags organisation ni är. CRA frågar vad ni har släppt ut på marknaden. Det är olika frågor, och likvärdighetsargument dem emellan håller inte: DORA:s rapporteringsregim är inte i någon mening ”likvärdig i verkan” med en tillverkares skyldighet att varna en CSIRT för att en levererad artefakt utnyttjas, eftersom de skyddar olika populationer. DORA skyddar det finansiella systemet genom tillsynsmyndigheten. Artikel 14 skyddar alla som kör produkten, genom CSIRT-nätverket.

Undantagen har fel form. CRA:s tillämpningsartikel undantar produkter som omfattas av annan sektorsspecifik produktlagstiftning — medicintekniska produkter enligt förordningarna (EU) 2017/745 och 2017/746, fordon enligt förordning (EU) 2019/2144, civil luftfart enligt förordning (EU) 2018/1139, marin utrustning enligt direktiv 2014/90/EU — samt reservdelar tillverkade enligt identiska specifikationer och produkter som utvecklats uteslutande för nationell säkerhet eller försvar. Det finns inget undantag för finansiella tjänster, och inget för produkter tillverkade av entiteter som regleras av DORA. Detta är inte ett förbiseende som riktlinjer kommer att rätta till. Det är vad som händer när en lagstiftare skriver produkträtt: den undantar inte branscher, den undantar andra produktregimer.

Tabell 1: tre regimer, och vilken som träder tillbaka

	DORA	NIS2	CRA
Reglerar	Finansiella entiteter	Väsentliga och viktiga entiteter	Produkter med digitala element
Skyldigheten åvilar	Institutet	Institutet	Tillverkaren
Rapporteringsutlösare	Incident klassificerad som allvarlig	Betydande incident	Aktivt utnyttjad sårbarhet eller allvarlig incident
Rapporten går till	Behörig myndighet	CSIRT eller behörig myndighet	CSIRT för huvudsakligt verksamhetsställe, och ENISA
Undanträngd för banker?	Nej — den är själv lex specialis	Ja, via artikel 4 i NIS2	Nej — ingenting tränger undan den

Är ni tillverkare? Ingen har besvarat det åt er

Den ärliga positionen här är att frågan är öppen snarare än avgjord, och att en bank som väntar på att den avgörs kommer att vänta förbi datumet.

CRA når produkter med digitala element som tillhandahålls på marknaden — levereras för distribution eller användning inom ramen för kommersiell verksamhet. Ur den formuleringen följer omedelbart två konsekvenser.

Priset är inte kriteriet. Programvara som tillhandahålls kostnadsfritt omfattas om den tillhandahålls inom ramen för kommersiell verksamhet. Kommissionens egen inramning av öppen källkod kretsar kring kommersiell verksamhet snarare än betalning, och en bank som distribuerar en applikation för att värva och betjäna betalande kunder agerar inte utanför ramen för kommersiell verksamhet. Instinkten ”vi ger bort appen, alltså säljer vi ingen produkt” är det vanligaste skälet till att detta ärende förblivit oöppnat, och det svagaste av de tillgängliga argumenten.

Rent intern programvara faller verkligen utanför. Produkter som inte tillhandahålls på marknaden — kärnbankplattformen, interna verktyg, allt som aldrig levereras utanför institutet — omfattas inte. Det är ett verkligt och betydande undantag, och därför är exponeringen smalare än panikversionen av denna analys antyder.

Frågan är alltså inte om en bank omfattas som entitet. Frågan är vilka specifika artefakter den levererar. Fyra kategorier förtjänar inventering innan någon drar en slutsats:

Mobilbanksapplikationen, distribuerad till allmänheten via appbutikerna. Om en kundvänd app är en produkt som levereras för användning, eller enbart gränssnittet till en tjänst banken tillhandahåller, är den genuint omtvistade frågan — och den är omtvistad, inte avgjord till bankens fördel.
Utvecklarvända artefakter: SDK:er, klientbibliotek, API-verktyg och referensimplementationer som publiceras för företagskunder eller partner. Dessa liknar levererade produkter betydligt mer och ett tjänstegränssnitt betydligt mindre.
Projekt med öppen källkod som institutet publicerar och underhåller som en del av sin kommersiella verksamhet, där även bestämmelserna om förvaltare (steward) kan aktualiseras.
White label-programvara eller inbäddad programvara som banken vidarelevererar till partner under eget namn — den snabbaste vägen från användare till tillverkare i varje EU-produktregim.

Den ärliga planeringshållningen består inte i att hävda en slutsats. Den består i att inventera artefakterna, skriftligen inta en motiverad ståndpunkt om var och en och kunna visa resonemanget om en CSIRT frågar varför ingen anmälan kom in.

Klockornas kollision

Anta för ett ögonblick att analysen leder till att minst en artefakt omfattas. Det som förändras operativt är inte förekomsten av en incidentprocess — den har bankerna — utan att två processer nu löper på samma händelse med olika parametrar.

En sårbarhet i ett SDK som en bank publicerat hamnar under aktivt utnyttjande. DORA frågar om detta är en allvarlig IKT-relaterad incident som påverkar institutet; om så är fallet går den inledande anmälan till behörig myndighet inom fyra timmar från den klassificeringen och under alla omständigheter inom 24 timmar från kännedom, med en delrapport och en slutrapport därefter. Artikel 14 frågar något helt annat — utnyttjas en produkt som detta institut tillverkat — och startar sin egen tidiga varning på 24 timmar till en CSIRT och ENISA.

De två kan divergera i båda riktningarna, och det är just det som gör en enda sammanslagen process osäker.

En utnyttjad sårbarhet i ett levererat SDK som inte orsakar någon störning i bankens egna tjänster kan mycket väl inte vara någon allvarlig incident enligt DORA, samtidigt som den sitter mitt i artikel 14. Och omvänt: ett allvarligt avbrott i en internt byggd plattform är en DORA-anmälan helt utan CRA-dimension, eftersom ingenting släppts ut på marknaden. Att bygga ett enda flöde som utgår från att båda alltid utlöses tillsammans ger både falska negativa och onödigt regulatoriskt brus.

Tabell 2: vad som ska vara klarlagt före den 11 september

Fråga	Vad den avgör i er exponering
Vilka artefakter levererar vi utanför institutet?	Tillämpningsområdet avgörs per produkt; något svar på entitetsnivå finns inte
Har vi för var och en en dokumenterad ståndpunkt om tillverkarrollen?	Ett odokumenterat antagande är inget försvar
Var ligger vårt huvudsakliga verksamhetsställe i CSIRT-hänseende?	Avgör vilken nationell CSIRT som tar emot inlämningen
Är vi registrerade på ENISA:s gemensamma rapporteringsplattform?	24 timmar räcker inte för att upptäcka ett registreringssteg
Har ”aktivt utnyttjad” en ansvarig i triageringen?	Utlösaren skiljer sig från varje allvarlighetsskala ni redan använder
Vem lämnar in klockan 03.00 en söndag?	Båda klockorna går i realtid, inte på kontorstid

Siffran som sätter prioriteringen

Bristande efterlevnad av de väsentliga kraven i bilaga I och av skyldigheterna i artiklarna 13 och 14 medför administrativa sanktionsavgifter på upp till 15 miljoner euro eller 2,5 % av den totala globala årsomsättningen, beroende på vilket som är högst. Övriga skyldigheter för tillverkare, importörer och distributörer ligger ett steg lägre, på 10 miljoner euro eller 2 %, och lämnande av oriktig eller vilseledande information till myndigheter på 5 miljoner euro eller 1 %.

Läs den översta nivån bredvid det arbete den är fäst vid. Att avgöra om fyra kategorier av artefakter omfattas, registrera sig på en rapporteringsplattform och lägga till en gren i en befintlig triageringsrutin är ett blygsamt arbete, med utpekad ansvarig och fem veckors framförhållning. Det är inte jämförbart med det program för bedömning av överensstämmelse och teknisk dokumentation som väntar i december 2027. Asymmetrin mellan exponeringen och åtgärdskostnaden är hela argumentet, och det är det sällsynta efterlevnadsargument som överlever kontakt med ett prioriteringsmöte.

Den operativa spelboken

Fem drag, och det första är inte ett juridiskt utlåtande.

Inventera det som lämnar byggnaden. Inte system — artefakter. Allt institutet levererar till någon utanför, inklusive gratisapplikationer, publicerade bibliotek och öppna kodförråd. De flesta banker har ingen sådan förteckning, eftersom ingen tidigare reglering bett om den.
Inta en ståndpunkt per artefakt, skriftligen. Tillverkare eller inte, och varför. Värdet ligger inte i att ha rätt på varje rad; det ligger i att ha ett resonemang som föregår incidenten i stället för att konstrueras efteråt.
Registrera er på den gemensamma rapporteringsplattformen nu. Registrering, inloggningsuppgifter och en utsedd inlämnare är precis den sorts förutsättning som förblir osynlig till dess att en 24-timmarsklocka redan går.
Dela upp utlösaren i triageringen. Lägg till en uttrycklig fråga — utnyttjas en produkt vi tillverkar aktivt — som bedöms oberoende av DORA:s klassificering av allvarlig incident. Oberoendet är poängen: en inbäddad kontroll ärver fel tröskel.
Starta SBOM-arbetet mot datumet december 2027. Bilaga I kräver en materialförteckning för programvara i ett allmänt använt maskinläsbart format som täcker åtminstone beroenden på högsta nivå. Den skyldigheten ligger sexton månader bort, och det är samma uppräkningsproblem som instituten redan misslyckas med på den kryptografiska sidan.

Mönstret är inte nytt. En regim skrivs med en viss bransch i åtanke, finansinstituten läser branschens namn och drar slutsatsen att ärendet tillhör någon annan. CRA skrevs för enhetstillverkare och programvaruleverantörer. Den når banken ändå — på det smala ställe där banken råkar vara en av dem. Och undantaget alla sträcker sig efter först skrevs in i en annan lag, för ett annat syfte, och är inte tillämpligt.

Vanliga frågor

Vi rapporterar enligt DORA. Täcker inte det detta?
Nej. DORA tränger undan NIS2:s parallella skyldigheter genom tillbakaträdandemekanismen i NIS2:s egen artikel 4. Den mekanismen är intern för NIS2 och har ingen verkan på förordning (EU) 2024/2847. CRA lägger skyldigheter på tillverkare av produkter, inte på finansiella entiteter, så det finns ingenting som ett lex specialis-argument skulle kunna tränga undan.

Omfattas vår mobilbanksapp?
Det är just den genuint öppna frågan, och den bör besvaras medvetet snarare än förutsättas. Appen är programvara med dataanslutning som tillhandahålls allmänheten inom ramen för kommersiell verksamhet — det är lagtextens formulering. Motargumentet är att den utgör gränssnittet till en reglerad tjänst snarare än en produkt som levereras för användning. Dokumentera en ståndpunkt; luta er inte mot att den är gratis, eftersom priset inte är kriteriet.

Vad exakt startar 24-timmarsfristen?
Att ni fått kännedom om en sårbarhet i er produkt som aktivt utnyttjas, eller om en allvarlig incident som påverkar produktens säkerhet. Utlösaren är utnyttjande, inte allvarlighetsgrad och inte kundpåverkan — och därför sammanfaller den inte med DORA:s klassificering av allvarlig incident.

Till vem lämnar vi faktiskt in?
Via CRA:s gemensamma rapporteringsplattform hos ENISA, adresserat till den CSIRT som utsetts till samordnare i medlemsstaten för ert huvudsakliga verksamhetsställe. ENISA får den samtidigt, och mottagande CSIRT delar den med CSIRT i andra territorier där produkten distribueras. En inlämning, inte flera.

Börjar något annat i september?
Nej. Endast rapporteringsskyldigheterna enligt artikel 14. De väsentliga cybersäkerhetskraven, SBOM-skyldigheten, bedömningen av överensstämmelse, den tekniska dokumentationen och CE-märkningen tillämpas alla från den 11 december 2027. Att behandla september som hela ärendet är spegelbilden av att ignorera det.

Vad kostar det om vi bedömer tillämpningsområdet fel?
Överträdelser av artiklarna 13 och 14 och av de väsentliga kraven i bilaga I medför sanktionsavgifter på upp till 15 miljoner euro eller 2,5 % av den totala globala årsomsättningen, beroende på vilket som är högst. Den mer omedelbara kostnaden är processuell: en missad tidig varning kan inte läkas retroaktivt, och stunden då ett institut upptäcker att det var tillverkare bör inte vara den stund då en CSIRT frågar varför ingen anmälan kom in.

Källor

Europaparlamentet och Europeiska unionens råd, 2024. Förordning (EU) 2024/2847 om övergripande cybersäkerhetskrav för produkter med digitala element (cyberresiliensakten). Bryssel: Europeiska unionens officiella tidning. Tillgänglig på: Europaparlamentet och Europeiska unionens råd, 2024..
Europeiska kommissionen, 2026. Cyberresiliensakten — rapporteringsskyldigheter. Bryssel: Generaldirektoratet för kommunikationsnät, innehåll och teknik. Tillgänglig på: Europeiska kommissionen, 2026..
Europeiska kommissionen, 2026. Cyberresiliensakten — sammanfattning av lagtexten. Bryssel: Generaldirektoratet för kommunikationsnät, innehåll och teknik. Tillgänglig på: Europeiska kommissionen, 2026..
Europaparlamentet och Europeiska unionens råd, 2022. Direktiv (EU) 2022/2555 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen (NIS 2-direktivet). Bryssel: Europeiska unionens officiella tidning. Tillgänglig på: Europaparlamentet och Europeiska unionens råd, 2022..
Europaparlamentet och Europeiska unionens råd, 2022. Förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn (DORA). Bryssel: Europeiska unionens officiella tidning. Tillgänglig på: Europaparlamentet och Europeiska unionens råd, 2022..

Senast granskad 2026-08-16.

Återpublicera den här artikeln

DORA befriade er från NIS2. Från CRA befriar den er inte. — Sebastien Rousseau

Den 11 september startar CRA en 24-timmarsfrist för rapportering. Skyldigheten hänger på produkten, så DORA-undantaget från NIS2 når den aldrig.

Den här artikeln är licensierad under Creative Commons Attribution 4.0 International. Återpublicering kräver attribution till den kanoniska URL:en.

DORA befriade er från NIS2. Från CRA befriar den er inte. — Sebastien Rousseau

Den 11 september startar CRA en 24-timmarsfrist för rapportering. Skyldigheten hänger på produkten, så DORA-undantaget från NIS2 når den aldrig.

Originally published at https://sebastienrousseau.com/sv/2026-08-03-cyber-resilience-act-article-14-reporting-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER