Plan för CRA

Beskriver Priveras läge mot EU:s cyberresiliensförordning (CRA), förordning (EU) 2024/2847: om produkten omfattas, klassning, rapportering, supportperiod och tidsplanen fram till CE-märkning. Datumen i avsnitt 7 är förslag och inte beslutade, utom det som står som klart. Supportperioden i avsnitt 5 är beslutad.

1. Läget i korthet

• Itha AB kan i dag inte intyga CE-märkning enligt CRA och har ingen EU-försäkran om överensstämmelse för Privera. Ingen bedömning av överensstämmelse är gjord.
• CRA:s huvudkrav, däribland CE-märkning och EU-försäkran, gäller från 2027-12-11. Ingen tillverkare är skyldig att CE-märka enligt CRA före det datumet.
• Rapporteringsplikten i artikel 14 gäller redan, sedan 2026-09-11, och omfattar även produkter som har släppts ut före 2027-12-11.
• Itha AB åtar sig att ha teknisk dokumentation, EU-försäkran och CE-märkning på plats senast 2027-12-11.

2. Omfattas Privera?

Ja. Privera är programvara som tillhandahålls på EU-marknaden i kommersiell verksamhet, mot betalning, och Itha AB marknadsför den under eget namn. Privera är därmed en produkt med digitala element, och Itha AB är tillverkare.

Licensservern licens.privera.se räknas enligt vår läsning som en del av produkten. Definitionen av produkt med digitala element omfattar produktens fjärrdatabehandling, alltså databehandling på distans som tillverkaren har utformat och utan vilken produkten inte kan utföra en av sina funktioner. Utan licensservern går det inte att aktivera eller förnya licensen eller få uppdateringar. Licensservern ingår därför i bedömningen, och därmed också i den tekniska dokumentationen och i SBOM:en. Den nuvarande SBOM:en täcker programmet och motorn. Licensservern läggs in enligt avsnitt 7.

Hämtningen av språkmodellen från Hugging Face är inte Itha AB:s fjärrdatabehandling. Modellen är en tredjepartskomponent och hanteras som en sådan.

Privera är märkt beta men säljs löpande till betalande kunder. Vi stöder oss inte på något undantag för ofärdig programvara.

3. Klassning

Bedömning: Privera är en produkt i standardkategorin, varken viktig (bilaga III) eller kritisk (bilaga IV).

En produkt är viktig om den har kärnfunktionen hos en kategori i bilaga III. Priveras kärnfunktion är att hitta och ta bort personuppgifter ur dokument före utlämnande. Ingen kategori i bilaga III har den funktionen. De kategorier som ligger närmast:

Bilaga IV (kritiska produkter) avser hårdvara som säkerhetsmoduler, smartmätargateways och säkra element. Den är inte tillämplig.

Återstår: bedömningen ska prövas mot de tekniska beskrivningarna i kommissionens genomförandeförordning (EU) 2025/2392 och dokumenteras i den tekniska dokumentationen. Det är inte gjort.

Följd: för en produkt i standardkategorin får tillverkaren visa överensstämmelse genom intern kontroll (modul A), utan anmält organ. Det är den väg Itha AB planerar att använda.

4. Det som gäller redan nu: rapportering enligt artikel 14

Sedan 2026-09-11 ska Itha AB som tillverkare rapportera:

Rapporten lämnas en gång via ENISA:s gemensamma rapporteringsplattform till den CSIRT där tillverkaren har sitt huvudsakliga etableringsställe, för Itha AB CERT-SE. Plattformen kräver ett EU Login-konto med tvåfaktorautentisering. Enligt ENISA:s anvisning registrerar sig tillverkaren när en anmälan ska göras, och CERT-SE prövar behörigheten parallellt med anmälan. Berörda användare ska också informeras.

Läge:

• Rutin: se Incidentrutin.
• EU Login med tvåfaktorautentisering: klart 2026-10-07. Registrering i plattformen görs vid första anmälan, enligt ENISA:s anvisning.
• Kontaktväg för sårbarhetsrapporter: [email protected] och security.txt, se Sårbarhetshantering.
• Möjlighet att nå berörda användare: kontaktuppgifter finns per licens i licensdatabasen. Programmet rapporterar inte sin version, så Itha AB kan inte avgöra vilka kunder som kör en viss version.
• Bemanning: en person, ingen ersättare och ingen jour. Fristen på 24 timmar gäller alla dagar, men Itha AB kan inte garantera att en händelse som inträffar på en helg eller helgdag blir känd och rapporterad inom 24 timmar.

5. Supportperiod

Beslut 2026-10-23: säkerhetsrättningar i 5 år från utgivningen av version 1.0. Betan får säkerhetsrättningar fram till att 1.0 ges ut. Varslet före supportens slut är minst 6 månader. Beslutet ersätter det tidigare beslutet om 24 månader. Se Livscykel och support.

CRA artikel 13.8 kräver att supportperioden är minst fem år, om produkten inte förväntas användas kortare tid. Artikel 13.19 kräver att slutdatumet (minst månad och år) anges tydligt vid köpet, och artikel 13.9 att varje säkerhetsuppdatering finns kvar tillgänglig i minst tio år eller resten av supportperioden, beroende på vilket som är längst.

Läget mot kraven:

• Fem år motsvarar huvudregeln i artikel 13.8. Hur perioden ska räknas för ett program som säljs löpande, från version 1.0 eller från varje senare försäljning, är inte juridiskt bedömt.
• Slutdatumet anges när version 1.0 ges ut. Version 1.0 är inte utgiven och har inget fastställt datum.
• I dag lämnar uppdateringskanalen och nedladdningen bara ut den senaste installern. Planerat före 2027-12-11: att varje utgiven säkerhetsuppdatering hålls tillgänglig så som artikel 13.9 kräver. Hur det ska ordnas är inte bestämt.

6. Väsentliga krav (bilaga I): läget

Översikt, inte en fullständig genomgång. Den fullständiga genomgången blir en del av den tekniska dokumentationen.

7. Tidsplan fram till CE-märkning

8. Utfästelse

Itha AB åtar sig att:

1. rapportera enligt CRA artikel 14 inom förordningens frister, räknat från att Itha AB får kännedom, och underrätta berörda kunder. Med en person och utan bevakning på helger kan Itha AB inte garantera att en händelse som inträffar på en helg eller helgdag blir känd inom 24 timmar,
2. ha teknisk dokumentation, EU-försäkran om överensstämmelse och CE-märkning för Privera på plats senast 2027-12-11,
3. redovisa läget mot tidsplanen i avsnitt 7 på kundens begäran.